УВЕДОМЛЕНИЕ РОСКОМНАДЗОРА ОБ ОБРАБОТКЕ ПЕРСОНАЛЬНЫХ ДАННЫХ

Часть 1 статьи 22 закона № 152-ФЗ устанавливает общее правило: оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о намерении осуществлять обработку.

Оператором может быть организация, индивидуальный предприниматель, государственный орган, муниципальный орган или физическое лицо, которое самостоятельно либо совместно с другими лицами организует обработку, определяет её цели, состав данных и действия с ними.

ЧТО ЭТО ЗНАЧИТ ДЛЯ ВЛАДЕЛЬЦА САЙТА

• форма обратной связи может приводить к получению имени, телефона, электронной почты и содержания обращения;
• личный кабинет добавляет данные учётной записи и историю действий;
• интернет-магазин обрабатывает сведения, необходимые для заказа, оплаты и доставки;
• аналитика и браузерные идентификаторы могут образовывать отдельный процесс обработки;
• передача заявок в систему управления клиентами, почтовый сервис или подрядчику также должна учитываться.

Чтобы сначала понять общий контур обработки, используйте материал «Персональные данные на сайте». Уведомление Роскомнадзора — только одна из обязанностей оператора.

Сейчас без уведомления допускается обработка персональных данных только в случаях, прямо перечисленных в части 2 статьи 22.

1. Данные включены в государственные информационные системы персональных данных, созданные для защиты безопасности государства и общественного порядка.
2. Оператор осуществляет обработку исключительно без использования средств автоматизации.
3. Данные обрабатываются в предусмотренных законодательством случаях в сфере транспортной безопасности для установленных законом целей.

Старые исключения для отдельных видов договорных, трудовых и других отношений были отменены с 1 сентября 2022 года. Поэтому инструкции, написанные до этой даты, могут давать неверный ответ.

Закон формулирует срок прямо: уведомление направляется до начала обработки персональных данных. Поэтому правильная последовательность для нового проекта — определить процессы, подготовить необходимые документы и уведомление, а затем запускать сбор данных.

Если сайт или бизнес уже обрабатывает персональные данные, а уведомление ранее не подавалось, отсутствие уведомления не делает требование неприменимым. В такой ситуации стоит как можно быстрее сверить фактическую обработку, подготовить достоверные сведения и отдельно оценить последствия уже допущенного нарушения.

Размеры ответственности и составы нарушений мы выносим в отдельную статью «Штрафы за персональные данные на сайте», чтобы не смешивать информационный интент этой страницы с темой санкций.

Части 3 и 3.1 статьи 22 задают состав сведений. Перед заполнением полезно сделать внутреннюю таблицу по каждой цели обработки и сопоставить её с документами сайта.

ОСНОВНЫЕ БЛОКИ

• наименование или данные оператора и его адрес;
• цели обработки персональных данных;
• меры, предусмотренные статьями 18.1 и 19 закона № 152-ФЗ, и сведения о защите;
• сведения об ответственном за организацию обработки, когда это применимо;
• дата начала обработки и срок либо условие прекращения;
• сведения о наличии или отсутствии трансграничной передачи;
• место нахождения баз данных с персональными данными граждан Российской Федерации;
• для каждой цели — категории данных и субъектов, правовое основание, действия и способы обработки.

Если в уведомлении указано одно, а в политике, формах и фактических сервисах сайта происходит другое, возникает системная проблема. Поэтому сначала актуализируйте политику обработки персональных данных и карту процессов.

Тему трансграничной передачи мы отдельно разбираем на странице «Трансграничная передача персональных данных», а место хранения баз — в материале «Локализация персональных данных».

Часть 3 статьи 22 предусматривает направление уведомления на бумажном носителе или в форме электронного документа, подписанного уполномоченным лицом. Роскомнадзор использует установленную приказом № 180 форму.

ПРАКТИЧЕСКАЯ ПОСЛЕДОВАТЕЛЬНОСТЬ

1. Проведите инвентаризацию обработки и разделите её по целям.
2. Сверьте цели, категории данных, основания и способы обработки с политикой и внутренними документами.
3. Откройте актуальную форму уведомления на официальном ресурсе Роскомнадзора.
4. Заполните сведения по фактическим процессам оператора, а не по универсальному образцу.
5. Выберите доступный на момент подачи официальный способ отправки и сохраните подтверждение направления.
6. После обработки уведомления проверьте сведения в реестре операторов.

По части 4 статьи 22 уполномоченный орган в течение тридцати дней с даты поступления уведомления вносит предусмотренные законом сведения и дату направления уведомления в реестр операторов.

Сведения реестра являются общедоступными, кроме информации о средствах обеспечения безопасности персональных данных. Поэтому после подачи стоит проверить запись и убедиться, что ключевые сведения отображаются корректно.

Отдельную инструкцию по поиску записи, проверке организации или ИП и интерпретации сведений мы закрепили за следующей страницей: «Реестр операторов персональных данных: как проверить себя».

ЕСЛИ В ЗАПИСИ ЕСТЬ ПРОБЛЕМА

• сначала сравните реестр с копией направленного уведомления;
• проверьте, не изменилась ли обработка после подачи;
• если изменились сведения из части 3 статьи 22, подготовьте уведомление об изменении;
• при очевидной технической ошибке используйте официальный порядок взаимодействия с территориальным органом.

Если изменились сведения, которые перечислены в части 3 статьи 22, оператор обязан уведомить Роскомнадзор обо всех изменениях не позднее 15-го числа месяца, следующего за месяцем изменений.

Если обработка персональных данных прекращена, уведомление о прекращении направляется в течение десяти рабочих дней с даты прекращения.

Для этих случаев приказ Роскомнадзора № 180 устанавливает отдельные формы: уведомление об изменении сведений и уведомление о прекращении обработки.

ЧТО МОЖЕТ ПОТРЕБОВАТЬ ОБНОВЛЕНИЯ

• появилась новая цель обработки;
• изменились категории персональных данных или субъектов;
• подключён новый способ обработки;
• изменилось правовое основание;
• изменилась информация о месте нахождения базы данных;
• изменились сведения о трансграничной передаче;
• изменились данные оператора или ответственного лица.

Уведомление Роскомнадзора подтверждает выполнение одной конкретной обязанности. Сам по себе факт нахождения в реестре не означает, что весь сайт соответствует требованиям законодательства о персональных данных.

ПРОВЕРЬТЕ СВЯЗАННЫЕ ЭЛЕМЕНТЫ

• политика обработки персональных данных доступна со страниц сбора данных и соответствует фактическим процессам;
• согласия оформлены отдельно и используются там, где они действительно являются основанием обработки;
• формы и чекбоксы работают корректно и не создают ложного подтверждения;
• файлы куки и аналитика учтены в модели обработки;
• перечень сервисов, подрядчиков и мест хранения данных совпадает с тем, что указано в документах и уведомлении.