Кто должен подать уведомление об обработке персональных данных в Роскомнадзор

Чтобы понять, кто должен подать уведомление, определите, кто решает, зачем собирать сведения о людях и как с ними работать. Оператором может быть государственный или муниципальный орган, юридическое либо физическое лицо. Обработка может организовываться самостоятельно или совместно с другими лицами. При определении оператора учитываются цели обработки, состав сведений и операции с ними — п. 2 ст. 3 152-ФЗ.

Обязанность касается не только передачи сведений кому-либо. Если вы собираете, записываете, храните, обновляете или используете информацию об определённом либо определяемом человеке, это обработка персональных данных. Даже хранение относится к таким действиям. Сначала сопоставьте фактическую работу со сведениями с этими понятиями: так можно определить, относится ли ваша деятельность к обработке, — п. 1 и 3 ст. 3 152-ФЗ.

Если вы выступаете оператором, уведомление нужно направить до того, как начнёте обрабатывать данные. О своём намерении работать с данными сообщите уполномоченному органу по защите прав субъектов персональных данных. Сначала оцените исключения: они позволяют обрабатывать данные без уведомления в конкретных случаях. Общая обязанность и отсылка к исключениям закреплены в ч. 1 ст. 22 Закона № 152-ФЗ.

Без уведомления можно работать исключительно без средств автоматизации. Здесь имеет значение вся деятельность оператора по обработке данных: при использовании вычислительной техники обработка является автоматизированной. Другие исключения касаются данных в государственных информационных системах, созданных для защиты безопасности государства и общественного порядка, а также обработки в предусмотренных законодательством случаях транспортной безопасности с указанными в законе целями — п. 7–9 ч. 2 ст. 22 Закона № 152-ФЗ, п. 4 ст. 3 152-ФЗ.

Для подачи подготовьте сведения об операторе, целях, начале обработки и сроке либо условии её прекращения. Для каждой цели отдельно укажите категории данных и людей, правовое основание, действия и способы обработки. Также понадобятся сведения об ответственном за организацию обработки, защите данных, расположении базы и наличии трансграничной передачи. Уведомление подписывает уполномоченное лицо; направить его можно на бумаге или электронным документом — ч. 3 и 3.1 ст. 22 Закона № 152-ФЗ.

На включение сведений об операторе в реестр отводится тридцать дней, отсчитываемых от поступления уведомления. Расходы за рассмотрение уведомления и внесение в реестр на оператора возлагать нельзя. При неполных или недостоверных сведениях орган вправе потребовать уточнения до включения в реестр — ч. 4–6 ст. 22 Закона № 152-ФЗ.

После подачи следите за изменениями сведений: сообщить о них нужно не позднее 15-го числа следующего месяца. Если работа с данными прекращена, отсчитайте от этой даты десять рабочих дней: в пределах этого срока нужно уведомить о прекращении обработки. Это отдельные обязанности оператора после первоначального уведомления — ч. 7 ст. 22 Закона № 152-ФЗ.