Правовая роль компании
Определяю, является ли компания оператором и какие обработки ведёт от своего имени, а какие — по поручению другого лица.
Включение юридического лица в реестр операторов персональных данных
Предмет работы: уведомление оператора и фактический перечень обработок. Оцениваю документы, обязанности сторон и обстоятельства, с учётом полномочий, сроков и возможных требований контрагента. Готовлю документы и порядок исполнения без неподтверждённых обещаний о результате процедуры.
Коротко
Чтобы компания попала в реестр операторов персональных данных, в Роскомнадзор подаётся уведомление об обработке. В нём указываются цели, категории субъектов и данных, операции, правовые основания, места хранения и меры защиты. Сначала проверяю, какие обработки компания ведёт на самом деле, затем готовлю уведомление так, чтобы сведения совпадали с фактическими процессами.
Когда нужна помощь
Ситуации, в которых правовую проверку нельзя откладывать
- Запуск проектаКомпания начинает собирать данные клиентов или сотрудников. Определяю, нужно ли уведомление, какие цели и категории данных в нём указать, и готовлю его до начала обработки, если закон этого требует.
- Запрос контрагентаКонтрагент или заказчик просит подтвердить, что компания включена в реестр операторов. Проверяю запись и при необходимости готовлю выписку.
- Изменение моделиПоявились новая информационная система, цель или категория данных. Готовлю уведомление о внесении изменений.
- ИнцидентПроизошла утечка или неправомерный доступ к данным. Проверяю, актуальны ли сведения об операторе и мерах защиты в реестре.
- Требование органаРоскомнадзор запросил сведения или выявил, что компания обрабатывает данные без уведомления. Готовлю ответ, уточняю фактический перечень обработок и оцениваю риск ответственности за непредставление сведений. Если уведомление не подавалось, готовлю его по установленной форме уведомления об обработке персональных данных и прикладываю подтверждения.
- СпорКомпания не согласна с требованием или решением Роскомнадзора. Проверяю основания, полномочия органа и материалы проверки, готовлю возражения или заявление в арбитражный суд.
Чаще всего вопрос возникает из-за неподачи уведомления об обработке персональных данных или устаревших сведений. Для работы нужны форма уведомления, реестр процессов и сведения об информационных системах.
Чего компании делать нельзя
Ошибки, которые осложняют правовую защиту компании — Включение юридического лица в реестр операторов персональных данных
- Не подтверждайте факты и обязательства без проверки. До подписания акта, объяснения или ответа сопоставьте изложенное с документами. Неточная формулировка может повлиять на доказательства и последующую позицию компании.
- Не откладывайте проверку полученных документов. Срок и порядок ответа, возражений или обжалования зависят от вида документа и применимой процедуры. Зафиксируйте дату получения и выясните, какое действие требуется именно в вашей ситуации.
- Не поручайте правовую переписку без согласования позиции. Рабочие письма и сообщения могут стать доказательствами. Отделяйте подтверждённые факты от предположений, указывайте реальные полномочия сотрудника и сохраняйте исходную переписку.
- Не подменяйте и не уничтожайте документы. Сохраните оригиналы, электронные файлы и сведения об их отправке. Исправление текущей работы не должно сопровождаться оформлением доказательств задним числом.
Что имеет смысл установить
Какие факты определяют правовое решение
Границы объекта
Фиксирую перечень обработок: цели, категории субъектов и данных, информационные системы и места хранения.
Применимое основание
Проверяю, требует ли закон уведомления для этих обработок и есть ли исключения.
Надёжность доказательственной базы
Прежде чем подать уведомление в реестр операторов персональных данных, собираю форму уведомления, реестр процессов и сведения об информационных системах. Каждое сведение в уведомлении должно подтверждаться локальными актами и фактической работой систем. Если сведения расходятся с реальностью, запись в реестре не защищает компанию при проверке и может стать поводом для вопросов Роскомнадзора.
Действия второй стороны
Устанавливаю, какие данные обрабатывают по поручению компании подрядчики и облачные сервисы.
Исполнимость требования
Уведомление об обработке персональных данных ООО подписывает руководитель или уполномоченное лицо. Требование к оператору должно быть исполнимым: подать уведомление, внести изменения или уточнить сведения, и результат можно проверить по реестру.
