Уведомление в Роскомнадзор: кто подаёт и что в нём указать
Мне точно нужно подавать?
Почти наверняка да. Закон обязывает уведомить до начала обработки, а исключений после реформы 2022 года осталось три, и обычного бизнеса они практически не касаются.
Раньше оснований не подавать было девять: хватало того, что данные обрабатываются по трудовому договору или в рамках договора с клиентом. Шесть из девяти отменили с 1 сентября 2022 года. Если вы ориентируетесь на статью, прочитанную до этой даты, вы ориентируетесь на недействующую норму.
Три исключения, которые остались
- Обработка только без средств автоматизации
- Единственное исключение, которое теоретически может подойти малому бизнесу. Но оно означает бумажный журнал и никакого компьютера: любая таблица, почтовая программа, CRM или сайт с формой — это уже средства автоматизации.
- Государственные системы безопасности
- Данные, включённые в государственные информационные системы, созданные в целях защиты безопасности государства и общественного порядка.
- Транспортная безопасность
- Обработка в случаях, предусмотренных законодательством о транспортной безопасности, для устойчивого функционирования транспортного комплекса.
Всё остальное — трудовые отношения, договоры с клиентами, пропускной режим, данные, которые человек сделал общедоступными сам, — больше не освобождает от уведомления. Именно эти пункты утратили силу в 2022 году.
Что указать в уведомлении
Состав сведений прямо назван в законе. Пункты, которые чаще всего вызывают затруднения, отмечены пояснением:
- Наименование и адрес оператора.
- Цель обработки. Конкретная и своя, а не переписанная из чужого уведомления.
- Описание мер защиты по статьям 18.1 и 19 закона, включая сведения о наличии шифровальных средств и их наименования. Если криптографии нет — так и указывается.
- Ответственный за организацию обработки: фамилия и имя либо наименование юридического лица, телефон, почтовый адрес и адрес электронной почты.
- Дата начала обработки.
- Срок или условие прекращения обработки.
- Есть ли трансграничная передача данных в процессе обработки.
- Место нахождения базы данных с персональными данными граждан России. Здесь проверяют локализацию: зарубежный сервис рассылок или хостинг всплывает именно тут.
- Сведения об обеспечении безопасности по требованиям Правительства.
Отдельное требование, появившееся вместе с реформой: по каждой цели обработки нужно указать категории данных, категории субъектов, правовое основание, перечень действий и способы обработки. То есть уведомление заполняется не «в целом по компании», а разрезом по целям — и здесь пригодится политика обработки, если она составлена по вашим реальным процессам.
Как подать
Способ
- Через портал Роскомнадзораобычный путь
- Электронный документс подписью
- На бумагетоже допустимо
Стоимость и подпись
- Госпошлинанет
- Подписываетуполномоченное лицо
Что дальше
- Внесение в реестр30 дней
- Ждать ответа до началане требуется
Обязанность сформулирована как «уведомить до начала обработки» — то есть закон требует подать сведения, а не получить разрешение. Роскомнадзор в течение тридцати дней вносит их в реестр операторов, и запись становится публичной.
Что сообщать потом
- Изменились сведения — до 15-го числа следующего месяца
- Сменился адрес, ответственный, цели, место хранения базы — подаётся информационное письмо. Срок привязан к месяцу, в котором произошло изменение.
- Прекратили обработку — десять рабочих дней
- Считаются с даты прекращения. Ликвидировали направление, закрыли интернет-магазин, перестали собирать заявки — уведомление подаётся так же, как при начале.
- Реестр публичный
- Запись об операторе открыта, и это работает в обе стороны: контрагент может проверить вас, а вы — его.
Вопросы, которые задают чаще всего
У меня ИП без сотрудников, только сайт с формой. Подавать?
Да. Оператором делает не размер бизнеса, а факт обработки: форма собирает имя и телефон, значит обработка есть. Освобождение по «обработке без средств автоматизации» здесь не работает — сайт это средство автоматизации.
Мы обрабатываем данные только сотрудников. Разве это не исключение?
Было исключением до 1 сентября 2022 года. Пункт про данные, обрабатываемые в связи с трудовыми отношениями, утратил силу вместе с пятью другими. Сейчас уведомление подаётся и в этом случае.
Можно ли начинать обработку сразу после подачи?
Закон говорит «уведомить до начала обработки» и не требует дожидаться ответа. Роскомнадзор вносит сведения в реестр в течение тридцати дней, но это его срок на внесение записи, а не разрешительная процедура.
Что будет, если не подавать?
Неуведомление — самостоятельное нарушение, за которое отвечают отдельно от нарушений при самой обработке. Гораздо неприятнее другое: проверка обычно начинается именно с отсутствия записи в реестре, а дальше смотрят весь комплект документов. Что ещё обязан оператор.
Мы подали уведомление три года назад и с тех пор не трогали
Стоит проверить актуальность. Если менялись цели, ответственный, адрес или место хранения базы, эти изменения нужно было подавать в срок до 15-го числа следующего месяца. Устаревшая запись в реестре — это расхождение, которое видно проверяющему без всякой проверки.