Нужно ли НКО регистрироваться в Роскомнадзоре как оператор ПДн?

Работа любой некоммерческой организации так или иначе связана с обработкой персональных данных. Это могут быть данные сотрудников, волонтеров, жертвователей, участников мероприятий, подписчиков рассылки и т.д. Часто у НКО возникает вопрос: обязана ли она регистрироваться в Роскомнадзоре как оператор персональных данных и не будет ли здесь риска? Разберемся по порядку.

1⃣ Что говорит закон?
Согласно Федеральному закону от 27.07.2006 №152-ФЗ «О персональных данных», оператором признается лицо (в том числе организация), которое организует и/или осуществляет обработку персональных данных. То есть если НКО собирает, хранит, систематизирует, использует и т.д. персональные данные, она, по сути, становится оператором. В общем случае оператор обязан направить уведомление о начале обработки персональных данных в Роскомнадзор, чтобы попасть в реестр операторов.

2⃣ Есть ли исключения?
Закон действительно устанавливает ряд исключений из обязанности по подаче уведомления (п. 2 ст. 22 Закона №152-ФЗ), однако они охватывают лишь узкий круг ситуаций.

3⃣ Когда регистрация нужна?
Во всех других ситуациях. Вот типичные случаи, когда НКО должна направить уведомление в Роскомнадзор:
📎 заключение трудовых договоров;
📎 организация ведет e-mail/смс/мессенджер-рассылки по базе подписчиков (например, рассылка новостей);
📎 НКО использует формы на сайте (заявки на участие в мероприятиях, формы пожертвований и т.д.);
📎 обработка ведется с использованием автоматизированных средств (что практически всегда так) и др.

4⃣ Как зарегистрироваться?
Регистрация осуществляется через кабинет на сайте Роскомнадзора. Заполняется форма уведомления, в которой нужно указать: цели и правовые основания обработки персональных данных; категории субъектов и перечень обрабатываемых данных; меры защиты и т.д.
Также стоит подготовить локальные нормативные акты по работе с персональными данными: политику в отношении ПДн, согласия, журналы и прочее. Их не нужно прикладывать к уведомлению, но для внутреннего пользования они будут необходимы.

5⃣ Что будет, если не зарегистрироваться?
❗️С 30 мая 2025 года КоАП РФ (ст. 13.11) дополняется новыми составами правонарушений. Например, за неуведомление о намерении обрабатывать ПДн грозит штраф от 100 до 300 тысяч рублей. Поэтому "включиться" в реестр лучше до наступления этой даты. Подробнее об изменениях можно прочитать здесь.

#ПерсональныеДанные