Обработка персональных данных в автосалоне: требования 152-ФЗ, согласия клиентов и уведомление Роскомнадзора
Деятельность автосалона (дилерского центра) неразрывно связана со сбором и обработкой персональных данных клиентов — от момента оставления заявки на сайте или звонка до заключения договора купли-продажи и последующего сервисного обслуживания. В данном материале рассмотрены ключевые аспекты применения Федерального закона № 152-ФЗ в автосалоне: статус оператора, порядок оформления согласий для различных целей, обязанность уведомления Роскомнадзора и исключения из неё, а также внутренние меры, которые должен принять дилерский центр для соблюдения законодательства.
Подготовим и подадим уведомление в Роскомнадзор, разработаем пакет документов и введём компанию в реестр операторов персональных данных.
* Оплата после выполнения работ
При взаимодействии с клиентом (оставление заявки на сайте, телефонный звонок, запись на тест-драйв, заключение договора) автосалон получает следующие персональные данные: фамилия, имя, отчество, номер телефона, адрес электронной почты, адрес регистрации, а при совершении сделки — паспортные данные. Вся указанная информация признаётся персональными данными в соответствии со статьёй 3 152-ФЗ. Автосалон в данном случае выступает оператором персональных данных, поскольку самостоятельно определяет цели и состав обрабатываемых сведений.
Важное правило: для каждой цели обработки (запись на тест-драйв, заключение договора купли-продажи, маркетинговые рассылки, передача данных партнёрам — дилеру, страховой компании, сервисному центру) в документах должны быть чётко определены конкретные данные и способы их использования. Обобщённые формулировки не допускаются.
Для организации тест-драйва требуется согласие клиента на обработку его персональных данных. При заполнении заявки (в том числе онлайн-формы с отметкой в чекбоксе) клиент фактически даёт такое согласие в объёме, необходимом для оказания данной услуги.
На практике автосалоны размещают согласие на обработку персональных данных непосредственно на странице записи на тест-драйв или в составе общих правовых документов на сайте.
Вопрос о необходимости подачи уведомления о начале обработки персональных данных в Роскомнадзор требует отдельного рассмотрения, поскольку законодательство предусматривает ряд исключений.
Общее правило (пункт 1 статьи 22 152-ФЗ): оператор обязан уведомить уполномоченный орган о начале обработки персональных данных до её фактического начала.
Исключения (пункт 2 статьи 22 152-ФЗ): уведомление не требуется, если:
На практике для автосалона: если дилерский центр использует только бумажные журналы учёта и не применяет электронные системы (CRM, онлайн-базы, облачные сервисы), уведомление может не потребоваться. Однако, как только персональные данные вносятся в любую автоматизированную систему (электронные таблицы, CRM, облачные сервисы записи), такая обработка признаётся автоматизированной, и обязанность подачи уведомления возникает в полном объёме.
Уведомление может быть подано следующими способами:
Содержание уведомления: сведения об операторе, цели обработки, категории персональных данных, меры безопасности, ответственное лицо. После проверки Роскомнадзор вносит информацию в Реестр операторов персональных данных.
Обязанность актуализации: в случае изменения сведений, указанных в уведомлении (добавление новых целей, начало передачи данных третьим лицам и т.п.), оператор обязан проинформировать Роскомнадзор. При прекращении обработки уведомление направляется в течение 10 рабочих дней.
Если у вас возникают сомнения по отдельным вопросам (например, как отразить в уведомлении Роскомнадзора все цели обработки) – мы с радостью поможем. Наши специалисты разработают для вас всю необходимую документацию по 152-ФЗ, актуализируют её при изменении законодательства и помогут подать уведомление.
| Нарушение | Штраф |
|---|---|
| Обработка ПДн без уведомления Роскомнадзора (ст. 19.17 КоАП) | до 300 000 ₽ |
| Обработка без согласия субъекта | до 100 000 ₽ |
| Отсутствие политики обработки ПДн | до 40 000 ₽ |
| Утечка или нарушение защиты данных | до 1 500 000 ₽ |
Любая организация или ИП, которая собирает и обрабатывает персональные данные клиентов, сотрудников или посетителей (ФИО, телефон, e-mail, адрес), признаётся оператором по 152-ФЗ и обязана до начала обработки подать уведомление в Роскомнадзор.
Уведомление подаётся через портал Роскомнадзора (pd.rkn.gov.ru) с усиленной квалифицированной электронной подписью, через Госуслуги при подтверждённой учётной записи либо в бумажном виде в территориальный орган. После проверки ведомство вносит компанию в реестр операторов персональных данных.
С 30 мая 2025 года за обработку персональных данных без уведомления Роскомнадзора штраф для организаций и ИП достигает 300 000 рублей. Дополнительно возможны штрафы за отсутствие политики обработки ПДн, согласий и нарушение требований к защите данных.
В большинстве случаев — да. Согласие оформляется под каждой формой сбора данных через незаполненный чекбокс со ссылкой на Политику конфиденциальности. Для специальных категорий данных, биометрии и распространения требуется отдельное письменное согласие.
Роскомнадзор рассматривает уведомление до 30 рабочих дней. При корректно заполненных документах компания попадает в реестр операторов персональных данных с первого раза, без возвратов и доработок.