Сроки подачи уведомления в Роскомнадзор: все сроки в одной таблице
Все сроки по уведомлению в Роскомнадзор в одной таблице: подача до начала обработки, 30 дней на внесение в реестр, 15-е число для изменений, 10 рабочих дней на прекращение, 24 и 72 часа при утечке. Частые ошибки при подаче.
Коротко: подать уведомление нужно до начала обработки персональных данных. Дальше сроков несколько: Роскомнадзор вносит запись в реестр в течение 30 дней, изменения подают не позднее 15-го числа следующего месяца, о прекращении обработки сообщают в течение 10 рабочих дней, об утечке в течение 24 и 72 часов. Все сроки собраны в одной таблице ниже, с основанием в законе.
Сроки одной строкой
- Подача: до начала обработки.
- Реестр: до 30 дней с даты поступления уведомления.
- Изменения: до 15-го числа месяца, следующего за месяцем изменений.
- Прекращение: 10 рабочих дней.
- Утечка: 24 часа и 72 часа.
- Давность по делу об административном правонарушении: один год.
Все сроки в одной таблице
| Ситуация | Срок | Основание |
|---|---|---|
| Начало обработки персональных данных | Уведомить до начала обработки | Часть 1 статьи 22 ФЗ-152 |
| Внесение сведений в реестр операторов | В течение 30 дней с даты поступления уведомления | Часть 4 статьи 22 |
| Изменились сведения из уведомления | Не позднее 15-го числа месяца, следующего за месяцем, в котором возникли изменения | Часть 7 статьи 22 |
| Прекращение обработки | Уведомить в течение 10 рабочих дней с даты прекращения | Часть 7 статьи 22 |
| Исключение записи из реестра после уведомления о прекращении | В течение 30 дней с даты поступления уведомления | Часть 4.1 статьи 22 |
| Трансграничная передача | Уведомить до начала деятельности по передаче. Решение Роскомнадзора в течение 10 рабочих дней | Части 3 и 9 статьи 12 |
| Утечка: первое уведомление | В течение 24 часов с момента выявления инцидента | Пункт 1 части 3.1 статьи 21 |
| Утечка: результаты внутреннего расследования | В течение 72 часов с момента выявления | Пункт 2 части 3.1 статьи 21 |
| Давность привлечения к ответственности | Один год со дня совершения правонарушения, при длящемся со дня обнаружения | Статья 4.5 КоАП |
«До начала обработки»: что это значит на практике
Закон не даёт отсрочки на запуск. Если вы собираетесь открыть сайт с формой заявки, нанять первого сотрудника или подключить CRM, уведомление подаётся до того, как данные начнут поступать. В форме на портале Роскомнадзора есть поле «Дата начала обработки персональных данных». В подсказке к нему сказано, что нужна фактическая дата начала, она может совпадать с датой регистрации оператора.
Если вы уже обрабатываете данные, а уведомления не было, обязанность наступила ещё до начала обработки. Подайте уведомление как можно скорее: за невыполнение и просрочку установлена ответственность, о ней ниже. Кому обязательно подавать и какие исключения остались, разобрано в основной статье об уведомлении.
Как считать 15-е число для изменений
Срок для изменений привязан не ко дню события, а к месяцу. Изменения, которые возникли в ноябре, нужно внести не позднее 15 декабря. Изменения января — до 15 февраля.
Если за месяц менялось несколько вещей, закон требует уведомить «обо всех произошедших за указанный период изменениях» (часть 7 статьи 22). Одно уведомление можно подать обо всех изменениях месяца. Что считается изменением и как его подать, объяснено в статье об изменении уведомления.
Прекращение обработки: 10 рабочих дней
Срок на уведомление о прекращении обработки отсчитывается от даты прекращения и измеряется рабочими днями, не календарными. Роскомнадзор в течение 30 дней с даты поступления такого уведомления исключает ваши сведения из реестра (часть 4.1 статьи 22). Когда обработку нужно прекратить и как это оформляется, описано в статье о прекращении обработки.
