Регистрация в Роскомнадзоре

Регистрация в Роскомнадзоре означает внесение организации или индивидуального предпринимателя в реестр операторов, осуществляющих обработку персональных данных. Основанием служит уведомление об обработке, которое оператор направляет до начала работы с данными. Под обязанность попадает практически любой бизнес: компания с сотрудниками, интернет-магазин с формой заказа, клиника, салон, автосервис, ведущий базу клиентов, сайт с формой обратной связи. Ниже разобрано, кто считается оператором, как подать уведомление, что в нём указать, как проверить внесение в реестр и что делать при изменениях.

Кто является оператором персональных данных

По Федеральному закону № 152-ФЗ «О персональных данных» оператором считается лицо, которое самостоятельно или совместно с другими организует и осуществляет обработку персональных данных, определяет её цели, состав данных и действия с ними. Обработка включает сбор, запись, хранение, использование, передачу и удаление, поэтому оператором становится любая организация, которая принимает на работу людей, заключает договоры с физическими лицами или собирает контакты через сайт.

Нужно ли регистрироваться в Роскомнадзоре

Статья 22 закона обязывает оператора уведомить Роскомнадзор о намерении обрабатывать персональные данные. После изменений закона перечень исключений сильно сократился, и сегодня обязанность распространяется на подавляющее большинство организаций и предпринимателей независимо от размера бизнеса. Освобождение от уведомления сохраняется лишь в узком круге случаев, установленных частью 2 статьи 22, например при обработке исключительно без использования средств автоматизации, поэтому полагаться на исключение без анализа своей ситуации рискованно.

Что указывается в уведомлении

• наименование, адрес и реквизиты оператора;
• цели обработки и категории персональных данных по каждой цели;
• категории субъектов: работники, соискатели, клиенты, контрагенты, посетители сайта;
• правовые основания обработки и перечень действий с данными;
• описание мер по обеспечению безопасности, включая средства защиты информации;
• данные об ответственном за организацию обработки персональных данных;
• дата начала обработки и срок или условие её прекращения;
• сведения о местонахождении баз данных, содержащих персональные данные граждан РФ;
• информация о трансграничной передаче, если она осуществляется.

Как подать уведомление

Направить уведомление можно на бумаге, электронно с усиленной квалифицированной электронной подписью или через ЕСИА на портале Роскомнадзора. Чаще всего используют электронную форму на портале персональных данных: её заполняют онлайн, а затем либо подписывают электронной подписью, либо распечатывают, подписывают и отправляют в территориальное управление Роскомнадзора по месту регистрации оператора.

Пошаговый порядок

1. Анализ процессов: какие данные, о ком и для каких целей обрабатываются.
2. Подготовка локальных документов: политики обработки, положения, приказа о назначении ответственного, согласий.
3. Заполнение формы уведомления по каждой цели обработки.
4. Подписание и направление уведомления выбранным способом.
5. Проверка внесения сведений в реестр операторов.

Срок внесения в реестр и проверка

Сведения об операторе вносятся в реестр в течение 30 дней с даты поступления уведомления. Проверить их можно в реестре операторов на портале персональных данных Роскомнадзора по ИНН или наименованию организации. Не найдя сведений по истечении срока, стоит выяснить в территориальном управлении, поступило ли уведомление и нет ли запроса на уточнение, потому что неполное или противоречивое уведомление возвращается для доработки.

Локальные документы оператора

Регистрация в реестре не исчерпывает обязанностей оператора. Закон требует назначить ответственного за организацию обработки, утвердить политику обработки персональных данных и опубликовать её на сайте, получать согласия субъектов там, где это необходимо, принять меры по защите информационных систем и обучить работников. Сведения, указанные в уведомлении, должны совпадать с локальными документами: при проверке Роскомнадзор сравнивает заявленные цели и категории данных с реальными процессами.

Внесение изменений и прекращение обработки

При изменении сведений, указанных в уведомлении (появились новые цели, сменился адрес, ответственный, информационные системы или место хранения баз данных), оператор направляет информационное письмо о внесении изменений. Срок для этого ограничен законом, поэтому изменения лучше отражать сразу. Прекращая обработку персональных данных, оператор направляет уведомление о прекращении, и сведения исключаются из реестра.