Участники и полномочия
Кто принимает решение и помогает доказать исполнение
| Участник | Полномочие и документ |
|---|---|
| Владелец бизнеса | Решает, какие данные собирать и для каких целей, утверждает политику обработки. |
| Руководитель компании | Подписывает уведомление или выдаёт доверенность, чтобы направить уведомление об обработке персональных данных в Роскомнадзор. |
| Ответственный за данные | Описывает процессы, информационные системы, места хранения и меры защиты. Готовит сведения для уведомления, в том числе электронное уведомление об обработке персональных данных через портал, и следит за их актуальностью. При прекращении обработки готовит уведомление об окончании обработки персональных данных. |
| Подрядчик | Обрабатывает данные по поручению компании: хостинг, облачные сервисы, рассылки. Его роль отражается в договоре и в сведениях об обработке. |
| Роскомнадзор или суд | Роскомнадзор ведёт реестр операторов, принимает уведомления и проверяет соблюдение требований; суд рассматривает споры о его решениях и предписаниях. |
| Адвокат | Проверяю, нужна ли регистрация, готовлю уведомление и ответы органу, представляю компанию при проверке и в суде, если спор не решён. |
Как устроена задача
Как связаны фактический процесс, подтверждения и норма
Сначала описываю, какие обработки персональных данных ведёт компания: цели, субъекты, категории данных, системы и места хранения.
Затем собираю доказательства: форму уведомления, реестр процессов и сведения об информационных системах. Каждое сведение в уведомлении сверяю с локальными актами, договорами с подрядчиками и фактической работой систем. Если компания уже подавала уведомление, сравниваю поданные сведения с текущими процессами: расхождение означает, что нужно уведомление о внесении изменений, а не новая заявка.
Роскомнадзор ведёт реестр операторов и принимает уведомления в пределах полномочий уполномоченного органа. Это определяет, кому и в какой форме направляются сведения.
Уведомление об обработке персональных данных — не формальность: за неподачу или непредставление сведений в госорган предусмотрена ответственность, а недостоверные сведения создают риски при проверке. Поэтому оцениваю не только факт подачи, но и соответствие уведомления реальным процессам компании, включая обработку по поручению и передачу данных подрядчикам.
Когда компания впервые заполняет уведомление, вопросы обычно одни и те же: как заполнить уведомление об обработке персональных данных на портале Роскомнадзора, что указать в заявлении для реестра операторов персональных данных, какие цели и правовые основания перечислить. Роскомнадзор принимает сведения в установленной форме, поэтому каждое поле заполняю по фактическим данным компании: перечень действий с данными, описание мер защиты, сведения об ответственном лице, сроки и условия прекращения обработки. Готовый текст сверяю с реестром процессов, чтобы уведомление не описывало обработки, которых нет, и не пропускало те, что есть.
Перед включением компании в реестр операторов персональных данных определяю цели, категории субъектов и данных, операции, правовые основания, места хранения и меры защиты. Эти сведения нужны, чтобы правильно заполнить уведомление об обработке персональных данных и не заявить процесс, которого у организации фактически нет.
Уведомление о намерении осуществлять обработку персональных данных подаётся в Роскомнадзор в установленной форме. Для ИП и юридического лица порядок сходен, но сведения об операторе и ответственных лицах различаются. После подачи проверяю номер в реестре операторов персональных данных по ИНН и сохраняю подтверждение регистрации.
Если процессы изменились, готовлю уведомление о внесении изменений: например, при новой информационной системе, цели, категории данных или трансграничной передаче. Неподачу уведомления оцениваю отдельно от других нарушений обработки; выписка из реестра подтверждает запись, но не освобождает оператора от актуализации сведений.
Нормативная основа: Уведомление об обработке персональных данных
Точный текст нормы из официальной редакции
Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи.ст. 22 Закона № 152-ФЗ
Комментарий адвоката Вруцкогоадвокат · рег. № 78/8790
Уведомление подаётся до начала обработки, поэтому сначала составляю фактический перечень обработок: какие данные, чьи, с какой целью. Уведомление, которое не совпадает с реальными процессами компании, создаёт риск при проверке.
