Уведомление в Роскомнадзор: кто подаёт и что будет, если нет

Это справочный разбор, а не юридическая консультация. Я ставлю камеры и сталкиваюсь с этими вопросами на каждом объекте, поэтому знаю, где люди спотыкаются. Документы по 152-ФЗ у меня готовит практикующий юрист.

Самая дорогая ошибка в этой теме выглядит безобидно. Человек читает «тридцать дней», выдыхает и вешает камеры сегодня, рассчитывая подать бумаги в течение месяца.

Тридцать дней принадлежат не ему.

Это срок, отведённый Роскомнадзору на внесение сведений в реестр после того, как уведомление уже подано, — ч. 4 ст. 22 152-ФЗ. У самого оператора срок другой: подать нужно до того, как обработка началась, ч. 1 ст. 22. То есть до того дня, когда камера впервые записала лицо посетителя. Ниже — кто вообще попадает под эту обязанность, что именно подаётся, где чаще всего ошибаются в самой форме и сколько стоит не подавать.

Оператор — это не про размер бизнеса

Слово «оператор» звучит так, будто речь о телеком-компании с дата-центром. На деле оператором становится любой, кто определяет, зачем и как обрабатываются персональные данные, — ст. 3 152-ФЗ.

Форма и налоговый режим здесь ничего не решают. ООО, ИП, самозанятый на НПД — обязанность привязана к самому факту обработки. Строка в реестре юрлиц здесь ничего не решает. Ровно поэтому запрос «уведомление в Роскомнадзор самозанятым» стабильно держится в поиске: люди ищут исключение, которого для них нет.

Персональные данные — это не только паспорт. Фамилия и телефон в брони, список сотрудников с датами рождения, журнал проходов по картам, изображение человека с камеры. Всё это данные, по которым человека можно определить.

Когда камера делает вас оператором, а когда нет

Граница проходит по одному признаку: кто попадает в кадр.

Камера дома, для себя. Вы снимаете свою квартиру, своих домашних и своего кота. Это личные и семейные нужды, 152-ФЗ на такую обработку не распространяется — ч. 2 ст. 1. Уведомление не нужно.

Камера в магазине, кафе, офисе, пункте выдачи. В кадре посетители и работники. Вы оператор со всеми обязанностями.

Камера на своём доме, направленная на улицу и соседский участок. Самый спорный случай, и самый частый источник конфликтов. Как только систематически снимаются посторонние люди, «личные нужды» заканчиваются. Разворот объектива и приватные зоны решают вопрос лучше, чем спор с соседом.

Отдельно про работников. До 1 сентября 2022 года в законе было исключение для обработки данных сотрудников. Его отменили законом № 266-ФЗ. Сейчас камера в цеху или в зале, где работают ваши люди, обязанностей не снимает, а добавляет: работников нужно ознакомить под подпись.

Два срока, которые путают чаще всего

Их действительно легко перепутать, потому что оба стоят в одной статье.

Практический вывод простой. Подавайте уведомление, пока система ещё монтируется. Не тогда, когда она уже пишет людей. Ждать записи в реестре, чтобы включить камеры, при этом не нужно: обязанность привязана к подаче.

Что подаётся и где ошибаются в форме

Уведомление подаётся через портал Роскомнадзора, со своей учётной записи. Форма длинная, но пугает не длина, а несколько полей, которые заполняют механически.

Цель обработки. Пишут «видеонаблюдение». Это не цель, а средство. Цель формулируется через задачу: обеспечение безопасности имущества и посетителей, контроль сохранности товара, соблюдение пропускного режима.

Категории субъектов. Забывают работников. Если камера смотрит в зал, где работает ваш персонал, категорий как минимум две: посетители и работники.

Перечень действий с данными. Отмечают только «сбор». Для видеонаблюдения это ещё запись, хранение, уточнение, удаление, а если запись уходит в облако — передача.

Сроки хранения. Ставят «бессрочно», потому что так проще. Дальше это придётся объяснять: срок должен быть обоснован целью. Для видеоархива обычно называют конкретное число суток и придерживаются его.

Местонахождение базы данных. Поле, из которого вырастают самые крупные штрафы. Если запись уходит в облако, надо понимать, где физически стоят серверы. Нарушение локализации — от 1 до 6 миллионов ₽ по ч. 8 ст. 13.11 КоАП, повторно до 18 миллионов по ч. 9.

