Как подать уведомление в Роскомнадзор: пошагово

Согласно ст. 22 закона 152-ФЗ (в редакции 266-ФЗ от 14.07.2022) уведомление обязаны подать все операторы, обрабатывающие персональные данные. С 1 сентября 2022 года перечень исключений существенно сокращён.

Ранее работодатели, обрабатывающие данные только в рамках трудовых отношений, были освобождены от этой обязанности. Теперь исключение действует лишь в случаях, когда ПДн обрабатываются исключительно без средств автоматизации. На практике любая компания с электронной бухгалтерией или кадровым ПО обязана подать уведомление.

Физические лица, обрабатывающие ПДн для личных и семейных нужд, по-прежнему освобождены от подачи уведомления.

Уведомление подаётся до начала обработки персональных данных. Если организация уже обрабатывает ПДн, но ранее не подавала уведомление, необходимо сделать это незамедлительно — закон не устанавливает переходного периода.

При изменении сведений, указанных в уведомлении, оператор обязан уведомить Роскомнадзор в течение 10 рабочих дней. Это касается смены юридического адреса, изменения целей обработки, добавления новых категорий ПДн.

При прекращении обработки оператор подаёт уведомление о прекращении в произвольной форме, после чего Роскомнадзор исключает его из реестра операторов.

Шаг 1. Авторизуйтесь на портале pd.rkn.gov.ru через учётную запись ЕСИА (Госуслуги) организации. Потребуется подтверждённая учётная запись юрлица или ИП.

Шаг 2. Выберите раздел «Подача уведомления об обработке персональных данных» и тип уведомления — первичное. Шаг 3. Заполните сведения об операторе: полное наименование, ИНН, ОГРН, юридический адрес, контактные данные ответственного лица.

Шаг 4. Укажите правовое основание обработки, цели, категории субъектов и перечень обрабатываемых данных. Шаг 5. Опишите меры безопасности, место хранения базы данных и сведения о трансграничной передаче (при наличии). Шаг 6. Подпишите уведомление усиленной квалифицированной электронной подписью (УКЭП). Шаг 7. Отправьте форму и сохраните номер входящего документа для отслеживания статуса.

Полный перечень сведений установлен ч. 3 ст. 22 закона 152-ФЗ. Обязательно указываются: наименование и адрес оператора, цель обработки, категории субъектов и категории обрабатываемых данных, правовое основание, перечень действий с данными.

Также указываются: наличие трансграничной передачи и страны назначения, сведения об обеспечении безопасности (используемые средства защиты, наличие шифрования), данные об ответственном за организацию обработки ПДн (ФИО, должность, телефон).

Важно точно указывать адрес размещения базы данных — с 1 сентября 2015 года базы ПДн граждан РФ должны располагаться на территории России (ч. 5 ст. 18 152-ФЗ).

Наиболее распространённая ошибка — указание одной общей цели обработки вместо перечня конкретных целей по категориям субъектов. Роскомнадзор требует детализации: отдельно для работников, клиентов, контрагентов.

Часто операторы забывают указать обработку данных посетителей сайта (cookies, IP-адреса, данные веб-аналитики). Также упускают обработку данных в целях видеонаблюдения, если камеры установлены в офисе.

Ещё одна ошибка — несоответствие указанных мер защиты фактически применяемым. При проверке Роскомнадзор сверяет заявленное с действительным, и расхождения приводят к предписаниям.

Роскомнадзор вносит сведения в реестр операторов в течение 30 дней с момента получения уведомления. Регистрационный номер присваивается автоматически после внесения в реестр.

Проверить включение в реестр можно на сайте Роскомнадзора в разделе «Реестр операторов» по ИНН или наименованию организации. Если по истечении 30 дней запись не появилась, рекомендуется обратиться в территориальное управление РКН.

При изменении данных об операторе или условий обработки подаётся информационное письмо через тот же портал pd.rkn.gov.ru. Срок подачи изменений — 10 рабочих дней с момента возникновения изменений.

Для прекращения деятельности в качестве оператора подаётся уведомление о прекращении обработки ПДн. После проверки Роскомнадзор исключает оператора из реестра. Рекомендуется сохранять копию уведомления о прекращении для подтверждения факта исполнения обязанности.