152-ФЗ для ООО: обязанности оператора персональных данных
ООО почти всегда является оператором персональных данных: как минимум обрабатываются данные сотрудников, а обычно ещё и клиентов, контрагентов, кандидатов. Для юридического лица штрафы по 152-ФЗ самые высокие, поэтому набор обязанностей стоит закрыть полностью.
Какие персональные данные собирает ООО
- данные сотрудников (кадровый учёт, зарплата, СНИЛС, ИНН)
- данные клиентов и контактных лиц контрагентов
- данные кандидатов на вакансии (резюме)
- данные посетителей сайта — формы, аналитика
Даже часть этого списка делает вас оператором персональных данных со всеми обязанностями, описанными ниже.
Что нужно сделать по 152-ФЗ
Базовый набор одинаков для любого бизнеса — различается только специфика (о ней ниже):
- Подать уведомление в Роскомнадзор до начала обработки. Исключения для малого бизнеса отменены с 2022 года.
- Опубликовать политику обработки персональных данных по постоянной ссылке — в подвале и у каждой формы.
- Добавить незаполненный чекбокс согласия ко всем формам, отдельный — на рекламные рассылки.
- Настроить cookie-баннер с возможностью отказа, если есть аналитика или рекламные пиксели.
- Хранить данные в России. Сайт, CRM, сервис форм и рассылок — российские либо с подтверждённой локализацией.
- Назначить ответственного за организацию обработки и утвердить внутренние документы.
Проверьте, что из этого у вашего сайта уже не в порядке — бесплатно, за 30 секунд.
Проверить сайтСпецифика ООО
Данные сотрудников — тоже обработка
Кадровый учёт подпадает под 152-ФЗ. С 1 сентября 2022 года «обработка только данных сотрудников» больше не освобождает от уведомления в Роскомнадзор.
Ответственный за организацию обработки
ООО обязано назначить приказом лицо, ответственное за организацию обработки персональных данных (ст. 22.1 152-ФЗ), и указать его в уведомлении и политике.
Внутренние документы
Помимо публичной политики нужны положение об обработке и защите персональных данных, перечень обрабатываемых данных, акт определения уровня защищённости, правила рассмотрения обращений субъектов. При проверке их запрашивают отдельно.
Двойная ответственность
За одно нарушение штраф может быть наложен и на ООО как на юрлицо, и на директора или ответственного как на должностное лицо — это не «или-или».
Три главных риска для ООО
- нет записи в реестре операторов (ч. 10 ст. 13.11 КоАП — для юрлиц 100 000–300 000 ₽)
- штрафы для юрлиц по всем составам кратно выше, чем для ИП
- не назначен ответственный, нет внутренних документов — видно при первой же проверке
Чек-лист на один день
- Выпишите все формы на сайте и все сторонние сервисы (аналитика, чат, CRM, рассылка, оплата, запись).
- Проверьте, где физически хранятся данные; замените зарубежные сервисы на российские.
- Подготовьте и опубликуйте политику, поставьте ссылку в подвал и к формам.
- Добавьте чекбоксы согласия; для рассылок — отдельный.
- Установите cookie-баннер, который не грузит необязательные скрипты до согласия.
- Назначьте ответственного и подайте уведомление в Роскомнадзор.
Частые вопросы
Нужно ли ООО подавать уведомление, если оно обрабатывает только данные своих сотрудников?
Да. Исключение «в связи с трудовыми отношениями» отменено с 1 сентября 2022 года. Уведомление подаётся до начала обработки, а при изменении сведений направляется информационное письмо.
Можно ли назначить ответственным за обработку стороннего специалиста по договору?
Ответственный за организацию обработки — это работник оператора либо иное лицо, которому такая функция поручена; на практике чаще назначают штатного сотрудника (юриста, кадровика, руководителя). Аутсорсинг допустим, но ответственность оператора это не снимает.
Распространяется ли 152-ФЗ на маленький бизнес?
Да. Закон не устанавливает нижнего порога по обороту или числу клиентов. Обязанности оператора возникают с первой собранной строчки персональных данных.
Что грозит за нарушения?
Штрафы по статье 13.11 КоАП РФ: за отсутствие политики — от 30 000 до 60 000 ₽ для юрлиц, за неподачу уведомления — от 100 000 до 300 000 ₽, за нарушение локализации — от 1 до 6 млн ₽, за утечку — от 3 до 15 млн ₽. Подробнее — на странице «Штрафы по 152-ФЗ».
Как быстро проверить свой сайт?
Бесплатная проверка ПДн.Риск за 30 секунд сверяет ИНН с реестром операторов и смотрит формы, согласия, политику, cookie-баннер и сторонние трекеры, после чего показывает список несоответствий.
Не проверяйте по списку вручную — запустите автоматическую проверку сайта.
Проверить сайт бесплатноМатериал носит информационный характер и не является юридической консультацией. Автор: Андронов Юрий, руководитель ПДн.Риск. Первоисточник: 152-ФЗ на pravo.gov.ru.