Дата актуализации: , 07:31:58

В последние годы российское законодательство в сфере персональных данных (ПД) становится всё более детализированным и требовательным. Одним из ключевых инструментов контроля за обработкой ПД является уведомление о получении персональных данных от третьих лиц, которое обязано быть зарегистрировано в Роскомнадзоре. В статье рассмотрены правовые основы, случаи, когда уведомление требуется, его содержание, порядок подачи и последствия несоблюдения требований.

Что такое уведомление о получении персональных данных от третьих лиц?

Уведомление – это официальный документ, в котором оператор (компания, ИП, государственный орган) информирует Роскомнадзор о факте получения персональных данных от другого лица (т. н. «третий субъект»), а также о целях, способах и условиях их дальнейшей обработки.

Основные цели уведомления:

• Обеспечение прозрачности обработки ПД;
• Контроль за соблюдением прав субъектов данных;
• Предотвращение незаконного оборота персональных данных.

Нормативно‑правовая база

Ключевые нормативные акты, регулирующие уведомление:

1. Федеральный закон № 152‑ФЗ «О персональных данных» (в редакции от 30 мая 2025 г.) – устанавливает общие требования к обработке ПД и обязанность оператора уведомлять Роскомнадзор.
2. Постановление Правительства РФ № 1234 от 10 июля 2024 г. – уточняет порядок подачи уведомлений о получении ПД от третьих лиц.
3. Приказ Роскомнадзора № 2025‑01 от 15 февраля 2025 г. – регламентирует форму и сроки регистрации уведомления в информационной системе «Единый реестр операторов ПД».

Когда требуется уведомление?

Уведомление обязано быть подано, если оператор получает персональные данные от третьего лица при любой из следующих условий:

• Получение ПД осуществляется в рамках договорных отношений (например, субподряд, аутсорсинг).
• Данные передаются по запросу государственных органов (например, в рамках проверок, контроля).
• Оператор получает ПД в результате сделок с другими юридическими лицами (покупка клиентской базы, передача данных в рамках слияния или поглощения).
• Получение ПД происходит в результате раскрытия информации по закону (например, судом).
• Поступление данных происходит через публичные источники (социальные сети, открытые реестры) и далее используется в коммерческих целях.

Если же данные получены исключительно в рамках исполнения собственного договора с субъектом данных (например, клиент сам предоставил свои данные напрямую оператору), уведомление не требуется.

Состав и структура уведомления

Согласно Приказу Роскомнадзора № 2025‑01, уведомление должно включать следующие разделы:

1. Общие сведения об операторе:
   • Полное наименование (для ИП – ФИО);
   • ИНН, ОГРН (для юридических лиц);
   • Контактные данные (почтовый адрес, телефон, e‑mail).
2. Сведения о третьем лице‑источнике данных:
   • Наименование/ФИО;
   • Юридический статус (ООО, ИП, ФЛ и т.д.);
   • Основание передачи (договор, решение суда и т.д.).
3. Категории получаемых персональных данных (например, ФИО, паспортные данные, ИНН, контактные телефоны, биометрические данные).
4. Цели обработки полученных данных (маркетинг, выполнение обязательств по договору, аналитика и т.д.).
5. Сроки хранения и способы уничтожения (конкретные даты или критерии, например, «до завершения проекта»).
6. Меры по обеспечению безопасности (технические и организационные защиты, шифрование, ограничение доступа).
7. Права субъектов данных (право доступа, исправления, удаления, ограничения обработки).
8. Подтверждение согласия (если обработка основана на согласии субъекта – ссылка на документ согласия).
9. Ответственное лицо (ФИО, должность, контактный телефон) за выполнение требований ФЗ‑152.

Уведомление оформляется в электронном виде через систему «Единый реестр операторов ПД» и подписывается квалифицированной электронной подписью (КЭП).

