РЕЕСТР ОПЕРАТОРОВ ПЕРСОНАЛЬНЫХ ДАННЫХ: КАК ПРОВЕРИТЬ СЕБЯ

Статья 22 Федерального закона № 152-ФЗ предусматривает ведение реестра операторов. Роскомнадзор вносит в него сведения из уведомления об обработке персональных данных, а также дату направления уведомления. Закон прямо указывает, что сведения реестра являются общедоступными, за исключением информации о средствах обеспечения безопасности персональных данных.

Для бизнеса реестр удобен как внешний контрольный источник. По нему можно проверить, что уведомление дошло до процедуры внесения сведений, а также увидеть, какие данные об операторе доступны публично.

Если вы только разбираетесь, когда возникает обязанность уведомить Роскомнадзор, сначала посмотрите отдельный материал об уведомлении Роскомнадзора об обработке персональных данных. Там эта процедура разобрана отдельно, чтобы текущая статья не дублировала соседний поисковый интент.

Для проверки используйте официальный портал персональных данных Роскомнадзора. В разделе реестра операторов можно искать запись по данным оператора. Чем точнее реквизит, тем проще отделить нужную организацию или ИП от одноимённых записей.

В КАКОМ ПОРЯДКЕ ИСКАТЬ

1. Откройте официальный портал персональных данных Роскомнадзора.
2. Перейдите к реестру операторов, осуществляющих обработку персональных данных.
3. Введите наименование организации или ФИО индивидуального предпринимателя.
4. При необходимости уточните поиск по ИНН, ОГРН или другим доступным реквизитам.
5. Откройте найденную запись и сравните её с актуальными данными оператора.

Если по одному запросу находится несколько записей, ориентируйтесь на идентифицирующие реквизиты. Название само по себе может совпадать у разных организаций.

Найденная запись полезна только после сверки. Если организация изменила адрес, цели обработки, категории данных или другие сведения, старая запись может уже не описывать фактическую деятельность.

ОСНОВНЫЕ ТОЧКИ СВЕРКИ

• Оператор. Наименование организации или ФИО, адрес и другие идентифицирующие сведения должны относиться именно к вам.
• Регистрационный номер. Он позволяет однозначно ссылаться на запись в реестре.
• Дата. Проверьте дату внесения сведений и сопоставьте её с историей уведомлений.
• Цели обработки. Они должны соответствовать фактическим процессам бизнеса.
• Категории данных и субъектов. Сведения должны соответствовать тому, какие данные и о каких людях реально обрабатываются.
• Способы обработки. Сверьте их с текущими информационными системами и рабочими процессами.

После сверки реестра полезно сравнить эти сведения с политикой обработки персональных данных. Публичные документы и запись Роскомнадзора не должны описывать два разных процесса.

После включения оператора в реестр записи присваивается регистрационный номер. Он удобен для внутренней документации, проверки собственной записи и однозначного поиска сведений об операторе.

Сам номер не является «сертификатом соответствия 152-ФЗ». Закон связывает реестр с уведомительной процедурой. Поэтому при оценке сайта регистрационный номер имеет значение как один из признаков выполнения обязанностей оператора, но не заменяет анализ остальных требований.

Если запись не находится, не стоит сразу делать вывод о нарушении. Возможны разные причины: ошибка в поисковом запросе, недавно поданное уведомление, запрос Роскомнадзора на уточнение сведений или ситуация, когда обработка подпадает под предусмотренное законом исключение.

ПРОВЕРЬТЕ ПО ПОРЯДКУ

1. Попробуйте поиск по другому точному реквизиту оператора.
2. Убедитесь, что уведомление действительно было направлено от нужного юридического лица или ИП.
3. Проверьте дату подачи. Часть 4 статьи 22 предусматривает срок до тридцати дней с даты поступления уведомления для внесения сведений в реестр.
4. Проверьте, не запрашивал ли Роскомнадзор уточнение неполных или недостоверных сведений.
5. Если уведомление не подавалось, отдельно определите, применимо ли к обработке одно из исключений части 2 статьи 22.

Подробно обязанность подачи и действующие исключения разобраны в статье «Уведомление Роскомнадзора об обработке персональных данных».

Часть 7 статьи 22 устанавливает обязанность сообщать Роскомнадзору об изменении сведений, предусмотренных уведомлением. Срок — не позднее 15-го числа месяца, следующего за месяцем, в котором произошли изменения.

Поэтому после изменения адреса, целей обработки, состава информационных систем, места нахождения баз или других сведений из уведомления нужно проверить, затрагивает ли изменение данные реестра.

Если обработка персональных данных прекращается, используется отдельное уведомление о прекращении обработки. После его получения Роскомнадзор исключает сведения из реестра в установленный законом срок.

Здесь важно не дублировать порядок заполнения форм: сама процедура изменения уведомления относится к статье №6. Текущая страница отвечает на другой вопрос — что увидеть и проверить в публичной записи.

Наличие оператора в реестре — полезный контрольный признак, но его нельзя использовать как доказательство полного соответствия сайта требованиям законодательства о персональных данных.

ОТДЕЛЬНО НУЖНО ПРОВЕРИТЬ

• какие персональные данные фактически собираются на сайте;
• правовые основания обработки по каждой цели;
• согласия на обработку персональных данных там, где используется это основание;
• формы и механики подтверждения согласия;
• доступность и соответствие политики фактической обработке;
• локализацию баз данных граждан Российской Федерации;
• трансграничную передачу, если она осуществляется;
• меры защиты и внутренние процессы оператора.

Общую карту требований к сайту я собрал в статье «Персональные данные на сайте: требования 152-ФЗ».