За последнее время в законодательстве о персональных данных произошли три существенных изменения: с 30 мая 2025 года в несколько раз выросли штрафы по статье 13.11 КоАП, появились отдельные составы за утечки данных, а при повторной утечке предусмотрены оборотные штрафы - в процентах от выручки компании, а не фиксированная сумма.
Отдельно закрепили порядок уведомления Роскомнадзора об утечках: оператор обязан сообщить о самом факте утечки в течение 24 часов, а через 72 часа - предоставить результаты внутреннего расследования с указанием причин и принятых мер. Раньше сроки и порядок были описаны менее четко, и часть операторов просто не знала, что обязана уведомлять дважды.
Для вас как для бухгалтера на аутсорсе это означает, что стоит проверить два момента: подано ли уведомление в Роскомнадзор об обработке персональных данных сотрудников ваших клиентов, и оформлены ли договоры поручения на обработку данных с каждым заказчиком. Раз вы обрабатываете чужие персональные данные по их поручению, это должно быть закреплено письменно, а не подразумеваться из общего договора на бухгалтерские услуги.
Если этих документов нет, разумно закрыть вопрос сейчас, пока не было проверки или жалобы от сотрудника. Штрафы за отсутствие базовых документов и уведомления заметно выросли и уже не воспринимаются как формальность, которую можно отложить на потом.