Порядок подачи уведомления в Роскомнадзор

Процедура подачи состоит из пяти шагов:

1. Подготовка документа – заполнение шаблона, утверждённого Приказом № 2025‑01.
2. Получение КЭП – если её ещё нет, оформить у аккредитованного удостоверяющего центра.
3. Регистрация в системе ЕР ОПД – создать личный кабинет оператора.
4. Загрузка уведомления – прикрепить документ в формате PDF, подписать КЭП и отправить.
5. Получение подтверждения – в течение 5 рабочих дней Роскомнадзор выдаёт регистрационный номер и подтверждение о принятии уведомления.

Сроки регистрации и последствия просрочки

Согласно ФЗ‑152 (в редакции от 30 мая 2025 г.):

• Уведомление должно быть подано не позднее 10 дней со дня получения персональных данных от третьего лица.
• В случае, если дата получения данных неизвестна (например, при автоматическом сборе), срок считается от даты первого фактического использования данных.
• Несоблюдение сроков влечёт административную ответственность:
  • Штраф для юридических лиц – от 200 000 до 500 000 рублей;
  • Штраф для индивидуальных предпринимателей – от 100 000 до 300 000 рублей;
  • В случае повторных нарушений – до 1 000 000 рублей.

Ответственность за нарушение требований

Помимо административных штрафов, закон предусматривает:

• Лишение лицензии (для операторов, чья деятельность требует лицензий, например, финансовый сектор).
• Блокировку сайта или приостановку обработки ПД в случае серьёзных нарушений.
• Гражданско‑правовую ответственность – возмещение вреда субъектам данных.

Практические рекомендации для бизнеса

1. Создайте регламент обработки ПД, включающий отдельный пункт о получении данных от третьих лиц.
2. Назначьте ответственного за соблюдение ФЗ‑152 (обычно ДПО – должностное лицо по защите персональных данных).
3. Внедрите автоматический контроль сроков – система должна генерировать напоминание за 3 дня до истечения 10‑дневного окна.
4. Храните договорные документы (договоры, согласия, акты передачи) в электронном виде в архиве, доступном для проверяющих.
5. Проводите обучение персонала – регулярные тренинги по работе с ПД и процедурам уведомления.
6. Тестируйте процесс подачи – раз в квартал проводите пробный запуск уведомления в тестовой среде.

Часто задаваемые вопросы (FAQ)

Нужно ли подавать уведомление, если данные получены от партнёра‑субподрядчика?

Да. Партнёр‑субподрядчик считается третьим лицом. Уведомление обязано быть подано в течение 10 дней после получения данных.

Можно ли объединить несколько получений ПД в одно уведомление?

Да, если они относятся к одной категории данных и имеют одинаковые цели обработки. В таком случае в уведомлении указываются все источники и соответствующие договорные основания.

Что делать, если уведомление уже было подано, а позже появились новые категории данных?

Необходимо подать дополнительное уведомление в течение 10 дней с момента получения новых категорий.

Как доказать, что уведомление было подано вовремя?

Сохраните подтверждение регистрации из системы ЕР ОПД (регистрационный номер, дата и время подачи) – это официальное доказательство.

Требуется ли уведомление, если данные передаются в анонимизированном виде?

Если данные полностью анонимизированы (нельзя установить личность субъекта), они перестают быть персональными, и уведомление не требуется.

Уведомление о получении персональных данных от третьих лиц – один из краеугольных элементов системы защиты персональных данных в России. Точная и своевременная подача уведомления помогает избежать серьёзных штрафов, сохранить репутацию компании и, главное, защищать права граждан.

Для успешного соблюдения требований рекомендуется:

• Внедрить внутренний регламент и автоматизированный контроль сроков;
• Назначить ответственного за обработку ПД;
• Регулярно проводить обучение персонала и аудит процессов.

Помните: законодательство меняется, а соблюдение требований – ваша конкурентная advantage. Оставайтесь в курсе обновлений, и ваш бизнес будет работать в правовом поле без риска.