Компания добавила на сайт форму заявки: посетитель оставляет имя, телефон и электронную почту. С этого момента бизнес начинает работать со сведениями о человеке. Во многих случаях до такой обработки нужно направить «уведомление Роскомнадзора об обработке персональных данных».
Уведомление не заменяет согласие, политику или законное основание обработки. Оно сообщает Роскомнадзору, кто, зачем и каким способом работает с персональными данными.
Ну а сегодня разберем, кто обязан подавать уведомление и какие исключения действуют. Кроме того, посмотрим, что указать в форме, когда обновлять сведения и чем обычное уведомление отличается от сообщения об утечке.
О понятии
Итак, уведомление Роскомнадзора об обработке персональных данных — это сообщение оператора о намерении начать обработку. В Законе № 152-ФЗ, в свою очередь, используется формулировка «уведомление о намерении осуществлять обработку персональных данных».
По общему правилу его направляют до начала обработки. Затем сведения включают в реестр операторов.
Обращаясь к первоисточнику, обязанность закрепляет часть 1 статьи 22 Закона № 152-ФЗ. Оператор должен уведомить уполномоченный орган до начала обработки, если ситуация не входит в исключения той же статьи.
Проще говоря, уведомление — не разрешение на обработку. Оно лишь фиксирует сведения, которые оператор обязан сообщить Роскомнадзору.
Пример ситуации
Допустим, предприниматель запускает интернет-магазин. Покупатели будут указывать ФИО, телефон и адрес доставки, а сведения попадут в CRM. В таком случае до запуска нужно проверить статью 22 и, если исключения не подходят, направить уведомление.
Кто должен подавать уведомление
Прежде всего обязанность зависит не от размера бизнеса и не от количества работников. Она возникает у оператора персональных данных, если для обработки нет специального исключения.
Например, оператором может быть компания, ИП или другое лицо, которое определяет цели и состав обработки. Кроме того, кадровый учет, заявки с сайта и клиентская база уже могут означать работу с персональными данными.
Кстати, статус возникает не после включения в реестр. Подробнее об этом — в статье про оператора персональных данных.
Сейчас часть 2 статьи 22 оставляет три исключения:
- данные из государственных информационных систем, созданных для защиты безопасности государства и общественного порядка;
- персональные данные, обрабатываемые исключительно без средств автоматизации;
- сведения, которые обрабатывают в предусмотренных законом случаях транспортной безопасности.
То есть привычные кадровые или клиентские процессы в этот короткий перечень сами по себе не входят.
С 1 сентября 2022 года старые исключения для данных работников и сведений, полученных в связи с договором, больше не действуют. Поэтому фраза «у нас только сотрудники» или «только клиенты по договорам» сама по себе от уведомления не освобождает.
Кроме того, если сведения заносят в CRM или электронную таблицу, исключение для полностью неавтоматизированной обработки уже не подходит.
Что указывают в уведомлении
Прежде всего форма должна описывать реальную работу, а не возможные процессы «на всякий случай». Причем сведения раскрывают отдельно по каждой цели.
В частности, указывают:
- сведения об операторе и цели обработки;
- категории персональных данных и субъектов;
- правовые основания, действия и способы обработки;
- меры безопасности и сведения об ответственном за обработку;
- дату начала и условие прекращения обработки;
- наличие или отсутствие трансграничной передачи;
- сведения о месте нахождения баз данных граждан России.
Кроме того, набор полей должен совпадать с тем, что оператор действительно делает с данными.
Важно понимать, что для каждой цели отдельно указывают категории данных, субъектов, основание, действия и способы обработки. Подробнее — в статье про цель обработки персональных данных.
Например, кадровый учет и доставка заказа решают разные задачи. Поэтому общая фраза «для деятельности организации» плохо описывает реальные процессы.
Как подготовить и подать уведомление
Прежде всего лучше составить карту обработки, а уже затем открывать форму. Иначе легко пропустить важные сведения.
Порядок можно выстроить так:
- Определите процессы, в которых появляются сведения о людях.
