Подача уведомления в Роскомнадзор — нужно ли это всем?
Чем ближе дата 30 мая 2025 года, тем чаще появляются посты на тему: Нужно ли уведомлять Роскомнадзор о начале обработки персональных данных (или, наоборот, можно ли этого не делать)? Как говорится, все написали и я написал. Давайте попробуем разобраться в ситуации.
Меня зовут Александр Малютин, я судебный юрист, и моя специализация — банкротство, оспаривание сделок и ответственность руководителей.
Если вы хотите узнать больше о практических решениях в сложных правовых вопросах, подписывайтесь на мой ТГ-канал Прочёл в законе
В чём проблема?
Скоро будут существенно увеличены штрафы за отсутствие уведомления о начале обработки персональных данных.
Все те самозанятые, ИП, которые заключают договоры с клиентами, озадачились справедливым вопросом: «А надо ли подавать уведомление в РКН?».
Что говорит закон?
Закон «О персональных данных» действительно допускает исключения (п. 2 ст. 22). Одно из них — случай, когда оператор осуществляет обработку ПД исключительно без использования средств автоматизации.
Что считать автоматизированной обработкой, а что — нет?
В законе прямого ответа нет. Есть определение: Автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники. ( Пункт 4 ст. 3); Такую формулировку сложно назвать хорошей.
Но есть Постановление Правительства РФ от 15.09.2008 №687, в котором говорится, что обработка считается неавтоматизированной, если осуществляется при непосредственном участии человека.
В нём же указано, что обработка ПД не может признаваться автоматизированной только на том основании, что персональные данные содержатся в информационной системе.
Ключевой вопрос:
Если данные обрабатываются на компьютере, но вручную, с участием человека — это автоматизация или нет?
Что говорит судебная практика?
Я нашёл дело (А40-12676/2024), где СНТ оспаривало письмо РКН с требованием подать уведомление обо всех видах деятельности по обработке персональных данных.
У СНТ был сайт, на котором, видимо, размещалась форма сбора данных о членах.
Суд первой инстанции отказал в иске, а вот апелляция его удовлетворила.
И вот важные выводы апелляции:
- Таким образом, обработка персональных данных (сбор персональных данных) с использованием сайта в сети «Интернет» не приравнивается к использованию средств автоматизации, а по смыслу приведенных положений применение вычислительной техники при обработке персональных не относится к использованию средств автоматизации, если такая обработка осуществляется непосредственно человеком.
- Решающую роль при определении использования средств автоматизации имеет не то, каким образом, персональные данные получены, а то каким образом осуществляется их обработка.
- Вывод использовании средств автоматизации основан лишь на том обстоятельстве, что сбор персональных данных осуществляется с помощью вычислительной техники через сайт в информационно-телекоммуникационной сети Интернет, однако каких-либо доказательств, подтверждающих, что товариществом используется программа, осуществляющая обработку персональных данных в автоматизированном режиме без участия человека, материалы дела не содержат.
Комментарий
Получается, что суд пришёл к выводу о том, что если в процесс обработки вмешивается человек, то даже заполнение формы не сайте не означает автоматизированный процесс сбора персональных данных.
Кроме того, способ получения персональных данных через интернет ещё не обозначает их автоматизированную обработку (прим. если честно, мне такой вывод видится очень спорным).
Лично на мой взгляд, такая трактовка выглядит логичной и верной.
Есть ощущение, что под средствами автоматизации понимали всё же полностью автоматизированную обработку (но в голову авторам нормы мы не влезем).
Что было в кассации?
Кассация отменила постановление апелляции, но при этом:
- Согласилась с выводом, что обработка была неавтоматизированной;
- Указала, что РКН направил информационное письмо, а не предписание. А направлять письма никто запретить не может, поэтому и отмена.
Вывод по делу:
Ключевой правовой тезис фактически остался в силе (вопрос какую дать процессуальную оценку такой практике). СНТ, кстати, обратилось в Верховный Суд, так что ставьте дело на отслеживание.
Возможно, что даже если ВС РФ вынесет отказаное определение, то все равно даст намёк на то, какой подход является верным.
Что в итоге?
Честно? Итог всё ещё неясен. Единого понимания, где грань между автоматизированной и неавтоматизированной обработкой, нет.
Я перечитал самые разные комментарии по этой теме, почти все юристы стараются высказываться очень осторожно (Будьте осторожны и вы).
Большинство делают оговорки, официальной позиции инициатора истории нет.
Фильтруйте панические посты и рилсы о том, что надо срочно бежать, иначе "всё пропало". Может бежать и надо, но не в состоянии паники.
Есть основания полагать, что трактовать будет сам РКН, что потом может стать единым подходом (а может не стать, не забываем, что государственные органа не обладают правом на толкование закона, в отличие от суда).
Это надо знать
Кстати, если вы подадите уведомление в РКН, то все сведения, которые укажете о себе (включая адрес, вид деятельности и даже номер квартиры) станут доступными по запросу любого пользователя. Такие вот дела.
Призываю каждого, кто обдумывают вопрос о подаче уведомления взвешено, принимать решение с учётом возможных рисков.
Пост несёт цель информативную, а ещё задачу запустить обсуждение сиутации. Возможно все вместе найдём верный ответ.
Если есть вопросы по теме, то с радостью отвечу в комментариях. Есть чем дополнить мысли? Делитесь тоже, обсудим вместе!
А если статья оказалась полезной и вас интересует юриспруденция, приглашаю подписаться на мой Telegram-канал Прочёл в законе. Там вы найдете больше интересных материалов. Буду рад видеть вас среди подписчиков