Правовые условия
Что должно быть подтверждено данными
- Квалификация. Определяю статус компании: оператор, лицо, обрабатывающее данные по поручению, или оба одновременно.
- Законное основание. Для каждой цели обработки указываю правовое основание: согласие, договор, закон или иное.
- Полномочия. Проверяю, кто вправе подписать уведомление и направить его от имени компании, и оформляю доверенность, если нужно.
- Документирование. Сведения в уведомлении подтверждаются документами: форма уведомления, реестр процессов и сведения об информационных системах согласуются с политикой обработки, локальными актами и договорами с подрядчиками. Расхождения устраняю до подачи.
- Контроль исполнения. Слежу за изменениями процессов, чтобы вовремя подать уведомление о внесении изменений.
- Способ защиты. Если Роскомнадзор выдал требование или предписание, проверяю, в пределах ли полномочий уполномоченного органа оно выдано и соответствует ли фактам. Способ защиты выбираю адресный: исполнение с пояснениями, возражения или оспаривание в арбитражном суде. Каждое действие подкрепляю документами о реальных процессах обработки.
Порядок работы
Путь от фиксации фактов к контролю исполнения
- 1Описать объектОписать обработки: цели, субъекты, категории данных, информационные системы и места хранения.
- 2Сохранить материалыСохранить исходные документы: форму уведомления, реестр процессов и сведения об информационных системах.
- 3Проанализировать нормыСопоставить процессы с требованиями к уведомлению и реестру операторов.
- 4Оценить рискОценить риски: не подано уведомление, сведения устарели, указаны не все цели или системы. Здесь же проверяю, можно ли найти уведомление об обработке персональных данных, поданное раньше: иногда его подавал прежний руководитель или подрядчик, и тогда нужно не новое уведомление, а изменения в существующую запись.
- 5Выбрать маршрутВыбрать путь: первичное уведомление, уведомление о внесении изменений или об окончании обработки.
- 6Исполнить решениеЗаполнить уведомление по форме, которую утвердил Роскомнадзор, подписать его и направить электронно или на бумаге. Форма уведомления об обработке персональных данных заполняется по фактическим сведениям, а не по образцу другой компании.
- 7Проконтролировать результатПроверить результат: появилась ли компания в реестре операторов, совпадают ли сведения в записи с поданным уведомлением. Сохраняю подтверждение регистрации и выписку, чтобы предъявить их контрагенту или при проверке. Если процессы изменятся, напоминаю, что сведения в реестре нужно обновить, иначе запись перестанет соответствовать реальной обработке.
Досудебная подготовка
Подготовка доказательственной базы и письменной позиции
- Зафиксировать обстоятельства: сохранить форму уведомления, реестр процессов и сведения об информационных системах на дату спора.
- Определить адресата, требование, правовое основание и срок для ответа на запрос Роскомнадзора.
- Проверить, подавалось ли электронное уведомление об обработке персональных данных, есть ли подтверждение его получения и совпадают ли поданные сведения с записью в реестре. Если подтверждения нет, ищу его в почте, личном кабинете и у ответственного за данные.
- Подготовить письменные пояснения по каждому пункту запроса или требования органа с приложением документов: политики обработки, локальных актов, договоров с подрядчиками. Пояснения описывают фактические процессы, а не общие формулировки из шаблона.
- Направить ответ в установленный срок способом, который позволяет подтвердить отправку и получение, и сохранить это подтверждение.
Перед спором с органом проверяю, как компания уведомила Роскомнадзор об обработке персональных данных и что было указано.
