Уведомление в Роскомнадзор об обработке персональных данных: кому нужно подавать и как заполнить без ошибок

Регистрация в Роскомнадзоре — это внесение сведений о вашей компании в открытый реестр операторов персональных данных. Для этого нужно подать уведомление об обработке персональных данных еще до того, как вы начнете собирать личную информацию физлиц. 

По итогам регистрации сведения о вашей организации появятся в открытом реестре на официальном сайте РКН. Воспользоваться им может любой желающий — он открытый. Чаще всего регистрацию проверяют контрагенты перед заключением договора, а также она обязательна для участия в государственных и муниципальных закупках. 

Статус оператора возникает не в момент подачи уведомления, а с самого начала обработки ПДн. Этот статус распространяется на государственные органы, коммерческие и некоммерческие организации, индивидуальных предпринимателей, самозанятых и физических лиц. 

Масштаб бизнеса и его организационно-правовая форма значения не имеют. Если вы хотя бы раз получили от человека фамилию и номер телефона, после чего сохранили их в памяти смартфона или компьютера, вы уже являетесь оператором. Интернет-магазины, частные клиники, бухгалтерские компании, образовательные центры и любые другие организации, собирающие контакты клиентов, ведущие кадровый учет или использующие CRM-систему, автоматически попадают в эту категорию.

Рассмотрим несколько примеров, кто обязан подавать уведомление для регистрации оператора ПДн:

№ 1: агентство недвижимости. Риелторы запрашивают у потенциальных покупателей и продавцов паспортные данные, номера телефонов и адреса объектов. Эта информация заносится в базу для подбора вариантов и заключения договоров. В момент внесения первой записи агентство становится оператором персональных данных, поскольку обработка этих сведений необходима для ведения деятельности.

№ 2: ветеринарная клиника. При обращении с животным администратор фиксирует фамилию и контакты владельца, кличку питомца и данные о его здоровье. С первой записи в журнале клиника автоматически приобретает статус оператора.

№ 3: служба такси. При приеме заказа диспетчер или мобильное приложение собирают имя клиента, номер телефона, адреса подачи и назначения. Эти данные сохраняются в системе для выполнения поездки. Как только первый заказ зафиксирован в программе, служба такси становится оператором ПДн, поскольку обработка контактов и маршрутов — неотъемлемая часть ее работы.

Зарегистрируем вашу компанию в Роскомнадзоре под ключ

Возьмем на себя весь процесс: проведем аудит обработки персональных данных, подготовим комплект документов, заполним уведомление, зарегистрируем оператора в Роскомнадзоре и поможем привести сайт и внутренние процессы в соответствие с 152-ФЗ

Оставить заявку

Перед подачей уведомления в Роскомнадзор нужно выполнить три подготовительных действия, предусмотренных Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».

Первое — назначение ответственного за организацию обработки ПДн. Для юридических лиц это обязательное требование, которое оформляется приказом руководителя с указанием конкретного сотрудника и его обязанностей. ИП и самозанятые считаются ответственными автоматически.

Второе — разработка и утверждение локальных нормативных актов. Минимальный комплект включает политику обработки персональных данных, положение об обработке и защите ПДн, формы согласий на обработку и другие документы. Более подробный список читайте в статье ниже. Без него вы не сможете корректно заполнить уведомление об обработке персональных данных, поскольку в нем указываются сведения из этих документов.

Третье — аудит информационных систем. Необходимо выяснить, какие именно данные, в каких целях и где обрабатываются. Именно это определит содержание уведомления: перечень целей, категории субъектов, способы обработки и описание мер защиты.

К моменту подачи заявления подготовьте минимальный пакет документов, подтверждающих законность обработки данных. У небольшого бизнеса он состоит из нескольких позиций, у крупных организаций может достигать 60-70 наименований. Учтите, что все локальные акты должны отражать реальные процессы, просто так копировать шаблоны из интернета нельзя. Роскомнадзор легко выявит несоответствие при проверке.

Обязательный пакет документов включает несколько блоков: 

1. Журналы учета: 

• машинных носителей ПДн;

• обращений субъектов ПДн;

• средств защиты информации и т.д. 

