Нужно ли регистрироваться в Роскомнадзоре
Обязанность оператора — уведомить о намерении обрабатывать персональные данные до начала работы с ними. Исключения зависят от способа обработки и назначения данных; сведения в реестр вносит уполномоченный орган.
Коротко
Да, если вы оператор персональных данных, обычно нужно до начала их обработки уведомить уполномоченный орган по защите прав субъектов персональных данных. Затем орган внесёт сведения в реестр операторов. Исключения предусмотрены для исключительно неавтоматизированной обработки и отдельных случаев, связанных с безопасностью государства, общественным порядком и транспортной безопасностью — ч. 1–4 ст. 22 Закона № 152-ФЗ.
Ответ подробно: когда оператору требуется запись в реестре
Если вы выясняете, нужно ли регистрировать обработку персональных данных, начните со способа работы с ними. Общее правило для оператора — заранее уведомить уполномоченный орган по защите прав субъектов персональных данных о намерении вести обработку. Обязанность возникает до её начала, а внесение сведений в реестр выполняет орган после получения уведомления. Такой порядок предусмотрен ч. 1 и 4 ст. 22 Закона № 152-ФЗ.
Работа исключительно без средств автоматизации позволяет обрабатывать данные без уведомления. Для этого исключения существенен именно способ всей обработки: оно относится к оператору, который ведёт такую деятельность только без автоматизации. Отдельные исключения касаются данных в государственных информационных системах, созданных для защиты безопасности государства и общественного порядка, а также обработки в предусмотренных законодательством случаях для транспортной безопасности. Основания перечислены в п. 7–9 ч. 2 ст. 22 Закона № 152-ФЗ.
Когда уведомление требуется, его направляют на бумаге или в форме электронного документа с подписью уполномоченного лица. Форму устанавливает уполномоченный орган. В уведомлении указывают наименование или ФИО и адрес оператора, цели обработки, дату её начала, срок либо условие прекращения. Также сообщают о лице, ответственном за организацию обработки, и его контактах — ч. 3 и 8 ст. 22 Закона № 152-ФЗ.
Подготовьте сведения отдельно по каждой цели, для которой используете данные. Укажите категории самих данных и людей, к которым они относятся, правовое основание, действия с данными и способы обработки. Кроме того, нужны сведения о мерах защиты, наличии шифровальных средств, месте нахождения базы данных граждан Российской Федерации и наличии либо отсутствии трансграничной передачи. Для доступа к данным государственных и муниципальных информационных систем предусмотрены сведения о соответствующих лицах — ч. 3 и 3.1 ст. 22 Закона № 152-ФЗ.
После поступления уведомления сведения включают в реестр в течение тридцати дней. Оплачивать рассмотрение уведомления и включение сведений в реестр оператору не требуется. Сведения реестра общедоступны, кроме информации о средствах обеспечения безопасности данных. Если сведения неполные или недостоверные, орган вправе потребовать их уточнения до внесения записи — ч. 4–6 ст. 22 Закона № 152-ФЗ.
После включения в реестр следите за изменениями сообщённых сведений. О них нужно уведомлять не позднее 15-го числа следующего месяца. Если обработка прекращена, уведомление направляют в течение десяти рабочих дней с даты прекращения. После получения такого уведомления орган исключает сведения из реестра в течение тридцати дней. Эти обязанности и сроки закреплены в ч. 4.1 и 7 ст. 22 Закона № 152-ФЗ.
Что говорит закон: обязанность уведомить
Статья в редакции Федерального закона от 14.07.2022 № 266-ФЗ. Текст — из базы законов «ВРУЦКИЙ ПРАВО».
Документы: сведения для включения оператора в реестр
Содержание и форма уведомления определяются ч. 3, 3.1 и 8 ст. 22 Закона № 152-ФЗ.
| Документ |
|---|
| Бумажное или электронное уведомление, подписанное лицом, уполномоченным оператором |
| Сведения об операторе, ответственном за организацию обработки и его контактах |
| Сведения по каждой цели: категории данных и субъектов, правовое основание, действия и способы обработки |
| Сведения о защите данных, месте нахождения базы и трансграничной передаче |
| Сведения о дате начала обработки, сроке или условии её прекращения |
Частые вопросы: исключения и сроки
Обязанность уведомить и дальнейшее ведение сведений регулирует ст. 22 Закона № 152-ФЗ.
Нужно ли уведомление при обработке без автоматизации?
При исключительно неавтоматизированной обработке оператор вправе работать без уведомления. Условие касается всей его деятельности по обработке персональных данных: она должна осуществляться исключительно без использования средств автоматизации — п. 8 ч. 2 ст. 22 Закона № 152-ФЗ.
Сколько стоит внесение сведений в реестр операторов?
На оператора нельзя возлагать расходы за рассмотрение уведомления уполномоченным органом и внесение сведений в реестр. Это правило касается обеих процедур и закреплено в ч. 5 ст. 22 Закона № 152-ФЗ.
Когда сообщать об изменении сведений оператора?
Сообщите обо всех изменениях за месяц не позднее 15-го числа следующего месяца. Для прекращения обработки действует другой срок: десять рабочих дней с даты её прекращения — ч. 7 ст. 22 Закона № 152-ФЗ.
Услуги и темы рядом
Обязанности оператора и вопросы использования персональных данных.
Не откладывайте защиту