Как подать уведомление об обработке персональных данных в Роскомнадзор

Если вы хотите зарегистрироваться как оператор персональных данных, юридически речь идёт об уведомлении о намерении их обрабатывать. Оператор — тот, кто организует обработку и определяет её цели. По ч. 1 ст. 22 Закона № 152-ФЗ уведомить Роскомнадзор нужно до начала обработки. Запись в реестр появляется по результатам поступления уведомления: оператор сообщает сведения, а орган вносит их в реестр.

Прежде чем подавать данные в Роскомнадзор, определите, распространяется ли на вашу обработку обязанность уведомлять. Часть 2 ст. 22 Закона № 152-ФЗ допускает работу без уведомления, в частности, если обработка ведётся исключительно без средств автоматизации. Слово «исключительно» здесь существенно: наличие бумажных документов само по себе ещё не описывает весь способ работы с персональными данными.

Другие исключения в этой части касаются данных в государственных информационных системах, созданных для защиты безопасности государства и общественного порядка, а также обработки в предусмотренных законодательством случаях транспортной безопасности. Это исключения для обозначенных законом видов обработки. Если ваша работа к ним не относится, ориентироваться следует на общее правило о предварительном уведомлении, а не на название организации или её занятий.

Подготовку содержания начните с перечня целей. По ч. 3.1 ст. 22 Закона № 152-ФЗ для каждой цели нужны категории данных и категории субъектов — людей, чьи сведения обрабатываются. Здесь же указывают правовое основание, действия с данными и способы обработки. Поэтому одной общей записи о том, что оператор работает с персональными данными, недостаточно: сведения нужно связать с конкретными целями.

Далее заполните сведения о самом операторе: наименование либо фамилию, имя, отчество и адрес. Часть 3 ст. 22 Закона № 152-ФЗ также предусматривает сведения об ответственном за организацию обработки. Для него указываются имя либо наименование, контактные телефоны, почтовые адреса и электронная почта. Оператор и ответственный названы в законе отдельно, поэтому при заполнении эти сведения нужно различать.

В уведомлении отражают дату начала обработки и срок либо условие её прекращения. Если окончание связано с условием, закон позволяет указать именно его. Также нужны сведения о наличии или отсутствии трансграничной передачи — передачи данных за пределы страны — и о месте нахождения базы с персональными данными граждан Российской Федерации. Эти вопросы входят в содержание уведомления по ч. 3 ст. 22 Закона № 152-ФЗ.

Отдельная часть подготовки касается защиты информации. Закон предусматривает описание мер защиты, сведения о наличии шифровальных средств и их наименованиях, а также об обеспечении безопасности данных. Для государственных и муниципальных информационных систем предусмотрены сведения о лицах, имеющих доступ или обрабатывающих данные по договору. Содержание уведомления должно отражать вашу обработку, включая применимые к ней специальные сведения.

Когда сведения собраны, используйте установленную форму уведомления: полномочие устанавливать формы закреплено в ч. 8 ст. 22 Закона № 152-ФЗ. Часть 3 разрешает направить документ на бумажном носителе либо электронно. В обоих случаях требуется подпись уполномоченного лица. Выбор электронной формы не отменяет ни подписи, ни обязанности заполнить сведения о целях, способах обработки и самом операторе.

Регистрация в Роскомнадзоре как оператора персональных данных не означает, что заявитель сам создаёт запись в реестре. По ч. 4 ст. 22 Закона № 152-ФЗ орган вносит сведения в течение тридцати дней с поступления уведомления. Поэтому различайте направление документа и появление записи: это разные события. В реестре также отражаются сведения о дате направления уведомления.

Проверить результат можно по общедоступным сведениям реестра операторов. При этом ч. 4 ст. 22 Закона № 152-ФЗ исключает из открытого доступа сведения о средствах обеспечения безопасности. Полноту этих сведений проверяйте по направленному уведомлению: в открытом реестре они не публикуются. Доступность реестра не распространяется на всё содержание направленного документа без исключений.

Если сведения неполны или недостоверны, орган вправе запросить уточнение до их внесения в реестр: такое правило содержит ч. 6 ст. 22 Закона № 152-ФЗ. Расходы за рассмотрение уведомления и включение сведений в реестр на оператора возлагать нельзя по ч. 5 той же статьи. Это правило относится именно к указанным действиям уполномоченного органа.

После подачи следите за изменениями сообщённых сведений. По ч. 7 ст. 22 Закона № 152-ФЗ о них уведомляют не позднее 15-го числа следующего месяца. При прекращении обработки действует другой срок: десять рабочих дней с даты прекращения. Первоначальное уведомление не заменяет этих сообщений, поскольку реестр должен отражать последующие изменения деятельности оператора.