Защита в суде
Подсудность, требования и источники доказательственной базы
| Вопрос | Что подтверждаю |
|---|---|
| Компетенция суда | Решения и предписания Роскомнадзора в отношении компании обычно оспариваются в арбитражном суде; подсудность проверяю по предмету. |
| Надлежащие стороны | Ответчик — Роскомнадзор или его территориальный орган, принявший решение или выдавший предписание. |
| Предмет требования | Требование формулирую исполнимо: признать незаконным предписание или решение органа полностью или в части. Для этого показываю, что уведомление оператора об обработке персональных данных было подано, сведения соответствуют фактическим процессам, а выявленные расхождения устранены или не являются нарушением. Если спор касается того, успела ли компания отправить уведомление в Роскомнадзор до проверки, подтверждаю дату отправки документами. |
| Цифровые источники доказательственной базы | Выгрузки из информационных систем, журналы доступа, снимки экрана портала и подтверждения отправки показывают, какие обработки велись и когда подано уведомление. |
| Нормативное основание | Требования к операторам персональных данных по 152-ФЗ и правила о реестре операторов. |
| Исполнение решения | После решения суда проверяю, как оно исполняется: отменено ли предписание, внесены ли изменения в реестр, не возобновились ли требования органа. Итог фиксирую документально, чтобы при следующей проверке показать решение и сведения из реестра. |
Внутренние документы компании тоже становятся доказательствами: приказ о назначении ответственного, приказ об утверждении политики и подготовке уведомления об обработке персональных данных показывают, что компания выполняла обязанности оператора. Их готовлю заранее, а не после начала спора.
Какие документы нужны
Материалы для проверки и защиты
| Документ | Что он помогает доказать |
|---|---|
| Реестр процессов | Перечень обработок с целями, субъектами, категориями данных и сроками. Это основа уведомления: каждое сведение в нём должно подтверждаться этим перечнем. |
| Договорная база | Договоры с подрядчиками и облачными сервисами, поручения на обработку, согласия субъектов. |
| Технические материалы | Сведения об информационных системах: где хранятся данные, какие меры защиты применяются, кто имеет доступ. Они нужны для точного описания мер в уведомлении. |
| Письма контрагентов | Запросы заказчиков и партнёров о статусе компании как оператора и ответы на них. |
| Документ органа | Запросы, требования и предписания Роскомнадзора, акты проверок и ответы компании с приложениями. |
| Уведомление и выписка | Ранее поданное уведомление о намерении осуществлять обработку, подтверждение его отправки и выписка из реестра. Если компания подавала уведомления о намерении обработки персональных данных через портал персональных данных, реестр операторов позволяет проверить, какие сведения в него попали. Сравнение выписки с текущими процессами показывает, нужны ли изменения и какие поля придётся обновить. |
Документы собираю до подачи: исправлять сведения после регистрации дольше, чем сразу подать точное уведомление.
Как оценить расходы и требования
Из чего складываются расходы и требования
| Элемент | Как подтверждается |
|---|---|
| Правовой аудит | Анализ процессов, систем и документов; объём зависит от числа целей обработки и систем. |
| Подготовка документов | Уведомление, изменения к нему, политика обработки и приказы о назначении ответственных. |
| Технические меры | Описание мер защиты и систем готовят технические специалисты компании; объём зависит от состояния документации. |
| Договоры с подрядчиками | Изменение договоров с подрядчиками, если в них нет условий о поручении обработки. |
| Возможные санкции | Штрафы за неподачу уведомления или непредставление сведений зависят от конкретного нарушения и применимой нормы; размер оцениваю по документам проверки, а не по общим цифрам. |
| Судебные расходы | Госпошлина и расходы на представителя, если предписание оспаривается в суде; их распределяет суд. |
Стоимость работы определяю после изучения процессов компании. Если нужно только подать заявление в реестр операторов персональных данных через Роскомнадзор, объём один; если требуется описать десятки систем и обработок по поручению, объём больше, и это видно после первичного анализа.
Сроки и контрольные даты
Процессуальные сроки при судебной защите
| Действие | Срок | Начало и условие | Норма |
|---|---|---|---|
| Претензия по денежному требованию | 30 календарных дней | Отсчёт — со дня направления претензии, если иной срок или порядок не установлен законом или договором. | ч. 5 ст. 4 АПК РФ |
| Оспаривание решения органа | 3 месяца | Отсчёт — со дня, когда компании стало известно о нарушении её прав и законных интересов решением или действием органа. Для решений и предписаний Роскомнадзора дату фиксирую по документу о вручении, чтобы не спорить о начале срока. | ч. 4 ст. 198 АПК РФ |
| Апелляционная жалоба | 1 месяц | Отсчёт — со дня принятия решения арбитражным судом первой инстанции в полном объёме. Если по спору о реестре операторов персональных данных объявлена только резолютивная часть, срок считаю от изготовления мотивированного решения. | ч. 1 ст. 259 АПК РФ |
| Кассационная жалоба | 2 месяца | Отсчёт — со дня вступления в законную силу обжалуемого решения суда или постановления апелляционного суда. До подачи жалобы проверяю, какие доводы заявлялись раньше: новые обстоятельства на этой стадии суд не исследует. | ч. 1 ст. 276 АПК РФ |
Специальный срок проверяется по предмету процедуры. Если спор касается заявления в реестр операторов персональных данных или уведомления Роскомнадзору об обработке, например об изменении сведений, дату отправки и ответа сохраняю.