2. Приказы: 

• о возложении функций администратора информационной безопасности;

• о возложении функций ответственного за организацию обработки;

• об утверждении ЛНА;

• об утверждении перечня лиц, осуществляющих обработку ПДн; 

• об утверждении списка помещений, предназначенных для работы с ПДн; 

• об утверждении мест хранения мат. носителей ПДн и ответственных лиц за их сохранность.

3. Акты, которые фиксируют результаты контрольных мероприятий и процедур:

• акт о проведении внутреннего контроля;

• акт об уничтожении носителей ПДн;

• акт об уничтожении ПДн;

• акт определения необходимого уровня защищенности ИСПДн;

• акт оценки вреда, который может быть причинен субъекту.

4. Согласия. Это ключевые документы, регулирующие взаимодействие с субъектами данных: 

• согласие на обработку ПДн, разрешенных для распространения;

• базовое согласие на обработку ПДн;

• формы отказа от согласия и отзыва согласия на обработку ПДн.

5. Инструкции, которые детализируют действия персонала:

• инструкция администратора информационной безопасности;

• инструкция ответственного за организацию обработки;

• инструкция по применению антивирусных средств защиты;

• инструкция по работе с маш. носителями, содержащими ПДн.

6. Регламентирующие документы, задающие общие правила:

• Политика в отношении обработки данных;

• Положение о парольной защите при работе с ПДн;

• Положение о порядке уничтожения ПДн;

• правила выявления инцидентов информационной безопасности;

• правила оценки вреда субъекту;

• правила рассмотрения обращений субъектов;

• правила проведения внутреннего контроля.

Отдельно выделяются план контроля выполнения требований по обеспечению безопасности ПДн, в том числе при их обработке в ИСПДн, регламент резервного копирования и восстановления информации в ИС, а также инструктаж — подробная справка для сотрудников о правовых аспектах работы с персональными данными.

Перед подачей уведомления убедитесь в полной готовности:

• Ответственный за организацию обработки ПДн назначен, приказ издан.

• Политика в отношении обработки персональных данных разработана, утверждена и размещена в открытом доступе.

• Формы согласий на обработку подготовлены для всех целей сбора данных.

• Проведен аудит информационных систем: определено, какие данные, для каких целей и где обрабатываются.

• Сведения из уведомления соответствуют реальным процессам, а не скопированы с сайтов других компаний.

• Нужно ли подавать уведомление ИП? — Да, нужно, если данные обрабатываются с использованием средств автоматизации: смартфона, ПК, ноутбука и т. д.

• Нужно ли подавать уведомление ООО? — Да, форма ведения бизнеса не играет роли, если нет оснований для освобождения от такой обязанности, предусмотренных ст. 22 ФЗ №152-ФЗ. 

• Как изменить сведения в уведомлении? — Подать новое уведомление, но уже об изменении сведений.

• Должен ли владелец сайта подавать уведомление в Роскомнадзор? — Да, так как для обработки ПДн используются средства автоматизации.

• Что делать, если уведомление не подавалось? — Отправить его как можно скорее, чтобы снизить риск максимального штрафа.

• Какой штраф за отсутствие уведомления в Роскомнадзор? — От 100 000 до 300 000 рублей для ИП и юрлиц. 

• Как проверить регистрацию оператора? — Зайти в реестр на сайте РКН и ввести название компании или ИНН.

Теперь рассмотрим, как зарегистрироваться в Роскомнадзоре, чтобы не допустить ошибок: 

1. Назначьте ответственного за организацию обработки ПДн. Для организаций обязателен приказ руководителя. ИП и самозанятые автоматически считаются ответственными сами.

2. Подготовьте документы. Разработайте и утвердите политику обработки данных, положение о защите ПДн, формы согласий и другие локальные акты.

3. Заполните уведомление. Зайдите на портал Роскомнадзора (pd.rkn.gov.ru), авторизуйтесь для подачи уведомления через Госуслуги или с использованием УКЭП и внесите сведения в уведомление.

4. Отправьте уведомление в Роскомнадзор. Подпишите заявление УКЭП и направьте в ведомство. Также можно заполнить форму на сайте, распечатать, подписать и представить в территориальное отделение РКН.

5. Проверьте регистрацию. Через 30 календарных дней проверьте появление компании в реестре операторов на сайте Роскомнадзора по ИНН или наименованию.

