Нужна ли регистрация оператора персональных данных и уведомление Роскомнадзора

Когда спрашивают, кому нужно регистрироваться в Роскомнадзоре как оператору персональных данных, речь обычно идёт об уведомлении и последующем включении в реестр. Эти действия связаны, но выполняют их разные участники: оператор сообщает о намерении обрабатывать данные, а орган вносит сведения. Часть 1 ст. 22 Закона № 152-ФЗ связывает обязанность уведомить с началом обработки. Поэтому ориентиром служит планируемая работа с данными, а не желание получить запись в реестре после того, как такая работа уже началась.

Ответ на вопрос, кто должен регистрироваться в Роскомнадзоре, нельзя строить только на названии организации или характере её занятий. Общее правило ст. 22 Закона № 152-ФЗ адресовано оператору, а освобождение от уведомления предусмотрено для конкретных случаев обработки. Чтобы решить, нужно ли направлять уведомление, сопоставьте свою работу с исключениями из ч. 2 этой статьи. Если подходящего исключения нет, применяется обязанность сообщить об обработке заранее. Само по себе отсутствие оператора в реестре не объясняет, освобождён ли он от уведомления.

Одно из исключений — деятельность по обработке персональных данных исключительно без использования средств автоматизации. Слово «исключительно» здесь имеет практическое значение: наличие бумажных документов само по себе ещё не описывает все способы работы оператора. Если наряду с ними используются средства автоматизации для обработки персональных данных, ссылаться только на бумажный документооборот недостаточно. Для решения вопроса об уведомлении нужно учесть фактические способы обработки, а затем сопоставить их с условием п. 8 ч. 2 ст. 22 Закона № 152-ФЗ.

Два других исключения имеют специальное назначение. Пункт 7 ч. 2 ст. 22 Закона № 152-ФЗ касается данных в государственных информационных системах, созданных для защиты безопасности государства и общественного порядка. Пункт 9 относится к обработке в предусмотренных законодательством случаях для транспортной безопасности. Обычного упоминания безопасности в целях работы недостаточно: для применения исключения обработка должна соответствовать описанному в законе случаю. Эти положения нельзя переносить на любую информационную систему или любую деятельность, связанную с транспортом.

Если уведомление требуется, его содержание должно отражать реальную обработку. По ч. 3 ст. 22 Закона № 152-ФЗ в нём указывают сведения об операторе, цели обработки, дату её начала и срок либо условие прекращения. Также нужны сведения об организации обработки и её безопасности, наличии либо отсутствии трансграничной передачи, месте нахождения базы данных с информацией о гражданах Российской Федерации. Уведомление направляется на бумаге или в электронной форме; документ подписывает уполномоченное лицо. Формы уведомлений устанавливает уполномоченный орган согласно ч. 8 этой статьи.

Отдельного внимания заслуживает описание целей. Часть 3.1 ст. 22 Закона № 152-ФЗ требует для каждой цели указать категории данных и людей, чьи данные обрабатываются, правовое основание, действия с данными и способы обработки. Поэтому общая фраза о работе с персональными данными не заменяет описание по каждой цели. Подготовку уведомления удобно начинать с сопоставления: зачем нужны сведения, чьи именно сведения используются и что с ними происходит. Это позволяет заполнить уведомление содержательно и согласовать его части между собой.

После поступления уведомления сведения вносят в реестр в течение тридцати дней по ч. 4 ст. 22 Закона № 152-ФЗ. Этот срок относится к действиям органа и не меняет правила об уведомлении до начала обработки. Если сведения неполные или недостоверные, орган вправе запросить уточнение до включения в реестр — такое полномочие предусмотрено ч. 6. Реестр общедоступен, однако сведения о средствах обеспечения безопасности данных составляют исключение. Расходы за рассмотрение уведомления и внесение записи на оператора не возлагаются согласно ч. 5.

После включения в реестр работа с уведомлениями может продолжиться. По ч. 7 ст. 22 Закона № 152-ФЗ об изменениях сообщают не позднее 15-го числа месяца, следующего за месяцем их возникновения. Если обработка прекращена, уведомить об этом нужно в течение десяти рабочих дней с даты прекращения. Затем по ч. 4.1 сведения исключаются из реестра в течение тридцати дней после поступления соответствующего уведомления. Поэтому регистрация оператора персональных данных предполагает не только первоначальное сообщение: сведения об обработке нужно поддерживать в соответствии с её изменениями.