Трансграничная передача

Если оператор передаёт персональные данные за рубеж (использует иностранные облачные сервисы, CRM, почтовые рассылки или передаёт данные зарубежным партнёрам), он обязан отдельно уведомить Роскомнадзор о намерении осуществлять трансграничную передачу. Это уведомление не заменяет основного и подаётся по своей форме.

Индивидуальные предприниматели и небольшие сайты

Предприниматели часто считают, что уведомление касается только крупных компаний, однако закон не делает различий по размеру бизнеса: ИП, который ведёт клиентскую базу в облачной CRM, принимает заявки через сайт или нанимает хотя бы одного работника, является оператором и должен быть в реестре. Владельцы небольших сайтов с формой обратной связи, подпиской на рассылку или онлайн-записью попадают в ту же категорию, поскольку сбор имени, телефона и адреса электронной почты уже является обработкой персональных данных, а использование сервисов веб-аналитики добавляет к этому сведения о посетителях. Для таких операторов уведомление обычно короче, чем у крупной компании, но требования к политике обработки, согласиям и указанию мест хранения данных остаются теми же.

Отдельное внимание стоит уделить сервисам, которыми пользуется сайт: формы, чаты, счётчики и рассылки часто работают на серверах за рубежом, и тогда помимо основного уведомления потребуется уведомление о трансграничной передаче или замена сервиса на российский.

Сроки и стоимость

Подготовка уведомления при наличии сведений о процессах занимает один-три рабочих дня, а вместе с пакетом локальных документов около недели. Стоимость регистрации в Роскомнадзоре начинается от 6 300 руб. и зависит от числа целей обработки, необходимости разработки локальных документов и уведомления о трансграничной передаче.

Важно: непредставление уведомления или представление неполных сведений влечёт ответственность по статье 19.7 КоАП РФ, а нарушения в обработке персональных данных наказываются по статье 13.11 КоАП РФ. Штрафы за нарушения в этой сфере в последние годы существенно увеличены.

Частые ошибки

Наиболее распространена ошибка, когда в уведомлении указывают одну общую цель «ведение хозяйственной деятельности», хотя закон требует указывать категории данных и субъектов отдельно по каждой цели. Вторая ошибка связана с тем, что сведения о местонахождении баз данных не соответствуют реальности: компания пользуется зарубежным сервисом, а указывает российский дата-центр. Третья проблема состоит в том, что уведомление подают и забывают, не внося изменений при появлении новых процессов.

Частые вопросы

Кто должен подавать уведомление в Роскомнадзор?

Уведомление подают организации и индивидуальные предприниматели, которые осуществляют обработку персональных данных. Обязанность зависит от факта обработки данных, а не от размера бизнеса.

Как подать уведомление об обработке персональных данных?

Уведомление можно направить в бумажном виде, электронно с усиленной квалифицированной электронной подписью или через ЕСИА на портале Роскомнадзора.

Сколько времени Роскомнадзор вносит сведения в реестр?

Сведения об операторе вносятся в реестр в течение 30 дней с даты поступления уведомления.

Как проверить наличие организации в реестре?

Проверить сведения можно в реестре операторов на портале персональных данных Роскомнадзора по ИНН или наименованию организации.

Можно ли внести изменения в сведения об операторе?

Да, для этого направляется информационное письмо о внесении изменений в сведения реестра через предусмотренную форму Роскомнадзора.

Рекомендации

Готовить уведомление стоит после инвентаризации процессов, а не по шаблону. Перечень целей, категорий данных и информационных систем, составленный по реальной работе компании, одновременно становится основой для политики обработки и для мер защиты.

Использование зарубежных сервисов имеет смысл проверить до подачи уведомления. При передаче данных за рубеж понадобится уведомление о трансграничной передаче, а базы с данными граждан РФ должны располагаться в России.

Ответственному за обработку персональных данных полезно раз в год сверять сведения в реестре с текущими процессами и сразу направлять изменения. Это дешевле, чем исправлять расхождения после проверки.

Нормативные документы