Ответственный за организацию обработки. Это конкретный человек, назначенный приказом.

Уведомлением дело не заканчивается

Подача — самая заметная обязанность, но не единственная. Три вещи спрашивают вместе с ней.

Политика обработки персональных данных в открытом доступе. Для сайта это опубликованный документ, для помещения — доступный для ознакомления. Отсутствие политики наказывается отдельно, ч. 2 ст. 18.1 152-ФЗ, санкция по ч. 3 ст. 13.11 КоАП: юрлицу 30–60 тысяч ₽, ИП 10–20 тысяч, должностному лицу 6–12 тысяч.

Табличка на входе. Человек должен узнать о съёмке до того, как в неё попал. Состав сведений стоит в ч. 3 ст. 18 152-ФЗ: наименование или ФИО и адрес оператора, цель обработки и её правовое основание, перечень данных, предполагаемые пользователи, права субъекта и источник получения данных. ИНН в этом перечне нет — его пишут по практике. Значка с камерой и надписи «ведётся видеонаблюдение» в любом случае мало.

Внутренние документы. Положение об обработке с планом-схемой размещения камер, приказ о вводе системы, приказ об ответственном, перечень допущенных лиц, лист ознакомления работников, журнал выдачи записей. Последний нужнее, чем кажется: когда запись просят полиция, страховая или сам посетитель, выдача должна быть зафиксирована.

Сколько стоит не подать

Две оговорки к таблице, без которых её читают неправильно.

ИП отвечает как юридическое лицо. Примечание 1 к ст. 13.11 КоАП говорит дословно: по частям 1.1 и 8–18 этой статьи индивидуальные предприниматели несут административную ответственность как юридические лица. Часть 10 в диапазон входит. Отдельной строки для ИП там нет именно поэтому. Мягче санкция для него не становится.

Строка «должностное лицо» здесь не про директора ООО. Примечание 2: в частях 10–18 должностным лицом считается должностное лицо государственного или муниципального органа либо некоммерческой организации.

И ещё одно: повторности у части 10 нет вообще. Часть 9 — это повтор части 8, то есть локализации.

Четыре вещи, которых уведомление не закрывает

Есть нарушения, где подача уведомления не помогает вообще, потому что состав другой.

Скрытая камера в бытовом корпусе. Часы, датчик дыма, зарядка с объективом. Ст. 138.1 УК, и состав образует уже покупка такого устройства.

Съёмка приватных зон. Это примерочные, санузлы, душевые и раздевалки. Ст. 137 УК. Согласие человека это не легализует.

Запись звука без предупреждения. Микрофон в камере включён по умолчанию чаще, чем думают, а скрытая запись чужих разговоров попадает в поле ст. 137 УК, а если пишет специальное средство — то и ст. 138.1.

Биометрия по умолчанию. Вход по лицу или отпечатку нельзя делать единственным способом: по ч. 3 ст. 11 152-ФЗ у человека должна оставаться альтернатива. А по 572-ФЗ такие данные обрабатываются через государственную систему или аккредитованную площадку.

Что здесь делаю я

Уведомление вы подаёте сами, со своей учётной записи. Оператор — вы, и подрядчик им вместо вас не становится, как бы это ни было удобно обеим сторонам. Помочь его подготовить я могу.

Пакет документов по 152-ФЗ — положение с планом-схемой, приказы, политику, таблички, лист ознакомления, журнал выдачи записей — готовит практикующий юрист. Я отдаю их вместе с актом и отдельных денег за это не беру. Через эту процедуру я прошёл и за себя: номер в реестре операторов 77-26-569223.

Чего я не делаю

Не даю юридических консультаций. Эта статья объясняет обязанность и показывает, где ошибаются. Спорные ситуации разбирает юрист.

Не представляю вас в переписке с Роскомнадзором и не подаю уведомление за вас: подпись оператора должна быть вашей.

Не обещаю, что претензий не будет ни при каких обстоятельствах. Такого не может честно пообещать никто, и формулировки вроде «избавим от штрафов» я не использую.

Не ставлю скрытые камеры, микрофоны без предупреждения и съёмку приватных зон. Отказываю письменно.