Статья 13.11 КоАП: как ИП отвечают за нарушения в персональных данных

ИП, который собирает заявки, контакты и другие персональные данные клиентов, не может рассчитывать, что его статус сам по себе смягчит ответственность. По частям 1.1 и 8–18 статьи 13.11 КоАП ИП несёт административную ответственность как юридическое лицо.

По тем составам, где закон приравнивает предпринимателя к организации, ошибка в работе с персональными данными идёт по корпоративной шкале ответственности. Ошибка в маркетинге здесь быстро перестаёт быть формальностью.

Когда статус ИП не помогает

Статус ИП не работает как скидка по тем составам, где закон прямо приравнивает предпринимателя к организации.

Для бизнеса это означает простую вещь: спор о персональных данных может идти по корпоративной шкале ответственности. А если данные собирали для одной цели, а потом использовали для другой, возникает риск обработки, несовместимой с целями сбора.

Какие сроки чаще всего пропускают

У этой темы три контрольные точки. До начала обработки персональных данных оператор обязан уведомить уполномоченный орган о намерении вести такую обработку, кроме случаев, указанных в части 2 статьи 22. Если сведения, указанные в части 3 статьи 22, изменились, об этом нужно сообщить не позднее 15-го числа месяца, следующего за месяцем изменений. Если человек отозвал согласие, оператор обязан прекратить обработку персональных данных или обеспечить её прекращение в течение 30 дней со дня обращения, если договором не предусмотрен иной срок.

Допустим, сведения изменились в октябре. Тогда уведомить об изменениях нужно не позднее 15-го числа ноября. Допустим, отзыв согласия пришёл в октябре. Тогда, если договор не устанавливает иной срок, на прекращение обработки есть 30 дней со дня обращения.

Здесь чаще всего ошибаются не в документах, а в календаре. Начали обработку до уведомления — вошли в процесс с нарушением обязанности уведомить. Изменили сведения и не обновили их до 15-го числа следующего месяца — пропустили установленный срок. Оставили контакт в рассылке после отзыва согласия — продолжили обработку, которую должны были прекратить.

Что делать, если нарушение уже есть

Если отзыв согласия уже получен, первым делом нужно останавливать обработку. Закон требует прекратить её или обеспечить прекращение, в том числе если часть действий делает другое лицо по поручению оператора.

Ирина Самаринова

Эксперт по управленческому учету и HR

Автор

Сначала проверьте всю цепочку, где живут данные клиента: сайт, CRM, сервис рассылок, подрядчик. Решение зависит не от того, где база хранится «основная», а от того, где обработка продолжается фактически: обязанность прекратить её лежит на операторе, даже если часть действий делает исполнитель по поручению.

Если дело уже рассматривают, второй рабочий вариант — ссылаться на малозначительность. При малозначительности судья, орган или должностное лицо могут освободить от административной ответственности и ограничиться устным замечанием.

Малозначительность — это не отсутствие нарушения. Это ситуация, когда формальные признаки состава есть, но с учётом характера деяния, роли нарушителя, размера вреда и тяжести последствий нет существенного нарушения охраняемых общественных отношений. Если этот подход применят, итогом будет постановление о прекращении производства по делу и устное замечание.

Коротко

Для ИП обработка клиентских данных — это уже не бытовая часть маркетинга, а зона прямого административного риска. Если вы собираете персональные данные, заранее закройте обязательные уведомления, держите под контролем сроки изменений и сразу прекращайте обработку после отзыва согласия. Тогда ошибка не успеет превратиться в спор с последствиями уровня компании.