Уведомление в Роскомнадзор об обработке ПДн

По ч. 1 ст. 22 закона 152-ФЗ оператор обязан до начала обработки персональных данных уведомить об этом Роскомнадзор. Часть 2 той же статьи перечисляет исключения — например, обработка данных исключительно в рамках трудовых отношений без передачи третьим лицам, или обработка, необходимая для однократного пропуска субъекта на территорию оператора.

На практике эти исключения касаются узкого круга ситуаций. Как только компания собирает данные клиентов через сайт, ведёт CRM, рассылает email или обрабатывает данные учеников образовательного проекта, она подпадает под общее правило и обязана подать уведомление до того, как начнёт обработку.

Ошибочно думать, что уведомление нужно только крупным компаниям с большими базами. Закон не связывает обязанность уведомить с масштабом бизнеса или числом субъектов: небольшой образовательный проект с формой заявки на сайте попадает под то же общее правило, что и федеральная сеть.

Все поданные уведомления формируют реестр операторов, который ведёт Роскомнадзор. Часть сведений из реестра — наименование оператора, дата включения, общие цели обработки — доступна публично на сайте ведомства, поэтому запись в реестре видна не только регулятору, но и партнёрам компании и самим субъектам персональных данных.

Перечень сведений, которые входят в уведомление, установлен ч. 3 ст. 22 закона 152-ФЗ.

Уведомление заполняется по форме, утверждённой Роскомнадзором, — форма и её актуальная редакция публикуются на портале ведомства.

Порядок подачи одинаков независимо от выбранного способа — электронного или бумажного.

1. Собрать сведения обо всех процессах, в которых участвуют персональные данные: какие формы на сайте их собирают, куда они передаются, кто из подрядчиков получает к ним доступ. Это снижает риск указать неполные или неточные сведения, которые потом придётся исправлять информационным письмом.
2. Выбрать способ подачи. Основной — электронная форма на официальном портале Роскомнадзора: заполнение проходит по интерактивной форме, которая подсказывает обязательные поля, а уведомление быстрее попадает в реестр. Второй вариант — подача на бумаге, почтовым отправлением или лично в территориальный орган ведомства по месту нахождения оператора; он остаётся полностью законным, если подать заявление через портал нет возможности.
3. Заполнить форму, указав все сведения из ч. 3 ст. 22 закона 152-ФЗ.
4. Получить подтверждение о приёме уведомления и номер записи в реестре операторов.

Обязанность оператора не заканчивается подачей первичного уведомления. Если сведения, указанные в уведомлении, меняются — например, добавляется новая цель обработки, меняется перечень данных или появляется трансграничная передача, — оператор обязан направить в Роскомнадзор информационное письмо об изменении сведений в срок, установленный законом.

То же правило действует при прекращении обработки персональных данных: об этом тоже нужно уведомить регулятора отдельным письмом. Актуальность сведений в реестре операторов — не разовая формальность, а текущая обязанность, которая сохраняется всё время, пока компания обрабатывает данные.

Обработка персональных данных без подачи уведомления, когда оно требовалось, — самостоятельное нарушение, административная ответственность за которое предусмотрена ст. 13.11 КоАП РФ. Отдельно наказывается и непредставление информационного письма об изменении сведений или о прекращении обработки.

Кроме прямой ответственности, отсутствие записи в реестре операторов создаёт риски при проверке Роскомнадзора: регулятор увидит, что компания обрабатывает данные, но формально не заявила об этом, и это обычно становится поводом для более пристального внимания ко всем остальным документам оператора — политике обработки ПДн, согласиям, мерам защиты.

На практике проверка часто начинается именно с обращения субъекта персональных данных — клиента, ученика или его законного представителя, который пожаловался, что не понимает, кто и зачем обрабатывает его данные. Наличие уведомления и актуальной записи в реестре снимает часть вопросов ещё на этом этапе.