Какие задачи решаю
Какой может быть правовая и процессуальная работа
Предварительный аудит
Проверяю, какие обработки ведёт компания, подано ли уведомление и соответствуют ли сведения в реестре фактическим процессам. По итогам понятно, что нужно сделать и в каком порядке.
Подготовка документов
Готовлю уведомление, изменения к нему, политику обработки и приказы о назначении ответственных.
Согласование условий
Согласую с подрядчиками условия поручения на обработку и распределение обязанностей.
Ответ регулятору
Отвечаю на запросы и требования Роскомнадзора: проверяю, в пределах ли полномочий Роскомнадзора как уполномоченного органа сделан запрос, готовлю пояснения по каждому пункту и прикладываю документы. Отдельно проверяю, как описаны цели обработки персональных данных в уведомлении Роскомнадзору и совпадают ли они с фактическими.
Возражения по акту
Готовлю возражения на акт проверки или требование органа до принятия итогового решения. В возражениях показываю, какие сведения были поданы, какие процессы фактически ведутся и почему выявленные расхождения не являются нарушением либо уже устранены.
Представительство в арбитражном суде по спорам с органом
Представляю компанию при оспаривании предписаний и решений Роскомнадзора.
Что влияет на результат
Что делает доказательственную позицию сильнее
Верная правовая роль
Компания верно определила свою роль: оператор или лицо, обрабатывающее данные по поручению. От этого зависят обязанности по уведомлению.
Действующая редакция
Уведомление подано по действующей форме, а сведения в нём соответствуют текущей редакции требований.
Запись на портале персональных данных совпадает с поданным уведомлением
Портал персональных данных и реестр операторов показывают, какие сведения попали в запись; сверяю их с документами.
Сведения в госорган поданы полно и вовремя
Риск ответственности за непредставление сведений снижается, если уведомление подано до начала обработки, а изменения — своевременно после изменения процессов.
Своевременная реакция
Запросы органа получают ответ в срок, с документами и пояснениями по каждому пункту.
Исполнимое требование
Просимое действие даёт проверяемый итог: запись в реестре с верными сведениями или предписание, оценённое с учётом полномочий Роскомнадзора как уполномоченного органа. Если уведомление подаётся через портал Роскомнадзора, уведомление об обработке персональных данных сохраняю вместе с подтверждением отправки и номером в реестре.
Возможные результаты
Результаты юридические и практические
- Компания подаёт уведомление об обработке персональных данных, и Роскомнадзор вносит её в реестр операторов после рассмотрения.
- Роскомнадзор запрашивает уточнения сведений; после ответа запись вносится в реестр или обновляется.
- Выясняется, что уведомление не требуется, и компания фиксирует это решение документально.
- В реестр вносятся изменения после смены целей, систем или ответственных лиц.
Показать все результатыСвернуть
- При проверке Роскомнадзор может выдать требование или предписание. Тогда возможны варианты: исполнить его с пояснениями, представить возражения или оспорить в арбитражном суде. Выбор зависит от того, подтверждаются ли выявленные нарушения документами и в пределах ли полномочий действовал орган.
- Суд может признать предписание незаконным полностью или в части либо отказать в требованиях компании. Исход зависит от доказательств: как описаны процессы, когда подано уведомление и соответствуют ли сведения в реестре фактической обработке. Заранее результат не обещаю.
Практические ситуации
Типичные ошибки: как они появляются и нарастают
Компанию не находят в реестре операторов персональных данных по ИНН
Заказчик не нашёл компанию в реестре. Исход зависит от того, подавалось ли уведомление и как указаны реквизиты. Проверяю запись, подтверждение отправки и при необходимости готовлю изменения.
