Уведомление и регистрация в Роскомнадзоре: кому надо подавать и как зарегистрироваться

Если компания или ИП собирает данные клиентов, сотрудников или контрагентов, это, скорее всего, означает, что бизнес работает с персональными данными. Большинству операторов нужно заранее уведомить Роскомнадзор о намерении их обрабатывать и попасть в реестр операторов персональных данных.

Кто должен уведомлять Роскомнадзор

Оператором персональных данных считается тот, кто самостоятельно организует или осуществляет обработку таких данных и определяет, зачем и как они будут использоваться. Это могут быть организации, ИП и физлица. На практике оператором становится практически любой бизнес, который работает с информацией о клиентах, сотрудниках или других физических лицах.

Например, уведомление понадобится, если ИП:

• собирает имена, телефоны или адреса email через форму на сайте;

• хранит данные покупателей в CRM;

• ведет базу клиентов;

• получает резюме соискателей;

• хранит сведения о сотрудниках;

• передает данные клиентов или работников подрядчикам;

• использует программы и сервисы для хранения или обработки персональных данных.

Персональными данными считается любая информация, которая относится к прямо или косвенно определенному человеку. Это могут быть ФИО, телефон, электронная почта, адрес, паспортные данные, СНИЛС, ИНН и другие сведения.

Что считается обработкой персональных данных

Обработка — это не только сбор информации. К ней относятся практически любые действия с персональными данными:

• получение;

• запись;

• систематизация;

• хранение;

• использование;

• передача;

• изменение;

• удаление;

• уничтожение.

Поэтому ИП или компания становится оператором не только тогда, когда собирает данные через сайт. Например, если менеджер получил телефон клиента в мессенджере, внес его в CRM и использует для связи, данные уже обрабатываются.

Когда нужно подавать уведомление

По общему правилу оператор должен уведомить Роскомнадзор до начала обработки персональных данных.

После получения уведомления ведомство в течение 30 дней вносит сведения в реестр операторов персональных данных. Информация из реестра, кроме отдельных сведений о мерах безопасности, является общедоступной.

Обработку можно начинать с даты подачи уведомления — ждать, пока Роскомнадзор внесет сведения в реестр, не нужно.

Есть несколько исключений, при которых можно обрабатывать персональные данные без подачи уведомления. Например, если такая обработка осуществляется исключительно без использования средств автоматизации, а также в отдельных случаях, связанных с государственными информационными системами, созданными для защиты безопасности государства и общественного порядка.

Во всех остальных случаях уведомление потребуется.

Какие документы нужны для работы с персональными данными

Само уведомление в Роскомнадзор — только одна часть обязанностей оператора. До начала работы с персональными данными необходимо организовать их обработку и защиту.

Конкретный набор документов зависит от сферы деятельности бизнеса, используемых сервисов, категорий данных и способов их обработки. 

Универсального пакета, который одинаково подойдет каждому ИП или компании, нет.

Обычно бизнесу нужно проверить наличие:

• политики в отношении обработки персональных данных;

• локальных документов, регулирующих работу с персональными данными;

• приказа о назначении ответственного за организацию обработки персональных данных;

• документов, определяющих порядок доступа сотрудников к данным;

• форм согласий на обработку персональных данных, когда они необходимы;

• документов о конфиденциальности для работников, имеющих доступ к данным;

• порядка действий при выявлении утечки или другого инцидента.

Если персональные данные собираются через сайт, отдельно нужно проверить его формы и документы, размещенные для пользователей. Политика должна соответствовать реальным процессам компании: недостаточно просто разместить в интернете универсальный шаблон.

Для юридического лица назначение ответственного за организацию обработки персональных данных является отдельной обязанностью. Ответственный подчиняется непосредственно исполнительному органу организации.

Как подать уведомление в Роскомнадзор

Уведомление можно подать в электронном виде или на бумаге.

В уведомлении указывают, в частности:

• сведения об операторе;

• цели обработки;

• категории персональных данных;

• категории лиц, чьи данные обрабатываются;

• правовые основания обработки;

• действия, которые совершаются с данными;

• способы обработки;

• сведения о мерах защиты;

• информацию о месте нахождения базы данных.

Важно не заполнять форму формально. Сведения в уведомлении должны соответствовать реальной работе бизнеса.

Роскомнадзор вправе потребовать уточнить неполные или недостоверные сведения.

Что делать после регистрации в реестре

Попадание в реестр не означает, что на этом обязанности бизнеса заканчиваются. Оператор должен соблюдать требования законодательства при каждом этапе работы с персональными данными.

