Сфера защиты персональных данных в России регулируется сразу несколькими нормативными актами, главный из которых — Федеральный закон №152-ФЗ «О персональных данных». В ноябре 2024 года был принят Федеральный закон №420-ФЗ, который внёс масштабные изменения в Кодекс об административных правонарушениях (КоАП РФ). Он усилил ответственность за нарушения в сфере обработки персональных данных и уточнил обязанности операторов. В этой статье разберёмся, зачем нужно отправлять уведомление в Роскомнадзор, кто обязан это делать, и чем грозит несоблюдение законодательства.
Содержание
Что такое уведомление в РКН и зачем его подавать?
Уведомление в Роскомнадзор (РКН) — это официальное сообщение о том, что организация или индивидуальный предприниматель занимается обработкой персональных данных. Это требование закона, направленное на обеспечение прозрачности и подотчётности в сфере защиты информации.
Сам факт того, что вы собираете заявки на сайте, принимаете резюме, ведёте кадровый учёт или пользуетесь CRM, делает вас оператором персональных данных. А значит — вы обязаны уведомить об этом РКН.
Процедура подачи уведомления занимает немного времени, но её отсутствие может повлечь за собой серьёзные последствия — от предупреждений до многомиллионных штрафов.
Более подробно о подаче уведомления и приведения сайта в соответствие с законом смотрите тут — https://scrumweb.ru/services/sootvetstvie-420-fz.html.
Что изменилось после вступления в силу закона 420-ФЗ?
Федеральный закон от 30 ноября 2024 года №420-ФЗ внёс ключевые поправки в КоАП РФ. Основные изменения затронули:
- Повышение базовых штрафов за нарушения законодательства о персональных данных;
- Введение ответственности за неподачу уведомления об обработке персональных данных;
- Установление санкций за неправомерную передачу данных и массовые утечки;
- Уточнение ответственности за нарушения при работе с биометрическими персональными данными (БПД);
- Запрет отказа в оказании госуслуг или заключении договора при отказе от сдачи БПД.
Согласно новым нормам, неподача уведомления об обработке персональных данных может обернуться штрафом до 3 миллионов рублей, если она сопряжена с неправомерной передачей информации, и до 15 миллионов рублей в случае массовой утечки данных.
Кто обязан подавать уведомление в Роскомнадзор?
Многие ошибочно полагают, что данное требование касается только крупных компаний. Однако на практике подавать уведомление обязаны:
- ИП и юрлица, ведущие кадровую работу с сотрудниками;
- Рекрутинговые агентства и компании, принимающие резюме;
- Организации с сайтами, где есть формы заявок, обратной связи, онлайн-запись и т.п.;
- Все, кто использует веб-аналитику и маркетинговые скрипты;
- Компании, работающие с данными клиентов, партнёров или подрядчиков.
Фактически, если вы получаете ФИО, телефоны, e-mail, IP-адреса или любые идентифицирующие данные — вы являетесь оператором персональных данных.
Что считается персональными данными?
Персональные данные — это любая информация, относящаяся к прямо или косвенно определяемому физическому лицу. Включают:
- Фамилию, имя, отчество;
- Контактные данные (телефон, email);
- Паспортные данные, ИНН, СНИЛС;
- IP-адрес, cookies, данные о геолокации;
- Информацию из заявок, анкет, CRM, статистических и аналитических систем.
Даже если информация собирается автоматически, без участия пользователя — она может быть персональной, если позволяет идентифицировать человека.
Что будет, если не подать уведомление?
Ранее санкции за неподачу уведомления были формальными и несущественными. Однако с 2025 года, после вступления в силу поправок закона №420-ФЗ, ситуация изменилась кардинально. Наказания стали ощутимыми и разделены по тяжести нарушений:
- Базовые штрафы за нарушение законодательства о персональных данных: для граждан — от 10 000 до 15 000 рублей, для юрлиц — от 300 000 до 500 000 рублей;
- За непредоставление уведомления в Роскомнадзор: до 3 000 000 рублей (при одновременной неправомерной передаче данных);
- За массовую утечку данных: штрафы могут достигать 15 000 000 рублей;
- При повторных нарушениях штрафы увеличиваются в 1,5–2 раза;
- Также предусмотрены санкции за нарушения при работе с биометрическими данными, в том числе отсутствие аккредитации или мер защиты.
Штрафы теперь не условность — они стали инструментом реального давления на нарушителей. Особенно остро контролируются случаи, где присутствует утечка, передача данных третьим лицам или трансграничная передача без правовых оснований.
Как проверить себя?
Чтобы понять, есть ли у вас обязанность по уведомлению, ответьте на простые вопросы:
- Есть ли у вас сотрудники?
- Принимаете ли вы заявки, анкеты, обращения или резюме?
- Есть ли на вашем сайте формы, cookies или сторонние аналитические скрипты?
Если ответ на хотя бы один вопрос — «да», скорее всего, вы обязаны уведомить Роскомнадзор.
Требование к размещению сайта и данных на территории РФ
Согласно российскому законодательству, все персональные данные граждан РФ должны обрабатываться на территории России. Это означает:
- Сайт должен быть размещён в дата-центре, находящемся в пределах РФ;
- Сторонние сервисы (аналитика, CRM и др.) также должны хранить данные внутри страны.
Использование зарубежных платформ, таких как Google Analytics, больше не допускается, поскольку они передают данные на серверы за пределами РФ. Даже если передача осуществляется автоматически, без вмешательства пользователя, это считается нарушением.
Если сайт размещён за границей, а персональные данные попадают к иностранным организациям — это повод для проверки и потенциального штрафа.
Заключение
Новые поправки 420-ФЗ делают работу с персональными данными намного более ответственной и требующей внимательности. В 2025 году неподача уведомления, некорректная политика или использование запрещённых сервисов — это уже не формальное нарушение, а основание для серьёзной административной ответственности.
Если вы ведёте бизнес, принимаете заказы, общаетесь с клиентами или просто собираете аналитику на сайте — вы работаете с персональными данными. А значит, закон обязывает вас соблюдать правила.
Понимание и соблюдение требований — это основа для безопасности данных, устойчивости бизнеса и доверия со стороны клиентов и государства.