Объект описан неточно
В уведомлении указаны не все цели и информационные системы, либо описаны обработки, которых нет. Исход при проверке зависит от того, насколько сведения расходятся с реальностью. Сверяю уведомление с реестром процессов и готовлю изменения.
Доступ к данным без правил
Сотрудники и подрядчики имеют доступ к данным без утверждённого порядка. Для уведомления важно описать меры защиты; без них описание будет неполным. Предлагаю утвердить правила доступа и отразить их в документах до того, как направить уведомление об обработке персональных данных.
Черновик уведомления так и не отправили, а выписки из реестра нет
Компания считала, что уведомление подано, но оно осталось черновиком в личном кабинете. Исход зависит от даты начала обработки и реакции на запрос органа. Готовлю и подаю уведомление, получаю выписку из реестра операторов персональных данных и готовлю пояснения.
Процедуры смешаны
Ответ на запрос органа и подачу изменений в реестр ведут разные люди без согласования.
Типичные ошибки
Что ослабляет позицию компании
- Формально назвать роль. Компания называет себя обработчиком по поручению, хотя сама определяет цели обработки. Роль определяется по фактам, а не по формулировке в договоре: от неё зависят обязанности, которые закон возлагает на оператора, в том числе по уведомлению и включению в реестр операторов персональных данных.
- Скопировать чужое уведомление об обработке персональных данных ООО. Чужое уведомление описывает другие цели и системы; сведения в реестре не будут соответствовать вашей обработке.
- Не подать уведомление об изменении данных в реестре операторов. Процессы изменились, а запись в реестре осталась прежней. При изменении сведений оператор подаёт уведомление о внесении изменений; устаревшая запись создаёт риски при проверке.
- Ответить без приложений. Ответ органу без документов не показывает, как компания соблюдает требования, и затягивает проверку.
- Не проверить статус поданного уведомления после его отправки. Уведомление могло не дойти или остаться черновиком. Проверяйте статус и появление записи в реестре.
- Попросить неисполнимое. Требование отменить предписание без доводов и доказательств не может быть удовлетворено. Сначала выясняю, какие сведения подавались, что установил орган и какие нарушения действительно есть; затем выбираю реалистичную цель: устранить расхождения, представить возражения или оспорить конкретные пункты предписания. Такой подход экономит время и не создаёт у органа впечатления, что компания уклоняется от исполнения.
Имущественные последствия
Расходы и потери, которые требуют доказательственной базы
- Штраф за неподачу уведомления или непредставление сведений — основное имущественное последствие.
- Разные виды последствий оцениваются раздельно: административный штраф, расходы на приведение документов в порядок, потери от приостановки проектов с заказчиками, которые требуют подтверждения статуса оператора. Уведомление об обработке персональных данных и ответственность за его отсутствие обсуждаю с клиентом до подачи, чтобы он понимал, какие риски устраняет регистрация, а какие остаются.
- Расходы на доработку локальных актов и описаний систем подтверждаются договорами и актами.
- Потери заказчиков из-за отсутствия записи в реестре требуют расчёта и доказательств.
Показать все последствияСвернуть
- Если у компании не получилось зарегистрировать уведомление об обработке персональных данных вовремя, риск зависит от даты начала обработки и того, как быстро недостаток устранён. Документы о подаче и переписку с органом сохраняю для оценки последствий.
- Расходы на представителя и госпошлина при оспаривании предписания в суде распределяются судом по итогам дела. Поэтому все расходы подтверждаю документами с самого начала, а по штрафам оцениваю, есть ли основания для их оспаривания.
Комментарий адвоката Вруцкого
адвокат · рег. № 78/8790
Сначала выясняю факты и исходные документы, затем выбираю норму и способ защиты. Отдельно оцениваю полномочия Роскомнадзора как уполномоченного органа по ст. 23 Закона № 152-ФЗ и то, какие сведения компания обязана ему представить.
Что я беру на себя
Правовая проверка, подтверждения и представительство
- Карта фактов. Составляю перечень обработок: цели, субъекты, категории данных, системы и места хранения.
