Как подать уведомление в Роскомнадзор об обработке персональных данных

Когда это касается Вас

Разбор — для организаций, индивидуальных предпринимателей и физических лиц, в том числе самозанятых, которым уведомление нужно: они работают со сведениями о работниках, клиентах, заказчиках или пользователях сайта, и хотя бы часть сведений ведётся на компьютере, в телефоне или в интернет-сервисах. Касается ли это Вас и не подходит ли одно из исключений, здесь не разбирается — это покажет проверка.

Закон требует уведомить до начала обработки. Если Вы уже работаете со сведениями, подайте уведомление сейчас: отдельного порядка для уже начатой обработки в законе нет.

Что подготовить

Форма — приложение № 1 к приказу Роскомнадзора от 28.10.2022 № 180. Удобнее собрать сведения заранее, а потом перенести их в форму.

Об операторе

• Организация — полное и сокращённое наименование, ИНН и (или) ОГРН, адрес.
• Индивидуальный предприниматель или гражданин — фамилия, имя, отчество, ИНН и (или) ОГРНИП, адрес.
• Ответственный за организацию обработки — фамилия, имя, отчество человека или наименование организации, телефон, почтовый адрес и электронная почта.

По каждой цели обработки

Главная часть уведомления — цели. Они перечисляются по отдельности, и для каждой указываются пять сведений:

1. какие данные обрабатываются — категории персональных данных;
2. чьи — категории людей: работники, клиенты, соискатели и другие;
3. на каком правовом основании;
4. какие действия с данными совершаются — из тех, что закон называет обработкой: сбор, запись, хранение, использование, передача, удаление и другие;
5. какими способами данные обрабатываются.

Например, у небольшого магазина с сайтом целей может быть три: кадровый учёт работников, исполнение договоров с покупателями и обработка заявок с сайта. У каждой — свои данные, свои люди и своё основание. Это пример для узнавания, а не готовые формулировки для формы.

Общие сведения

• описание мер защиты по статьям 18.1 и 19 закона — в том числе есть ли шифровальные (криптографические) средства и какие;
• сведения об обеспечении безопасности данных по требованиям Правительства;
• дата начала обработки;
• срок или условие, при котором обработка прекратится;
• есть ли передача данных за границу;
• страна и адрес базы данных со сведениями о гражданах России;
• если Вы работаете с данными из государственных или муниципальных информационных систем — кто имеет к ним доступ или обрабатывает их по договору.

Меры защиты — это описание того, что Вы действительно делаете, а не формула из шаблона. Какие из них обязательны именно для Вас, этот разбор не оценивает.

Как направить

• На бумаге или электронным документом. Закон допускает оба способа. Уведомление подписывает оператор или уполномоченное им лицо; в форме указываются его фамилия, имя, отчество и должность.
• Официальная электронная форма — на Портале персональных данных Роскомнадзора; ссылка — в официальных источниках ниже.
• Других каналов подачи и требований к электронной подписи здесь нет:подтвердить их официальным текстом нам не удалось. Перед отправкой сверьтесь с порталом Роскомнадзора.

Что будет после

• До 30 днейРоскомнадзор вносит сведения в реестр операторов вместе с датой направления уведомления. Если сведения неполные или недостоверные, он вправе потребовать уточнить их до внесения.
• БесплатноРасходов за рассмотрение уведомления и внесение в реестр на оператора не возлагают.
• Запись открытаСведения реестра общедоступны, кроме сведений о средствах защиты. Найдите свою запись по наименованию или ИНН и сохраните её регистрационный номер.

Номер записи понадобится, если сведения изменятся или обработка прекратится. Когда и как сообщать об этом — в разборе «Когда снова уведомлять Роскомнадзор».

Частые ошибки

• Уведомлять о каждом новом работнике или клиенте. Уведомление одно на оператора. Новые люди в тех же целях и тех же категориях его не меняют.
• Считать уведомление разрешением. Роскомнадзор вносит сведения в реестр, и только. Остальные требования закона — о согласиях, политике обработки, защите данных — от уведомления не зависят.
• Забыть цель. Если позже появится новая — например, начнёте принимать заявки на сайте, — это изменение сведений, и о нём нужно сообщить.
• Путать с уведомлением о передаче данных за границу. Оно подаётся отдельно и до начала такой передачи, а в нём указываются дата и номер уже поданного уведомления об обработке.