- Зафиксируйте цели, категории субъектов и состав данных.
- Проверьте основания, действия и способы обработки.
- Укажите информационные системы, места хранения и передачи.
- Сверьте результат с политикой и внутренними документами.
- Заполните форму и подпишите ее уполномоченным лицом.
Формы утверждены Приказом Роскомнадзора от 28 октября 2022 года № 180. В частности, там отдельно предусмотрены документы для начала обработки, изменения сведений и ее прекращения.
По статье 22 уведомление можно направить на бумаге или в форме электронного документа. Кроме того, на Портале персональных данных Роскомнадзора доступна электронная форма.
Не стоит отмечать все категории данных и способы обработки «для надежности». Уведомление должно совпадать с фактической работой оператора.
После получения документа Роскомнадзор в течение 30 дней вносит сведения в реестр. Если ведомству понадобится уточнение, оно вправе запросить дополнительную информацию.
Когда нужно обновлять сведения
Первоначальное уведомление не подают каждый год. Однако данные в реестре должны оставаться актуальными.
Если заявленные сведения изменились, сообщить об этом нужно не позднее 15-го числа месяца, следующего за месяцем изменений.
В частности, такой срок устанавливает часть 7 статьи 22 Закона № 152-ФЗ. Если оператор полностью прекращает обработку, уведомление о прекращении направляют в течение 10 рабочих дней.
Например, магазин запустил программу лояльности и добавил новую цель обработки. В таком случае, если прежнее уведомление ее не отражает, сведения нужно обновить в установленный срок.
Если оператор уже есть в реестре и все данные верны, повторное первоначальное уведомление не требуется. При изменениях используют отдельную форму из Приказа № 180.
Иначе говоря, после первой подачи обязанность не заканчивается. В дальнейшем оператор должен следить, чтобы сведения в реестре соответствовали его реальным процессам.
Чем это уведомление отличается от других
Закон № 152-ФЗ предусматривает несколько уведомительных обязанностей. Поэтому одним документом закрыть их нельзя.
| Ситуация | Уведомление | Срок |
|---|---|---|
| Начало обработки | О намерении обрабатывать персональные данные | До начала обработки |
| Передача за границу | О намерении осуществлять трансграничную передачу | До начала такой передачи |
| Инцидент с данными | О передаче или доступе, нарушивших права субъектов | Первичное сообщение — в течение 24 часов |
Например, уведомление из статьи 22 не заменяет сообщение о трансграничной передаче. Статья 12 Закона № 152-ФЗ, в свою очередь, требует направлять его отдельно.
Кроме того, при определенном инциденте статья 21 требует сообщить основные сведения в течение 24 часов. Затем в течение 72 часов передают результаты внутреннего расследования.
Наличие компании в реестре операторов не освобождает ее от отдельных уведомлений о трансграничной передаче или инциденте.
То есть каждое уведомление связано со своим юридическим событием. Поэтому первоначальную постановку в реестр нельзя считать универсальным сообщением Роскомнадзору на все случаи.
Что будет, если уведомление не подать
По закону уведомить Роскомнадзор нужно до начала обработки. Поэтому поздняя подача не делает первоначальный срок соблюденным.
Если обработка уже идет, прежде всего стоит проверить исключения, а затем привести сведения в соответствие. При этом в форме нужно указывать достоверные данные.
По части 10 статьи 13.11 КоАП РФ за неподачу или несвоевременную подачу первоначального уведомления предусмотрены штрафы:
- граждане — от 5 000 до 10 000 рублей;
- должностные лица государственных и муниципальных органов и НКО — от 30 000 до 50 000 рублей;
- иные операторы — юридические лица — от 100 000 до 300 000 рублей.
Кроме того, ИП по этой части статьи отвечают как юридические лица. То есть для них штраф тоже составляет от 100 000 до 300 000 рублей.
В итоге уведомление должно быть краткой картой фактической обработки. Поэтому после запуска новых процессов его стоит сверять с политикой и внутренними документами, а при изменениях вовремя обновлять сведения.