- Правовая проверка. Проверяю, требуется ли уведомление и какие сведения в нём обязательны.
- Проверка полномочий Роскомнадзора как уполномоченного органа. Если орган направил запрос или требование, проверяю, в пределах ли его полномочий оно выдано и какие сроки ответа установлены.
- Уведомление по установленной форме и пример заполнения для компании. Готовлю уведомление по форме уведомления об обработке персональных данных и показываю пример заполнения по вашим процессам.
- Представительство. Веду переписку с Роскомнадзором и представляю компанию при проверке и в суде.
- Контроль результата. После подачи проверяю регистрацию в реестре операторов персональных данных Роскомнадзора: появилась ли запись, совпадают ли сведения с уведомлением, верно ли указаны реквизиты. Сохраняю подтверждение и выписку. Если процессы компании меняются — новая система, цель или подрядчик, — готовлю уведомление о внесении изменений, чтобы запись в реестре оставалась актуальной и подтверждала реальную обработку. При запросах органа готовлю ответ с документами.
Как я веду дело
Порядок работы адвоката — Включение юридического лица в реестр операторов персональных данных
- 1Разбор ситуацииСмотрю документы компании и обстоятельства, определяю маршрут и называю перспективу без приукрашивания. Если задача решается силами самой компании — говорю об этом прямо.
- 2Сбор документовОпределяю, какие договоры, внутренние документы, переписка и материалы органа относятся к задаче. Недостающие сведения получаем доступным законным способом; судебные запросы возможны в соответствующей процедуре.
- 3Подготовка документовГотовлю необходимые по задаче документы: договор, ответ, возражения, заявление или жалобу. Согласуем содержание и порядок подписания; проверяем полномочия лица, которое направляет документ.
- 4Представительство по задачеПо согласованному поручению веду переговоры, представляю интересы в компетентном органе или суде. Заранее объясняю, когда необходимо личное участие представителя компании и какие документы потребуются.
- 5Результат и дальнейшие действияРазбираю полученное решение или подготовленный документ и объясняю последующие действия. Исполнение судебного акта, обжалование и дополнительные этапы входят в работу в объёме, предусмотренном соглашением.
- 6Связь на всех этапахСогласуем контактное лицо компании и порядок информирования. Сообщаю о значимых событиях и необходимых решениях в пределах принятого поручения.
Самостоятельно или с адвокатом
Какую часть работы берёт компания, а какую — адвокат
Что делает компания
Компания может сама подать уведомление, если процессы простые, систем немного и подрядчики не обрабатывают данные.
- Составить перечень целей, субъектов и категорий данных и указать информационные системы, где они хранятся.
- Передать исходные материалы без удаления метаданных: форму уведомления, реестр процессов и сведения об информационных системах.
- Провести самостоятельную проверку уведомления об обработке персональных данных перед отправкой: совпадают ли цели и категории данных с реальными процессами, указаны ли все системы и меры защиты, верны ли реквизиты. После отправки проверить статус и появление записи в реестре.
Работа адвоката
Адвокат оценивает роль компании, сведения для уведомления, сроки и порядок защиты.
- Сопоставить факты с требованиями 152-ФЗ к уведомлению и реестру.
- Подготовить подтверждения и позицию для компетентного адресата: Роскомнадзор либо арбитражный суд.
- Проконтролировать сроки, объём и достижение результата: доказуемое соответствие процессов требованиям 152-ФЗ.
Если обработок много, данные передаются подрядчикам или уже пришёл запрос органа, лучше подключить адвоката.
Стоимость зависит от объёма работы и того, до какой инстанции дойдёт дело. Размер вознаграждения определяется соглашением об оказании юридической помощи и фиксируется в нём вместе с объёмом работ — ст. 25 ФЗ «Об адвокатской деятельности и адвокатуре». Скрытых платежей нет: всё, что не в соглашении, не оплачивается.
