Все безопасно / Блог / ИП и самозанятые
Уведомление в Роскомнадзор для ИП и самозанятых: нужно ли подавать
Короткий ответ: если вы принимаете заявки, записываете клиентов или храните их телефоны, уведомление об обработке персональных данных нужно подать. И ИП, и самозанятому, даже без сотрудников. Штраф уведомление не заменяет: после оплаты подавать его всё равно придётся. Разберём, почему так, что будет, если не подать, и как подать уведомление в Роскомнадзор.
Нужно ли ИП подавать уведомление в Роскомнадзор
Уведомление о начале обработки персональных данных подаётся до того, как вы начнёте их обрабатывать (ст. 22 152-ФЗ). Раньше малый бизнес часто обходился без него: из обязанности были исключены данные, полученные по договору с клиентом, и данные сотрудников. С 1 сентября 2022 года эти исключения из закона убрали (пп. 1-6 ч. 2 ст. 22 утратили силу).
Оставшиеся исключения узкие. Для малого бизнеса реально только одно: если данные обрабатываются исключительно без средств автоматизации, то есть только на бумаге (п. 8 ч. 2 ст. 22). Сайт, сервис записи, таблица в телефоне - это уже автоматизированная обработка. Поэтому уведомление нужно, если у вас есть хотя бы одно из этого:
- форма заявки или обратного звонка на сайте;
- онлайн-запись через YCLIENTS, DIKIDI или похожий сервис;
- CRM или таблица с телефонами клиентов;
- сотрудники, даже один.
Отсутствие сотрудников ничего не меняет: обязанность связана с данными клиентов, а не со штатом.
Персональные данные и самозанятые: самозанятый - тоже оператор
152-ФЗ не распространяется на людей, которые обрабатывают данные для личных и семейных нужд, например ведут записную книжку. Работа с клиентами к личным нуждам не относится. Самозанятый мастер, репетитор или фотограф, который записывает клиентов и хранит их телефоны, ведёт обработку персональных данных как оператор, с теми же обязанностями, что и ИП: политика, согласие, уведомление.
Разница только в штрафах: самозанятый отвечает как гражданин, ИП - как юрлицо.
Что будет, если не подать уведомление
- до 300 000 ₽ИП без уведомления ч. 10 ст. 13.11 КоАП, ИП отвечает как юрлицо
- до 10 000 ₽Самозанятый без уведомления ч. 10 ст. 13.11 КоАП, как гражданин
- до 20 000 ₽ИП не опубликовал политику обработки персональных данных ч. 3 ст. 13.11 КоАП
Указаны верхние границы штрафов. Чаще всего проверка начинается с жалобы клиента.
Штраф не заменяет уведомление
Оплата штрафа не освобождает от обязанности, за которую он назначен (ч. 4 ст. 4.1 КоАП). Даже после оплаты штрафа уведомление всё равно нужно подать, а пока его нет, могут оштрафовать снова.
Что нужно кроме уведомления
Уведомление - это сведения о том, что вы делаете с данными. Они должны совпадать с тем, что написано на сайте и происходит на самом деле:
- своя политика обработки персональных данных на сайте, а не скопированная с чужого (ст. 18.1 152-ФЗ);
- отдельное согласие у каждой формы, без заранее поставленной галочки (ст. 9);
- в политике названы сервисы, которые получают данные клиентов: сервис записи, CRM, конструктор сайта (ст. 6 ч. 3);
- если на сайте есть Google Fonts, reCAPTCHA или другие зарубежные сервисы, нужно отдельное уведомление о трансграничной передаче (ст. 12).
Последние два пункта глазами на сайте не видны, их находят по сетевым запросам сайта.
Как подать уведомление в Роскомнадзор
Разобраться, какие данные вы собираете
Сайт, сервис записи, мессенджеры, таблицы. От этого зависят цели, категории данных и список получателей в уведомлении.
Заполнить уведомление
В электронной форме на сайте Роскомнадзора, по тому, что нашли на первом шаге.
Подписать и отправить
Электронной подписью или распечатав и отправив бумажный экземпляр.
Проверить реестр
Роскомнадзор вносит сведения в реестр операторов в течение 30 дней. Проверить можно на pd.rkn.gov.ru: ИП - по названию, самозанятого - по ФИО в поле "Организация". ИНН самозанятого в реестр не вносится, по нему запись не найти.
Наше мнение
После 2022 года уведомление стало обязательным почти для всех, кто работает с клиентами, но многие ИП и самозанятые об этом до сих пор не знают. Мы считаем, что уведомление - самое простое из того, что требует 152-ФЗ: госпошлины нет, а штраф за его отсутствие для ИП самый крупный из перечисленных. Подать его сразу дешевле, чем объяснять потом, почему его нет. Что ещё проверить на сайте - на странице 152-ФЗ для сайта.
Частые вопросы
Нужно ли ИП без сотрудников подавать уведомление?
Да, если вы обрабатываете данные клиентов: принимаете заявки, ведёте запись, храните телефоны. Обязанность связана с данными клиентов, а не с наличием сотрудников.
Самозанятый - оператор персональных данных?
Да, если собирает данные клиентов для работы. Закон не применяется только к обработке для личных и семейных нужд.
Сколько стоит подать уведомление в Роскомнадзор?
Госпошлины нет, расходы на рассмотрение уведомления на оператора возлагать нельзя (ст. 22 ч. 5).
Как проверить себя в реестре операторов персональных данных по ИНН?
В реестре операторов на сайте pd.rkn.gov.ru организацию и ИП ищите по названию, самозанятого - по ФИО в поле "Организация". ИНН самозанятого в реестр не вносится, поэтому по нему запись не находится. Если вас там нет, уведомление не подано или ещё не обработано.
Я обрабатываю персональные данные без уведомления Роскомнадзора. Что делать?
Подать его сейчас и одновременно привести в порядок политику и согласия на сайте. Чем раньше сведения появятся в реестре, тем меньше времени вы работаете с нарушением.
Нужно ли подавать изменение уведомления в Роскомнадзор, если что-то поменялось?
Да. Если поменялись цели, сервисы или состав данных, уведомление об изменении сведений подаётся не позднее 15-го числа месяца, следующего за месяцем изменений (ст. 22 ч. 7).
Что делать с уведомлением, если ИП закрывается?
Сообщить в Роскомнадзор о прекращении обработки персональных данных в течение десяти рабочих дней с даты прекращения (ст. 22 ч. 7 152-ФЗ). Иначе вы останетесь в реестре операторов, хотя уже не работаете.