Необходимо ли мне подавать уведомление в Роскомнадзор об обработке персональных данных?

Здравствуйте, Елена!

Персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных) (п. 1 ст. 3 Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных».

Индивидуальный предприниматель — физическое лицо, то есть Вы точно обрабатываете (собираете, храните, используете и т.д.)  персональные данные своих контрагентов-ИП.  Эта обработка является, скорее всего, автоматизированной, раз Вы используете Контур Эльбу, но это не точно.

Организация не является субъектом персональных данных, однако, вероятно, Вы обрабатываете персональные данные работников своих контрагентов-организаций. Персональные данные работников могут содержаться в доверенностях, выданных их работодателями-вашими контрагентами (паспорт, ФИО и т.д..), в переписке по эл. почте (должность, ФИО, личный телефон), в первичных учетных документах (должность, ФИО).

Подавать уведомление в РКН не требуется, если оператор осуществляет деятельность по обработке персональных данных исключительно без использования средств автоматизации.  Рекомендую изучить  Положение об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации, утвержденное Постановлением Правительства РФ от 15.09.2008 N 687. Возможно, Вы попадаете под исключение.

Подавать уведомление, если оно для Вас обязательно, следовало до начала обработки персональных данных (то есть как минимум до заключения первого договора с контрагентом-ИП).  

Если Вам помог мой ответ, Вы можете отблагодарить меня небольшой суммой через мой профиль по ссылке.

Дополнительные вопросы Вы можете задать мне в рамках индивидуальной платной консультации в чате (стоимость и время консультации согласовываются там же).

Здравствуйте, Елена!

Вы задали очень важный вопрос, который волнует многих предпринимателей, особенно в сфере B2B (работа только с организациями). Давайте разберёмся, нужно ли вам как ИП уведомлять Роскомнадзор об обработке персональных данных, учитывая вашу деятельность.

 
Краткий ответ:
Если вы действительно не обрабатываете персональные данные физлиц в рамках своей предпринимательской деятельности, то подавать уведомление в Роскомнадзор не требуется.
Но в реальности всё может быть не так однозначно — объясню ниже, на что стоит обратить внимание.

 
Что важно учесть в вашем случае (грузоперевозки):
Вы работаете только с ИП и ООО, а не с физлицами. Это уже снижает риски. Но:

Вопрос №1: Обрабатываете ли вы персональные данные?
Согласно ст. 3 Федерального закона № 152-ФЗ «О персональных данных», персональные данные — это любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу.

Примеры персональных данных:

ФИО, номер телефона, e-mail, паспортные данные;
адрес проживания;
ИНН, СНИЛС, реквизиты банковских карт — если они привязаны к физлицу.
Вы всё же обрабатываете ПДн, если:
Контактируете с представителями организаций, например:

Получаете от них ФИО, телефоны, e-mail (например, менеджера по логистике или директора).
Храните эту информацию в базе, почте, 1С, Контур.Эльба.
Работаете с ИП. Даже если они действуют как юрлицо, ИП — это физлицо с особым статусом, и их данные считаются персональными.
Верховный суд в своих обзорах (например, Обзор судебной практики № 2 за 2018 г.) подтверждает: если вы хоть как-то обрабатываете данные физлиц — даже в переписке по почте — вы являетесь оператором ПДн.
 
Нужно ли подавать уведомление?
Не всегда.

Согласно п. 2 ст. 22 закона № 152-ФЗ, уведомление не подаётся, если обработка ПДн осуществляется исключительно:

в рамках одного трудового договора (не ваш случай — сотрудников нет),
для исполнения договора, стороной которого является субъект ПДн (например, физлицо-заказчик — но у вас их нет),
без распространения и передачи третьим лицам, и данные не подлежат трансграничной передаче.
Однако!

Если вы обрабатываете ПДн работников контрагентов (ИП, ООО) — даже их e-mail или ФИО в переписке — формально вы становитесь оператором ПДн.
 
Что делать на практике:
1. Проведите «аудит» данных:
Есть ли у вас ФИО, телефоны, email сотрудников или представителей контрагентов?
Сохраняются ли они в вашей почте, 1С, Контур.Эльба?
Если да — вы обрабатываете ПДн, и формально обязаны уведомить Роскомнадзор.

2. Оформите политику обработки ПДн на сайте или по требованию.
Это можно сделать даже без сайта — просто иметь на бумаге, если спросят при проверке.

3. Подайте уведомление в Роскомнадзор через онлайн-сервис, если:
данные хранятся систематизировано (почта, Excel, CRM),
вы не можете исключить обработку персональных данных.
Форма простая, подаётся через Госуслуги.

 
️ Ответственность
Нарушение требований закона 152-ФЗ может привести к:

административному штрафу по ст. 13.11 КоАП РФ — от 6 000 до 75 000 рублей для ИП;
проверке Роскомнадзора — особенно, если кто-то пожалуется или будет плановая проверка (редко, но бывает).
 
️ Итоговая рекомендация
Даже если вы не работаете с физлицами как заказчиками, но переписываетесь и храните контакты представителей компаний (ФИО, e-mail и т.п.) — лучше подать уведомление.

Это несложно, стоит один раз сделать, и вы исключите риски.