| Этап работы | Когда нужен | Что вы получаете | Цена |
|---|---|---|---|
| Разбор задачи компании | До подписания, ответа на требование или иска | Оценка рисков и план действий; если справитесь своими силами — скажу прямо | от 10 000 ₽ |
| Документы и переписка | Договор, протокол разногласий, претензия, ответ органу | Проект документа, согласованный с вами до подписания или отправки | по соглашению |
| Представительство в компетентном суде | Спор дошёл до суда | Иск или отзыв, расчёты, доказательства, участие в заседаниях | по соглашению |
| Апелляция и кассация | Решение не устроило | Жалоба и участие в вышестоящем суде | по соглашению |
| Выезд по вопросу бизнеса | Проверка, переговоры, встреча в офисе компании | Разбор на месте и план ближайших действий | от 50 000 ₽ |
Кто будет вести ваше дело
Правовая помощь компаниям и предпринимателям — кто отвечает за ваше поручение
Константин Александрович Вруцкий
№ 78/8790 · адвокат
Поручение ведёт адвокат Константин Александрович Вруцкий лично. При обращении обсуждаем задачу компании, необходимые действия и объём сопровождения, который будет закреплён в соглашении.
Адвокатская тайна действует с первого слова, ещё до заключения соглашения: сведения о компании, её сделках и контрагентах не могут быть раскрыты, а адвоката нельзя допросить о том, что он узнал от доверителя.
Личное ведениеВеду дело сам — от первого разговора до исполнения. Доверитель — компания или индивидуальный предприниматель, работа идёт по письменному соглашению с адвокатом — ст. 25 ФЗ «Об адвокатской деятельности и адвокатуре».
Честная оценкаНе обещаю результата: называю реальную перспективу и цену промедления в рублях. Если задача решается силами компании, говорю прямо. Обещать положительный результат адвокату запрещено — п. 2 ст. 10 Кодекса профессиональной этики адвоката.
Адвокатская тайнаСведения о компании, её сделках, контрагентах и финансах, полученные в связи с делом, охраняются законом — рассказать можно всё, включая неудобное. Это адвокатская тайна — ст. 8 ФЗ «Об адвокатской деятельности и адвокатуре».
Понятные следующие шагиОбъясняю значение документа или решения и следующие действия компании. Представительство, обжалование и исполнение входят в согласованный объём помощи по соглашению — ст. 25 ФЗ «Об адвокатской деятельности и адвокатуре».
Частые вопросы
Что важно знать компании на практике
С чего начать, если нужно направить уведомление об обработке персональных данных?
С перечня обработок: цели, категории субъектов и данных, правовые основания, информационные системы и меры защиты. По нему заполняется уведомление и проверяется, требуется ли оно вообще.
Какие нормы применяются и каковы полномочия Роскомнадзора как уполномоченного органа?
Требования 152-ФЗ к операторам и уведомлению; Роскомнадзор принимает уведомления, ведёт реестр и проверяет соблюдение требований.
Подойдёт ли типовой документ, если нужно внести изменения в реестр операторов персональных данных?
Нет. Изменения описывают именно ваши новые цели, системы или ответственных; чужой шаблон этого не отражает.
Что сохранить, пока готовится уведомление об обработке и включение в реестр операторов?
Перечень обработок, локальные акты, договоры с подрядчиками, сведения о системах и мерах защиты, а также подтверждение отправки уведомления. Эти документы понадобятся при проверке и при изменении сведений.
Показать все вопросыСвернуть
Обязательна ли досудебная претензия в спорах о полномочиях Роскомнадзора как органа?
Для оспаривания предписания претензионный порядок, как правило, не требуется; возражения на акт проверки готовлю заранее.
Где посмотреть пример уведомления Роскомнадзору об обработке персональных данных и какой суд рассматривает спор?
Пример заполнения готовлю по процессам вашей компании; споры с Роскомнадзором обычно рассматривает арбитражный суд.
Можно ли заранее обещать результат и выписку из реестра операторов персональных данных Роскомнадзора?
Нет. Запись вносит Роскомнадзор, а исход проверки зависит от фактических процессов и документов. Я могу подготовить точное уведомление и ответы органу, но результат не обещаю.
Что получает компания после подачи через портал Роскомнадзора уведомления об обработке персональных данных?
Поданное уведомление с подтверждением отправки, выписку или сведения о записи в реестре, а также перечень обработок и документы, которые подтверждают сведения. При изменении процессов по этому перечню проще подготовить изменения.