Что происходит после подачи
После отправки портал показывает номер и ключ уведомления. По ним в разделе «Проверка состояния уведомления» можно узнать статус. Роскомнадзор вносит сведения в реестр в течение 30 дней. В инструкции ведомства сказано, что после рассмотрения в течение 30 дней организацию вносят в реестр, а в ином случае уведомление может быть отклонено или возвращено за уточнением сведений. Статья 22 даёт Роскомнадзору право требовать уточнения неполных или недостоверных сведений до внесения в реестр (часть 6). Срок ответа в тексте статьи 22 не указан, ориентируйтесь на срок в самом запросе.
Если через 30 дней вы не нашли себя в реестре, по инструкции Роскомнадзора можно обратиться в его электронную приёмную. Как искать запись, читайте в статье о реестре операторов.
Приведёт ли подача уведомления к проверке
Закон такой связи не устанавливает: в статье 22 о проверках после уведомления ничего нет. Роскомнадзор одновременно ведёт реестр и осуществляет контроль за соблюдением закона о персональных данных, это разные функции. Практическая точка пересечения одна: приказ Минцифры № 720 от 17.08.2023 относит к индикаторам риска три и более факта расхождения между уведомлением и сведениями на сайте оператора. Поэтому после подачи полезно сверить уведомление с политикой на сайте. Как устроена такая сверка, описано в статье о персональных данных на сайте.
Частые ошибки при подаче
- Одна общая цель вместо нескольких. Для каждой цели указывают категории данных, субъектов, основание, действия и способы (часть 3.1 статьи 22).
- Закон в качестве правового основания. Роскомнадзор в подсказке пишет, что ФЗ-152 основанием обработки не является.
- Адрес без индекса и не по справочнику ФИАС, с сокращениями в названиях.
- Не удалён блок о государственных и муниципальных информационных системах, хотя оператор к ним не относится.
- Подача не от той организации. При входе через Госуслуги нужно выбрать данные организации, указанной в уведомлении.
- Подписал не тот человек. Если подписывает не руководитель, при электронной подписи нужна машиночитаемая доверенность.
- Не сохранены номер и ключ. Страница с ними открывается один раз.
- Не отмечена трансграничная передача, когда она есть: для неё нужно отдельное уведомление.
- Уведомление не обновлено после изменений на сайте, в системах или в составе ответственных.
Что собрать заранее, чтобы не ошибиться, смотрите в пошаговой инструкции подачи. О передаче данных за границу — в статье про уведомление о трансграничной передаче.
Что бывает за просрочку
Часть 10 статьи 13.11 КоАП предусматривает ответственность за невыполнение или несвоевременное выполнение обязанности уведомить Роскомнадзор о намерении осуществлять обработку: для граждан от 5 000 до 10 000 ₽, для должностных лиц государственных, муниципальных органов и НКО от 30 000 до 50 000 ₽, для остальных организаций и ИП от 100 000 до 300 000 ₽. ИП отвечают как юридические лица по примечанию 1 к статье. Это диапазон, а не фиксированная сумма. Часть 10 говорит именно об уведомлении о намерении обрабатывать данные. Как квалифицируют просрочку уведомления об изменении или о прекращении, мы не утверждаем: в тексте части 10 это прямо не названо.
Отдельная ответственность установлена за несвоевременное уведомление об утечке: часть 11 статьи 13.11. Давность по таким делам один год (статья 4.5 КоАП).
Как мы помогаем
ФТИ — учебный центр, услуги по персональным данным у нас ведёт юрист, работаем удалённо по всей России. Первый срок — подача до начала обработки — закрывает услуга по уведомлению. Остальные удобно передать на сопровождение.
- Уведомление под ключ, 4 900 ₽: заполняем по каждой цели, подаём вместе с вашим руководителем, на запрос уточнений отвечаем без доплаты. Один-два рабочих дня на подготовку и подачу после получения данных.
