Как зарегистрироваться оператором персональных данных

Чтобы зарегистрироваться в Роскомнадзоре как оператору персональных данных, нужно начать с описания планируемой обработки. Под регистрацией здесь понимается внесение сведений в реестр операторов после подачи уведомления. По ч. 1 ст. 22 Закона № 152-ФЗ уведомлять о намерении обрабатывать сведения требуется до начала работы с ними. Поэтому подготовка документа должна предшествовать обработке, а не завершать её организацию.

Сначала сопоставьте свою деятельность с исключениями ч. 2 ст. 22 Закона № 152-ФЗ. Уведомление не требуется, в частности, при обработке исключительно без средств автоматизации. Другие указанные в этой части случаи касаются определённых государственных информационных систем и обработки для транспортной безопасности. Наличие персональных данных само по себе ещё не отвечает на вопрос об обязанности уведомить: имеет значение и способ работы с ними.

Для уведомления опишите каждую цель обработки отдельно. Согласно ч. 3.1 ст. 22 Закона № 152-ФЗ с каждой целью связывают категории сведений и людей, к которым они относятся, правовое основание, действия со сведениями и способы обработки. Например, нельзя ограничиться только общей целью и оставить без описания то, какие именно действия с персональными данными предполагаются. Эти сведения нужны по каждой заявленной цели.

Далее подготовьте сведения об операторе: наименование либо фамилию, имя и отчество, адрес. В ч. 3 ст. 22 Закона № 152-ФЗ также названы дата начала обработки, срок или условие её прекращения, наличие либо отсутствие трансграничной передачи. Отдельно указывают место нахождения базы с персональными данными граждан Российской Федерации. Это сведения о самой обработке, которые следует согласовать между собой до отправки уведомления.

Особое внимание уделите описанию защиты и ответственному за организацию обработки. В уведомлении нужны его имя либо наименование и контактные сведения, а также описание мер защиты и сведения о применяемых шифровальных средствах. Для лиц, имеющих доступ или обрабатывающих по договору сведения в государственных и муниципальных информационных системах, ч. 3 ст. 22 Закона № 152-ФЗ предусматривает отдельные сведения.

Подписать уведомление должно уполномоченное лицо. Часть 3 ст. 22 Закона № 152-ФЗ допускает бумажный документ и электронную форму. Если сведения окажутся неполными или недостоверными, орган вправе запросить уточнения до включения в реестр. По ч. 4 этой статьи срок внесения составляет тридцать дней со дня поступления уведомления. Большая часть реестровых сведений общедоступна; исключение касается средств обеспечения безопасности.

После включения в реестр обязанность сообщать сведения сохраняется. По ч. 7 ст. 22 Закона № 152-ФЗ об изменениях уведомляют не позднее 15-го числа следующего месяца. При прекращении обработки уведомление направляют в течение десяти рабочих дней с даты прекращения. Расходы за рассмотрение уведомления и внесение в реестр на оператора не возлагаются — это прямо предусмотрено ч. 5 той же статьи.