В частности, нужно контролировать:

• Цели обработки. Нельзя собирать данные «на всякий случай». Информация должна использоваться для конкретных целей.

• Объем данных. Не стоит запрашивать у клиента больше сведений, чем необходимо для конкретной задачи.

• Доступ сотрудников. Работники должны получать доступ только к той информации, которая необходима им для выполнения обязанностей.

• Хранение. Нужно определить, где находятся базы с персональными данными и как обеспечивается их защита.

• Согласия. Если для конкретной обработки требуется согласие человека, оно должно быть оформлено в соответствии с законом.

• Удаление. Когда данные больше не нужны для заявленной цели или наступили другие основания для прекращения обработки, их нельзя хранить бесконечно.

Оператор также должен быть готов отвечать на запросы самих субъектов персональных данных. Например, человек может запросить информацию о том, какие его данные обрабатывает компания. В предусмотренных законом случаях оператор должен предоставить соответствующую информацию или исправить, заблокировать либо уничтожить данные.

Когда нужно обновлять сведения в Роскомнадзоре

Одного уведомления на весь срок работы бизнеса недостаточно.

Если сведения, указанные в уведомлении, изменились, оператор должен сообщить об этом Роскомнадзору не позднее 15-го числа месяца, следующего за месяцем, в котором произошли изменения.

Например, если в июле изменились сведения об обработке персональных данных, обновить информацию нужно не позднее 15 августа.

Если компания или ИП полностью прекращает обработку персональных данных, об этом нужно уведомить Роскомнадзор в течение 10 рабочих дней с даты прекращения обработки.

Поэтому после регистрации важно не забывать о реестре: при изменении процессов обработки данные в нем тоже придется актуализировать.

Нужно ли уведомлять Роскомнадзор о трансграничной передаче

Если бизнес передает персональные данные за пределы России, действует отдельный порядок.

Например, трансграничная передача может возникнуть, если компания передает данные иностранному подрядчику или использует зарубежный сервис, который получает доступ к персональным данным.

С 2022 года уведомление о намерении осуществлять трансграничную передачу подается отдельно от уведомления об обработке персональных данных. А с июля 2026 года правила трансграничной передачи дополнительно изменились. 

Поэтому перед использованием иностранного сервиса нужно отдельно проверить, возникает ли такая обязанность и можно ли передавать ему конкретные данные.

Что будет, если не подать уведомление

За нарушение требований о персональных данных предусмотрена административная ответственность.

В частности, за непредставление или несвоевременное представление уведомления о намерении обрабатывать персональные данные по части 10 статьи 13.11 КоАП РФ предусмотрен штраф:

• для граждан — от 5000 до 10 000 руб.;

• для должностных лиц — от 30 000 до 50 000 руб.;

• для юридических лиц — от 100 000 до 300 000 руб.

Но отсутствие уведомления — далеко не единственный возможный риск. Отдельные штрафы предусмотрены за обработку данных без необходимых оснований, отсутствие опубликованной политики, нарушение требований к защите информации, незаконную передачу данных и другие нарушения. 

Например, обработка персональных данных в случаях, не предусмотренных законом, может повлечь штраф для организации от 150 000 до 300 000 руб., а повторное нарушение — от 300 000 до 500 000 руб.

Особенно серьезными могут быть последствия утечки. За неправомерную передачу персональных данных предусмотрены отдельные штрафы, размер которых зависит от количества затронутых субъектов и характера информации. 

Для крупных утечек санкции для организаций могут достигать нескольких миллионов рублей или рассчитываться как процент от выручки.

Поэтому задача бизнеса — не просто попасть в реестр операторов, а выстроить работу с персональными данными так, чтобы документы, сайт и реальные процессы соответствовали друг другу.

Что делать бизнесу: короткий чек-лист

Если компания или ИП работает с персональными данными, проверьте:

1. Какие данные вы собираете и о ком.

2. Для каких целей они используются.

3. Где хранятся базы и кто имеет к ним доступ.

4. Какие сервисы получают доступ к персональным данным.

5. Нужно ли уведомление Роскомнадзора.

6. Соответствует ли информация в реестре фактической работе бизнеса.

7. Есть ли необходимые внутренние документы.

8. Правильно ли оформлены формы на сайте и согласия.

9. Есть ли порядок действий при утечке.

10. Нужно ли уведомлять РКН о трансграничной передаче.

Специалисты «Lad.Рядом с бизнесом» помогут подготовить и подать уведомление по работе с персональными данными в соответствии с требованиями законодательства. Просто оставьте заявку.