О персональных данных для частнопрактикующих специалистов (2025 г.)

2 апреля 2025 года Анна Лапа с Михаилом Ратушным встретились в подкасте Ангри Кейс и поговорили о том, что делать частнопрактикующим специалистам с персональными данными (ПДн), чтобы не нарваться на проверки и штрафы Роскомнадзора (РКН).

Каждый специалист, работая на себя, тем или иным способом обрабатывает персональные данные клиента, таким образом являясь оператором персональных данных. И уже с мая 2025 года штрафы за то, что такие операторы не зарегистрировались и не пришли в РКН самостоятельно будут весьма существенными.
Анна с Михаилом поговорили о том, как избежать штрафов и неприятных писем-уведомлений от РКН, а также составили чек-лист для тех, кто только-только становится официальным оператором ПДн.

1. Уведомляем Роскомнадзор о своей бурной деятельности (ст. 22 152-ФЗ), т.е. подаем Уведомление в РКН

· Как подать:

- Через форму на сайте РКН

- 3 варианта: Госуслуги, ЭП или бумажный носитель

· Сроки:

- Основное уведомление – до начала обработки ПДн

- Изменения – до 15 числа следующего месяца

Примеры заполнения: документы РКН

Проверка статуса: ссылка

Если нужна трансграничная передача (ст. 12 152-ФЗ):

- Подать отдельное уведомление: форма

- Пример заполнения есть на той же странице

- Проверить статус: здесь

2. Разрабатываем публичные документы о том, что вы делаете с ПДн клиентов, т.е. Политика обработки ПДн (п. 2 ч. 1, ч. 2 ст. 18.1 152-ФЗ)

Обязательно:

- Разработать документ

- Опубликовать для неограниченного круга лиц

Что проверить в политике:

- Соответствие требованиям ст. 18.1 152-ФЗ

- Указание целей, категорий данных, сроков хранения

Важно: РКН требует политику даже у тех, кто по букве закона может её не иметь. Рекомендации: статья о политике

3. Если у вас есть сайт, то к нему будут определенные требования в разрезе ПДн

Обязательно:

- Разместить политику ПДн в открытом доступе

- При сборе данных (регистрация, формы) – давать пользователям возможность с ней ознакомиться (чек-бокс, ссылка)

Если есть cookies:

- Добавить информирующую плашку

- Указать использование аналитики (Google Analytics и аналоги)

- Важно: иностранная аналитика = трансграничная передача (см. п. 1)

Подробнее: про cookies

4. Вы не можете как вам хочется собирать и обрабатывать ПДн, есть определенные правила по обработке. Законность обработки (ст. 6 152-ФЗ)

Определить основания:

- Согласие субъекта

- Договор

- Закон

- Иные разрешённые случаи

Запрещено:

- Собирать данные «про запас»

- Использовать ПДн бесконтрольно (например, контакты для заявки ≠ реклама без отдельного согласия)

· Если публикуем данные для неопределенного круга лиц (ФИО в отзывах и т.п.):

- Обратить внимание на ст. 10.1 152-ФЗ

- Читать: разбор тонкостей

· Гайд по работе с ПДн для бизнеса

Дополнительно также рекомендуем послушать запись подкаста Анны и Михаила на канале Angry IP.