Общее правило
Статья 22 Закона № 152-ФЗ требует уведомить Роскомнадзор о намерении осуществлять обработку персональных данных до её начала.
Оператором может быть не только организация или ИП, но и физическое лицо, если оно определяет цели и состав обработки.
Какие исключения действуют
С 1 сентября 2022 года большая часть прежних исключений утратила силу.
Без уведомления закон допускает, в частности, обработку исключительно без использования средств автоматизации, а также отдельные случаи в государственных информационных системах и сфере транспортной безопасности.
Как выглядит уведомление в Роскомнадзор
Действующая форма утверждена приложением № 1 к приказу Роскомнадзора от 28.10.2022 № 180. Это не короткая анкета из нескольких реквизитов: уведомление описывает фактическую систему обработки персональных данных оператора.
В форме указываются сведения об операторе, а затем отдельно по каждой цели обработки — категории персональных данных, категории субъектов, правовые основания, перечень действий с данными и способы обработки. Также отражаются сведения об информационных системах, месте нахождения баз данных граждан России и мерах защиты.
Куда и как подается уведомление
По ст. 22 Закона № 152-ФЗ уведомление направляется в уполномоченный орган по защите прав субъектов персональных данных — Роскомнадзор — до начала обработки, если оператор не подпадает под исключения.
Закон допускает бумажную и электронную форму уведомления. На практике используется электронная форма сервиса Роскомнадзора, а порядок подписания и направления зависит от выбранного способа подачи и статуса оператора.
После включения оператора в реестр важно не забывать об актуализации сведений: изменение целей, информационных систем, адреса, баз данных или иных существенных параметров может потребовать подачи уведомления об изменении сведений.
Пример: что указывать юридическому лицу
Условное ООО оказывает B2B-услуги, имеет сотрудников, заключает договоры и получает обращения по электронной почте. Для такого оператора обычно нельзя описать всю деятельность одной строкой. Как минимум нужно отдельно проверить кадровую цель, договорные процессы и обработку обращений.
Например, для договорной цели указываются категории субъектов — клиенты-физлица и/или представители контрагентов; фактически используемые категории данных; основание обработки; действия с данными; используемые CRM, почта и архивы; подрядчики, если им поручена обработка.
Что указывается в уведомлении
Для каждой цели обработки отдельно указываются категории персональных данных и субъектов, правовое основание, перечень действий и способы обработки.
Также отражаются предусмотренные законом сведения о мерах защиты и месте нахождения баз данных граждан России.
Когда сведения нужно обновлять
Если фактическая обработка меняется, сведения в реестре нужно сверять и при необходимости актуализировать.
При полном прекращении обработки оператор обязан уведомить Роскомнадзор в течение десяти рабочих дней.
Типичные ошибки бизнеса
- Считать, что уведомление не требуется при обработке только данных сотрудников.
- Не обновлять сведения после изменения процессов.
- Указывать слишком общие цели обработки.
- Не учитывать сайт, CRM, аналитику и подрядчиков.
- Описывать одну цель, хотя фактически их несколько.
Ответственность
За невыполнение или несвоевременное выполнение обязанности по уведомлению предусмотрена отдельная административная ответственность.
Для граждан штраф составляет от 5 000 до 10 000 рублей, для должностных лиц — от 30 000 до 50 000 рублей, для юридических лиц — от 100 000 до 300 000 рублей.
Материалы для подготовки уведомления
Ниже — рабочие материалы, которые помогают сначала собрать фактические сведения, а уже затем переносить их в официальную форму Роскомнадзора.
Минимальный чек-лист
- Определить все фактические цели обработки.
- Разделить категории субъектов.
- Определить категории данных для каждой цели.
- Зафиксировать правовое основание.
- Проверить информационные системы и базы данных.
- Учесть подрядчиков.
- Сопоставить уведомление с политикой и локальными документами.
