Политика должна описывать существующую обработку и понятные человеку способы защиты. Её публикация не заменяет настройку CRM, полномочия сотрудников и выполнение уведомлений. Работа начинается с инвентаризации форм, кадровых систем, переписки, телефонии, приложений, аналитики и резервных копий. Даже небольшой предприниматель может обрабатывать данные автоматически; размер бизнеса не освобождает от правил.
Документы, которые соединяют обязанность с исполнителем
Юридическое лицо назначает ответственного за организацию обработки; он подотчётен исполнительному органу, получает нужные сведения и организует контроль, обучение, приём запросов. Назначить человека без доступа к договорам и журналам недостаточно. В локальных актах для каждой цели определяют данные, категории субъектов, способы и сроки обработки и хранения, уничтожение, предупреждение и устранение нарушений. Отдельно устанавливают доступ, работу с подрядчиками, запросами и инцидентами; оценивают возможный вред, сопоставляют его с мерами защиты и проверяют исполнение. Обязанности в статьях 18.1 и 22.1, прямо адресованные юридическим лицам, не следует механически переносить на ИП как требование «приказать самому себе». Общие обязанности оператора, включая защиту и публикацию политики, распространяются и на него. Закон № 152-ФЗ.
При сборе через сеть политику и сведения о реализуемых требованиях к защите размещают в соответствующей сети, в том числе на страницах сайта, которыми собирают данные, с возможностью доступа к документу. Читателю нужны действительный оператор, цели, основания, категории, сроки и способ обращения. Публичный документ не должен раскрывать пароли, уязвимости или внутреннюю схему защиты. Кнопка «ознакомлен» не превращает политику в согласие на произвольные операции.
Уведомление: до начала, затем при изменениях
Статья 22 требует уведомить РКН до начала обработки, кроме конкретных исключений части 2. Старые исключения для обычной обработки данных работников или исполнения договора утратили силу с 1 сентября 2022 года. На дату среза сохранились специальные случаи государственных систем безопасности, деятельности исключительно без средств автоматизации и обработки по законодательству о транспортной безопасности. Если компания ведёт бумажный журнал и одновременно рабочую CRM, ссылка на исключительно неавтоматизированную деятельность требует пересмотра.
По каждой цели уведомление отражает категории данных и субъектов, основание, операции и способы. Также нужны начало и условие прекращения, расположение базы, наличие трансграничной передачи, ответственный и меры безопасности. Данные должны совпадать с действительностью, а не с рекламой облачного провайдера. Для формы используют приказ РКН № 180 и официальный портал; подача бесплатна. Сведения вносятся органом в реестр в течение 30 дней с поступления уведомления, но уведомительный порядок не является предварительным разрешением органа и не подтверждает законность всей обработки.
При изменении сведений уведомляют не позднее 15-го числа следующего месяца; о прекращении обработки — в течение десяти рабочих дней с даты прекращения. Если остаётся архив с персональными данными, прекращение рекламной рассылки не означает прекращения всей обработки. Отдельное уведомление о трансграничной передаче подчиняется статье 12. Статья 22 и временные изменения, форма № 180.
Если уведомление пропущено или пришёл запрос
Установите реальную дату начала, действующие цели и состав сведений; исправьте обработку и подайте достоверное уведомление. Не указывайте будущую дату для сокрытия уже начавшейся деятельности. Сохраните подписанную форму, отправку, регистрационные сообщения и последующую запись реестра. По запросу РКН необходимые сведения предоставляют в десять рабочих дней; возможно мотивированное продление максимум на пять. Запрос и сроки по нему отличают от контрольного мероприятия, предписания и производства по КоАП.
С 30.05.2025 часть 10 статьи 13.11 КоАП предусматривает за неуведомление или просрочку для оператора — коммерческого юридического лица штраф 100–300 тысяч рублей; ИП по примечанию отвечает как юридическое лицо. Публикация политики и сообщение об инциденте образуют иные составы. Эти суммы нельзя объединять в единый «штраф за отсутствие документов»: квалификация и доказательства нужны по каждому событию. КоАП, статья 13.11 и примечания, Закон № 420-ФЗ.
Практика и возражения
Прочитанные формы и действующий сервис РКН подтверждают административный порядок уведомления, но не являются решением об одобрении конкретного оператора. Прямой акт высшего суда, из которого следовало бы освобождение малого бизнеса только из-за размера или отсутствия сайта, в проверенных материалах не найден. В деле LinkedIn существенным было фактическое участие в организации обработки; отсутствие прямого договора с каждым человеком не исключило обязанности оператора. Апелляционный акт.
Сильное возражение бизнеса — обработка действительно исключительно бумажная и подпадает под исключение. Его проверяют по всему процессу и по постановлению № 687, а не по отдельной папке. Даже подтверждённое исключение касается уведомления; оно не отменяет требования основания, конфиденциальности и прав человека. Неавтоматизированная обработка.
Связанные материалы: карта процессов, безопасность, запрос субъекта.