Если в Политику обработки персональных данных, а также в положение об обработке персональных данных вносятся изменения, нужно ли уведомлять Роскомнадзор? Должна ли на этих документах быть видна преемственность?

В продолжение телефонного разговора, сообщаем:

Внесение изменений в Политику обработки персональных данных и Положение об обработке персональных данных не требует отдельного уведомления Роскомнадзора, если эти изменения не затрагивают сведения, указанные в ч. 3 ст. 22, Федеральный закон от 27.07.2006 N 152-ФЗ (ред. от 24.06.2025) "О персональных данных" {КонсультантПлюс}. К таким сведениям относятся, например, наименование оператора, цель обработки, сведения об ответственных лицах, срок обработки и т.д. Если изменения в Политике или Положении касаются именно этих сведений, то необходимо подать уведомление об изменении сведений, содержащихся в уведомлении о намерении осуществлять обработку персональных данных, по форме, утвержденной Приказом Роскомнадзора от 28.10.2022 N 180 {КонсультантПлюс}.

На документах (Политике, Положении) должна быть видна преемственность. Рекомендуется указывать дату утверждения первоначальной версии и дату внесения изменений, например: "Утверждено [дата], с изменениями от [дата]". Это демонстрирует актуальность документа и порядок его обновления.

Подробнее в обосновании.

Обоснование

Согласно ч. 7 ст. 22, Федеральный закон от 27.07.2006 N 152-ФЗ (ред. от 24.06.2025) "О персональных данных" {КонсультантПлюс}, оператор обязан уведомить Роскомнадзор об изменениях сведений, указанных в части 3 статьи 22 Закона № 152-ФЗ, не позднее 15-го числа месяца, следующего за месяцем, в котором возникли такие изменения.

Форма уведомления об изменении сведений, содержащихся в уведомлении о намерении осуществлять обработку персональных данных, утверждена Приложением № 2 к Приказу Роскомнадзора от 28.10.2022 № 180.

Если изменения в Политике или Положении не затрагивают сведения, перечисленные в части 3 статьи 22 Закона № 152-ФЗ, то отдельное уведомление Роскомнадзора не требуется.

 

Закон № 152-ФЗ не устанавливает прямого требования к отражению преемственности в локальных актах. Однако, для обеспечения прозрачности и возможности отслеживания изменений, рекомендуется указывать дату утверждения документа и дату внесения последующих изменений. Это также может быть полезно при проведении проверок Роскомнадзором.

Обработка персональных данных без согласия:

Согласно ч. 1 ст. 22, Федеральный закон от 27.07.2006 N 152-ФЗ (ред. от 24.06.2025) "О персональных данных" {КонсультантПлюс}, оператор обязан уведомить Роскомнадзор о намерении осуществлять обработку персональных данных.

ч. 2 ст. 22, Федеральный закон от 27.07.2006 N 152-ФЗ (ред. от 24.06.2025) "О персональных данных" {КонсультантПлюс} устанавливает случаи, когда уведомление не требуется. К ним относятся, в частности, обработка персональных данных без использования средств автоматизации.

ч. 1 ст. 6, Федеральный закон от 27.07.2006 N 152-ФЗ (ред. от 24.06.2025) "О персональных данных" {КонсультантПлюс} предусматривает, что обработка персональных данных допускается с согласия субъекта персональных данных.

В то же время, обработка персональных данных может осуществляться без согласия субъекта в случаях, предусмотренных законодательством Российской Федерации. Например, обработка персональных данных необходима для исполнения договора, стороной которого является субъект персональных данных, или для заключения договора по инициативе субъекта персональных данных (п. 5 ч. 1 ст. 6, Федеральный закон от 27.07.2006 N 152-ФЗ (ред. от 24.06.2025) "О персональных данных" {КонсультантПлюс}).

Готовое решение: Каковы обязанности оператора персональных данных (КонсультантПлюс, 2025) {КонсультантПлюс}