Кому нужно подавать уведомление в Роскомнадзор

Если вы решаете, кому надо подавать уведомление, начните с того, как оператор будет обрабатывать персональные данные. Общее правило — уведомить уполномоченный орган по защите прав субъектов персональных данных до начала обработки. Обязанность связана именно с намерением работать с такими данными: сначала направляют уведомление, затем начинают обработку. Это порядок, установленный ч. 1 ст. 22 Закона № 152-ФЗ.

При работе исключительно без средств автоматизации уведомление можно не направлять. Здесь существенно слово «исключительно»: если часть обработки автоматизирована, применять это исключение ко всей деятельности нельзя. Для решения вопроса об уведомлении сопоставьте фактические способы работы с условием п. 8 ч. 2 ст. 22 Закона № 152-ФЗ. Не приравнивайте смешанную обработку к полностью неавтоматизированной.

Другие исключения относятся к особым целям обработки. Первое касается данных в государственных информационных системах, созданных для защиты безопасности государства и общественного порядка. Второе — обработки в предусмотренных законодательством случаях транспортной безопасности, направленной на устойчивое и безопасное функционирование транспортного комплекса и защиту от незаконного вмешательства. Принадлежность данных к государственной системе нужно соотносить с целью её создания, а транспортную обработку — с указанными условиями: п. 7 и 9 ч. 2 ст. 22 Закона № 152-ФЗ.

Когда уведомление требуется, подготовьте сведения об операторе и целях обработки. Для каждой цели отдельно укажите категории данных и людей, чьи данные обрабатываются, правовое основание, действия с данными и способы обработки. Также понадобятся сведения об ответственном за организацию обработки, мерах безопасности, начале и прекращении обработки, трансграничной передаче и расположении базы данных. Содержание уведомления определяют ч. 3 и 3.1 ст. 22 Закона № 152-ФЗ.

Направить уведомление можно документом на бумажном носителе либо электронным документом; подпись ставит уполномоченное лицо. Для подачи используйте форму, установленную уполномоченным органом по защите прав субъектов персональных данных. За рассмотрение уведомления и внесение сведений в реестр оператору платить не нужно. Эти правила закреплены в ч. 3, 5 и 8 ст. 22 Закона № 152-ФЗ.

Сведения вносят в реестр в течение тридцати дней после поступления уведомления. Основная информация реестра общедоступна, исключение составляют сведения о средствах обеспечения безопасности данных. Если сведения неполные или недостоверные, орган вправе потребовать их уточнения до внесения в реестр — ч. 4 и 6 ст. 22 Закона № 152-ФЗ.

После подачи уведомления следите за изменениями сообщённых сведений. О них нужно уведомить не позднее 15-го числа следующего месяца. Если обработка завершена, отсчитайте от даты её прекращения десять рабочих дней: в этот срок оператор обязан сообщить о завершении обработки. На исключение сведений из реестра отведено тридцать дней после поступления такого уведомления — ч. 7 и 4.1 ст. 22 Закона № 152-ФЗ.