Одна из обязанностей оператора персональных данных — уведомить Роскомнадзор об обработке данных. Многие владельцы сайтов о ней не знают или путают с «регистрацией». Разбираемся по шагам: когда уведомление нужно, что в нём указать и как подать.
Когда уведомление обязательно
По общему правилу (ч. 1 ст. 22 152-ФЗ) оператор обязан уведомить Роскомнадзор до начала обработки данных. На практике это значит: если вы запускаете сайт с формой сбора контактов и подпадаете под операторов, уведомление, скорее всего, нужно.
Когда уведомление НЕ нужно
В части 2 статьи 22 перечислены случаи, когда уведомление не требуется. Основные:
- обработка данных работников в связи с трудовыми отношениями;
- данные получены в связи с заключением и исполнением договора, стороной которого является субъект, — если они не распространяются и не передаются третьим лицам без согласия субъекта и используются только для исполнения или заключения договоров с ним;
- обработка только фамилии, имени и отчества;
- обработка данных, необходимых для однократного пропуска субъекта на территорию;
- обработка без средств автоматизации, осуществляемая по правилам нормативных актов (в первую очередь постановления Правительства № 687 от 15.09.2008);
- иные случаи, прямо названные в законе.
Эти исключения узкие. Если сомневаетесь — безопаснее подать уведомление или уточнить статус у специалиста.
Что указать в уведомлении
Содержание уведомления определено частями 3 и 3.1 статьи 22 152-ФЗ (сведения о целях, категориях данных и действиях приводятся по каждой цели обработки отдельно). В нём указывают:
- наименование (ФИО) и адрес оператора;
- правовое основание обработки данных;
- цели обработки;
- категории персональных данных и категории субъектов;
- перечень действий с данными и общее описание мер безопасности (по ст. 18.1 и 19);
- сведения о лице, ответственном за организацию обработки данных;
- сведения о месте нахождения базы данных, содержащей персональные данные граждан РФ;
- сведения о наличии или отсутствии трансграничной передачи данных;
- сведения об обеспечении безопасности данных по требованиям Правительства РФ;
- дату начала обработки и срок или условие её прекращения.
Как подать уведомление пошагово
- Подготовьте данные: реквизиты, цели обработки, категории данных, меры безопасности, ответственного.
- Войдите в личный кабинет оператора на портале персональных данных Роскомнадзора через ЕСИА (учётную запись Госуслуг).
- Заполните форму уведомления по полям, соответствующим части 3 статьи 22.
- Подпишите уведомление усиленной квалифицированной электронной подписью (УКЭП) — именно она подписывает документ от имени оператора.
- Отправьте и сохраните подтверждение. Сведения о вашем операторе появятся в Реестре операторов персональных данных.
Что важно помнить
- Уведомление подаётся до начала обработки, а не после проверки.
- При изменении сведений (цели, категории данных) уведомление нужно актуализировать.
- Включение в Реестр — это не «лицензия», а исполнение обязанности; статус оператора возникает и без него.
- За неуведомление, когда оно обязательно, предусмотрена ответственность по части 10 статьи 13.11 КоАП РФ.
Прежде чем подавать уведомление, полезно точно понимать, какие данные и для каких целей собирает ваш сайт. Это можно проверить автоматически.