Должна ли организация без сотрудников уведомлять Роскомнадзор?

Даже если у организации нет работников и фактическая деятельность не ведётся, это не всегда освобождает от обязанности подать уведомление в Роскомнадзор. Разбираем, когда это необходимо и чем грозит бездействие.

Что такое оператор персональных данных и кто к нему относится

Согласно п. 2 ст. 3 Федерального закона № 152-ФЗ, оператором персональных данных признаётся любое лицо — юридическое или физическое, — если оно осуществляет обработку персональных данных. При этом обработка — это не только сбор и хранение, но и такие действия, как:

• запись, систематизация, накопление, уточнение;
  
  

• передача, предоставление доступа;
  
  

• уничтожение, обезличивание и т. д.
  
  

Иначе говоря, даже минимальное взаимодействие с ФИО, паспортными данными, электронной почтой или телефоном физических лиц может уже означать обработку персональных данных.

Нет сотрудников — значит, не оператор? Не всё так просто

У организаций без работников часто складывается впечатление, что если нет кадров — значит, нет и персональных данных. Однако всё зависит от обстоятельств.

Пример:
Компания зарегистрирована, фактически не ведёт деятельность, сдаёт нулевую отчётность. Единственный учредитель — он же руководитель — не оформлен по трудовому договору, но подписывает отчётность и использует электронную подпись.

⚠️ В этом случае организация признаётся оператором персональных данных. Почему?

• Она использует персональные данные руководителя, включая ФИО, паспорт, ИНН, СНИЛС, электронную подпись.
  
  

• Эти данные указываются в отчетных документах и передаются через электронные системы (ФНС, банки, контрагенты).
  
  

Даже если организация не ведёт активную деятельность, она осуществляет обработку персональных данных — как минимум в виде хранения и передачи.

Когда уведомление в Роскомнадзор обязательно

Организация обязана подать уведомление о начале обработки персональных данных, если:

• заключён трудовой договор хотя бы с одним сотрудником;
  
  

• руководитель использует электронную подпись, передаёт отчётность или иные документы с персональными данными;
  
  

• в документообороте участвуют персональные данные контрагентов, клиентов или представителей организаций (ФИО, контакты, паспортные данные, доверенности и пр.).
  
  

Факт наличия хоть одного физлица, чьи данные хранятся, уже означает необходимость подачи уведомления.

Как подать уведомление в Роскомнадзор

Сделать это можно одним из трёх способов:

1. На сайте Роскомнадзора с помощью усиленной квалифицированной электронной подписи (УКЭП).
   
   

2. В бумажной форме — отправить в территориальное отделение по месту регистрации организации.
   
   

3. Через личный кабинет на портале Госуслуг.
   
   

Уведомление подаётся однократно — если оно уже направлялось, повторно делать этого не нужно.

Что будет, если не подать уведомление

С 30 мая 2025 года вступают в силу изменения в законодательстве. Согласно новой редакции ч. 10 ст. 13.11 КоАП РФ, за отсутствие уведомления предусмотрены следующие штрафы:

• для юридических лиц — от 100 000 до 300 000 руб.;
  
  

• для ИП и организаций без сотрудников — аналогичный размер санкций.
  
  

Ранее штраф составлял всего от 300 до 500 рублей (по ст. 19.7 КоАП РФ), но теперь игнорирование требования может обойтись в десятки тысяч рублей.

Вывод: даже без работников уведомление может быть нужно

Если у организации есть хотя бы один субъект персональных данных (включая руководителя), чьи данные используются или передаются — организация признаётся оператором ПДн и обязана уведомить Роскомнадзор.