После подачи уведомления Роскомнадзор вносит сведения в открытый реестр операторов персональных данных. Ваш статус становится публичным, а сама компания подлежит плановым и внеплановым проверкам. 

Актуализация сведений — отдельная обязанность. Если вы расширили перечень данных, изменили цели использования, начали передавать информацию новым третьим лицам — уведомите РКН не позднее 15-го числа месяца, следующего за месяцем изменений. Для этого подается уведомление об изменении сведений в реестре операторов.

Документы, подтверждающие законность обработки, храните в течение всего срока обработки данных и не менее трех лет после ее прекращения. Согласия субъектов, приказы, журналы учета и иные локальные акты — все это должно быть в порядке.

После завершения регистрации оператора персональных данных у бизнеса возникает несколько постоянных обязанностей. Их неисполнение влечет административную ответственность.

Ошибка №1: документы не обновляются. После регистрации в Роскомнадзоре многие забывают, что политика обработки ПДн и другие локальные акты должны развиваться вместе с бизнесом. Изменились процессы — документы тут же нужно скорректировать.

Как избежать: введите регламент пересмотра локальных актов не реже одного раза в год или при любом изменении бизнес-процессов, затрагивающих обработку данных.

Ошибка №2: сбор данных без реального согласия. Например, если на сайте есть предустановленные галочки. 

Как избежать: после регистрации проверьте все формы сбора данных на сайте. Чекбоксы должны быть неактивными, а рядом с каждым — прямая ссылка на текст согласия.

Ошибка №3: использование готового образца уведомления в Роскомнадзор. В каждой компании процессы работы с ПДн выстроены индивидуально, поэтому лучше не копировать шаблоны из интернета.

Как избежать: заполните уведомление самостоятельно на основе заранее подготовленных документов по ПДн или обратитесь к юристам. 

Проведем аудит перед подачей уведомления в Роскомнадзор

Проверим, готовы ли ваши документы и сайт к регистрации, выявим ошибки, которые чаще всего становятся причиной претензий Роскомнадзора, и при необходимости подготовим полный комплект документов по персональным данным.

Проверить готовность

Помимо первичного уведомления, операторам приходится повторно обращаться в РКН в нескольких случаях:

• Изменение адреса, целей обработки или других сведений, которые были указаны в первичном уведомлении — информацию в реестре операторов нужно обновить не позднее 15-го числа месяца, следующего за месяцем изменений.

• Прекращение обработки. Если закрываете организацию или ИП — направьте уведомление о прекращении обработки в течение 10 рабочих дней с даты прекращения.

• Отправка ПДн за границу. Это считается трансграничной передачей, соответствующее уведомление нужно отправить до того, как передадите ПДн.

Проверьте контрольные точки, по которым сайт чаще всего не проходит аудит:

• На сайте присутствуют трекеры иностранных платформ (Google Analytics, Meta¹ Pixel), при этом оператор не направил в РКН уведомление о трансграничной передаче данных.

• Галочка согласия на обработку данных в формах стоит заранее, или система позволяет отправить заявку без ее подтверждения.

• Отсутствует SSL-сертификат, и подключение к сайту происходит по незащищенному протоколу HTTP.

• Политика обработки ПДн не вынесена в подвал сайта или спрятана в разделах, куда нельзя попасть с главной страницы.

• Не настроен всплывающий cookie-баннер, хотя ресурс использует инструменты веб-аналитики — посетитель не может ни принять, ни отклонить сбор технических данных.

• Рядом с полем для галочки отсутствует гиперссылка на текст согласия, либо этот текст не открывается в отдельном окне.

• Файлы cookie загружаются на устройство посетителя до того, как он выразил явное согласие на их использование.

Чтобы заполнить уведомление в Роскомнадзор правильно и избежать ошибок, обратитесь к юристам. Они подробно проконсультируют по всем вопросам и подскажут, какие документы понадобятся и как все сделать правильно. 

Важно! Мы разработали сервис «Мобиз» для бесплатной проверки контрагентов!

• Выгружайте отчеты.

• Добавляйте списки контрагентов.

• Проявляйте должную осмотрительность.

• Эти и другие возможности Мобиз доступны бесплатно!

Попробовать бесплатно

Реклама: АО «Консалтинг онлайн», ИНН: 2310203967, erid: 2W5zFHuwpWd