Уведомление в Роскомнадзор: кому подавать и как

Дальше — кто попадает под обязанность, что писать в уведомлении и чего делать не нужно.

Кто считается оператором персональных данных

Оператор — тот, кто определяет, зачем и как обрабатываются персональные данные. Не тот, кто хранит их технически, а тот, кто решает, что с ними делать.

Практически это значит: если у вас есть сотрудники, вы уже оператор. Если на сайте есть форма заявки, обратный звонок или подписка — тоже. Если вы ведёте базу клиентов в таблице, записываете на приём, отправляете рассылку — снова да.

Персональные данные — это не только паспорт. Имя вместе с телефоном, электронная почта с фамилией, номер автомобиля вместе с именем владельца — всё это данные, по которым человек определяется.

Раньше в законе было несколько исключений, позволявших не уведомлять: например, обработка только данных работников или данных, полученных в связи с договором. Поправки 2022 года эти исключения практически убрали, и сейчас уведомляют почти все операторы. Если вам когда-то говорили, что «для ИП с формой на сайте уведомление не нужно», это устаревший совет.

Когда подавать

До начала обработки. Для нового бизнеса разумный момент — сразу после регистрации; для сайта — до того, как на нём заработала форма заявки.

Если обработка уже идёт, а уведомление не подано, подавать нужно не откладывая: пока его нет, нарушение длится каждый день, и обнаружиться оно может от любой жалобы или проверки.

Когда что-то меняется — появились новые цели обработки, новые категории данных, сменился адрес или ответственный, — сведения обновляют. Срок на обновление: до пятнадцатого числа месяца, следующего за месяцем, в котором произошли изменения.

Как подать

Два способа.

Через портал Роскомнадзора. Форма заполняется на сайте ведомства, для отправки нужна электронная подпись. Это быстрее и не требует поездок.

На бумаге. Уведомление распечатывается, подписывается и передаётся в территориальный орган Роскомнадзора лично или почтой.

Электронный способ практичнее, но упирается в наличие подписи. Если подписи нет и делать её ради одного уведомления не хочется, бумажный вариант остаётся рабочим.

Что писать в уведомлении

Форма спрашивает довольно много, и большинство полей заполняется один раз и надолго:

• кто оператор: наименование, адрес, ИНН, контакты;
• цели обработки — зачем вам данные. Для сайта это обычно «обработка обращений» и «заключение и исполнение договоров»; для сотрудников — «кадровый учёт»;
• правовое основание — ссылка на закон, устав или договор;
• категории данных: какие именно поля вы собираете;
• категории субъектов: клиенты, работники, посетители сайта;
• как обрабатываются: с использованием средств автоматизации или без;
• меры защиты: кто отвечает за обработку, что делается для безопасности;
• дата начала обработки и условие её прекращения;
• сведения о трансграничной передаче, если данные уходят за границу.

Главная ошибка здесь — писать цели «с запасом», на все случаи жизни. Перечислять надо то, что происходит на самом деле: каждая заявленная цель — это обязанность соответствовать ей.

Вторая частая ошибка — забыть про иностранные сервисы. Если формы или рассылка работают через сервис с серверами за пределами России, это трансграничная передача, и её надо указывать.

Что ещё нужно сделать, кроме уведомления

Уведомление — не единственная обязанность, и само по себе оно ничего не закрывает.

Политика обработки персональных данных — документ на сайте, доступный с любой страницы. Не «пользовательское соглашение», а именно политика. Она входит в обязательный минимум сайта компании вместе с реквизитами и согласием в форме.

Согласие в форме. Отдельная галочка, не отмеченная заранее, со ссылкой на политику рядом. Согласие на рассылку — отдельной галочкой: одно согласие на всё сразу не работает.

Хранение базы в России. Данные российских граждан при сборе должны записываться и храниться в базах на территории России. Это отдельное требование, и оно не про то, где стоит сайт, а про то, где лежит база.

Порядок действий при утечке. Об инциденте нужно уведомить Роскомнадзор дважды: первично в течение суток с момента обнаружения и затем, в течение трёх суток, — о результатах внутреннего расследования. Порядок лучше иметь написанным заранее: сутки проходят быстро, а решать, кто что делает, придётся в худший для этого момент.

Кто отвечает: владелец сайта или разработчик

Оператор — владелец сайта. Это он решает, зачем собираются данные, и именно к нему приходит и жалоба, и проверка. Разработчик отвечает за то, чтобы форма была устроена правильно: отдельная галочка согласия, ссылка на политику, отправка туда, куда договорились.

Отсюда практический вывод для приёмки сайта: спросите подрядчика, кто делает политику обработки данных и согласие в форме, и получите ответ письмом. Если исполнитель об этом не заговорил сам, скорее всего, в сданном сайте этого не будет, а обязанность останется вашей.

Ещё одна вещь, которую стоит сделать сразу, — назначить ответственного за организацию обработки персональных данных. Для небольшого бизнеса это обычно сам руководитель, и оформляется одним приказом.

Чего делать не нужно

Не нужно платить посредникам за «регистрацию оператора персональных данных»: подача бесплатна, и форма заполняется без юриста, если понимать, что писать.

Не нужно переносить уведомление «на после запуска сайта»: обязанность возникает до начала обработки, а не после первой заявки.

Не нужно считать, что раз бизнес маленький, до вас не дойдут. Поводом для проверки обычно становится жалоба человека, чьи данные вы обрабатывали, а размер бизнеса на это не влияет.

Короткий вывод

Если на сайте есть форма заявки, уведомление подаётся до её запуска, а вместе с ним на сайте появляются политика обработки данных и галочка согласия в форме. Это полчаса работы один раз и снятая обязанность, которая иначе висит каждый день.

Мы делаем политику обработки данных и правильно устроенную форму в любом тарифе — это входит в цену и не считается отдельной работой. Само уведомление подаёт владелец сайта: оператор — он, и подписывать документ должен он.

Эта статья — общее объяснение порядка, а не юридическая консультация: формулировки целей и оснований зависят от того, что именно вы делаете с данными.