- Сопровождение, 1 990 ₽ в месяц или 19 900 ₽ в год: подаём сведения об изменениях в срок, обновляем документы, отвечаем на вопросы. Сообщайте нам об изменениях: новый сервис, сотрудник, сайт. Запросы и предписания Роскомнадзора, проверки и утечки считаются отдельно, цену называем до начала работ.
Страницы: уведомление в Роскомнадзор под ключ и сопровождение по персональным данным. Если трансграничная передача есть, готовим уведомление о трансграничной передаче, 6 900 ₽. Все предложения: услуги ФТИ.
Нормативные документы
На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.
- Статья 22 Федерального закона № 152-ФЗ «О персональных данных» — уведомление об обработке, части 1, 4, 4.1, 6 и 7
- Статья 12 Федерального закона № 152-ФЗ — трансграничная передача, части 3 и 9
- Статья 21 Федерального закона № 152-ФЗ — сроки уведомления об утечке, часть 3.1
- Статья 13.11 КоАП РФ — нарушение законодательства в области персональных данных, части 10, 11 и примечания
- Статья 4.5 КоАП РФ — давность привлечения к административной ответственности
- Приказ Минцифры России от 17.08.2023 № 720 — индикатор риска: расхождение уведомления и сайта оператора
- Портал персональных данных Роскомнадзора — электронные формы заявлений
Частые вопросы
В какой срок нужно подать уведомление в Роскомнадзор?
До начала обработки персональных данных (часть 1 статьи 22 ФЗ-152). Отсрочки на запуск сайта, найм сотрудника или подключение CRM закон не предусматривает.
Через сколько дней Роскомнадзор вносит оператора в реестр?
В течение 30 дней с даты поступления уведомления (часть 4 статьи 22). Подать можно за день, а ускорить внесение записи нельзя.
До какого числа нужно сообщить об изменении сведений?
Не позднее 15-го числа месяца, следующего за месяцем, в котором возникли изменения (часть 7 статьи 22). Изменения ноября подаются до 15 декабря. Можно уведомить сразу обо всех изменениях за месяц.
За сколько дней нужно уведомить о прекращении обработки?
В течение 10 рабочих дней с даты прекращения обработки (часть 7 статьи 22). Считаются рабочие, а не календарные дни. После уведомления Роскомнадзор в течение 30 дней исключает сведения из реестра.
Какие сроки при утечке персональных данных?
С момента выявления инцидента: 24 часа на первое уведомление Роскомнадзора и 72 часа на результаты внутреннего расследования (часть 3.1 статьи 21).
Что будет, если пропустить срок подачи уведомления?
Часть 10 статьи 13.11 КоАП предусматривает ответственность за невыполнение или несвоевременное выполнение обязанности уведомить о намерении обрабатывать данные: для граждан от 5 000 до 10 000 ₽, для должностных лиц государственных органов и НКО от 30 000 до 50 000 ₽, для остальных организаций и ИП от 100 000 до 300 000 ₽. Это диапазоны, фактическую сумму определяет орган.
Через какой срок истекает давность по делам о персональных данных?
Постановление нельзя вынести по истечении одного года со дня совершения правонарушения, при длящемся правонарушении год считается со дня обнаружения (статья 4.5 КоАП).
Что делать, если уведомление вернули на уточнение?
Исправить неполные или недостоверные сведения. Роскомнадзор вправе требовать уточнения до внесения в реестр (часть 6 статьи 22). Срок ответа смотрите в самом запросе, в статье 22 он не указан. Форма позволяет заполнить уведомление данными ранее направленного по номеру и ключу.
Кто у ФТИ следит за сроками и сколько это стоит?
Сопровождение по персональным данным: 1 990 ₽ в месяц или 19 900 ₽ в год. Подаём сведения об изменениях в срок, обновляем документы, отвечаем на вопросы. Сообщайте нам об изменениях. Проверки, предписания и утечки считаются отдельно, цену называем до начала.