Реестр субъектов ПДн

Оператор, обрабатывающий данные разных категорий людей — клиентов по договору, соискателей на этапе собеседования, действующих сотрудников, посетителей сайта, участников мероприятий, — часто не имеет единой картины, какие категории субъектов у него вообще есть и чем отличается основание обработки их данных.

Реестр решает эту задачу: он группирует субъектов по категориям и связывает каждую категорию с целью обработки, основанием и составом обрабатываемых данных. Это дополняет перечень персональных данных, но смотрит на процесс с другой стороны — не «какие данные», а «о ком именно» они собираются.

Для организации, где ведётся несколько параллельных процессов — например, для образовательного учреждения одновременно с учениками, их родителями и сотрудниками, — реестр помогает не запутаться в основаниях обработки для каждой группы.

Практическая структура реестра — таблица, а не свободный текст: каждая категория субъектов описывается по одному и тому же набору полей.

Категории субъектов, которые чаще всего встречаются в реестре:

• клиенты — физические лица, заключившие договор или обратившиеся за консультацией;
• сотрудники — работники организации, включая совместителей;
• соискатели — лица, участвующие в отборе на вакансию, чьи данные хранятся временно;
• посетители сайта — пользователи, оставившие контакты через форму обратной связи;
• несовершеннолетние — отдельная категория, если организация работает с детьми, поскольку для них действуют дополнительные требования к согласию их законных представителей.

Отдельно стоит выделять категории субъектов, чьи данные включают специальные категории персональных данных, — например, сведения о здоровье участников мероприятий или учеников с особенностями развития.

Статья 22 закона 152-ФЗ обязывает оператора, за установленными законом исключениями, направлять в Роскомнадзор уведомление об обработке персональных данных до начала такой обработки. В уведомлении указываются, в частности, категории субъектов, персональные данные которых обрабатываются, и цели обработки.

Актуальный реестр субъектов — прямой источник данных для заполнения и последующей актуализации этого уведомления. Если организация начинает работать с новой категорией субъектов — например, запускает программу для школьников, хотя раньше работала только со взрослыми клиентами, — это повод и обновить реестр, и проверить, требуется ли актуализация уведомления в Роскомнадзор.

Расхождение между тем, что реестр действительно ведётся, и тем, что подано в уведомлении, — частая находка при проверках: организация фактически работает с категорией субъектов, которая не отражена в уведомлении регулятору.

Ведение реестра логично закрепить за ответственным за организацию обработки персональных данных, назначенным по ст. 22.1 закона 152-ФЗ, поскольку именно он отвечает за общий контроль соблюдения требований законодательства в организации.

Реестр обновляется при появлении нового процесса, который затрагивает новую категорию субъектов, а не по формальному годовому графику. Например, запуск партнёрской программы, где данные о клиентах передаются другой компании, — повод внести соответствующую отметку в колонку о передаче данных третьим лицам.

Полезно синхронизировать обновление реестра с обновлением перечня персональных данных и, при необходимости, с актуализацией уведомления в Роскомнадзор — эти три документа логически связаны и должны меняться согласованно, а не порознь.

Формально закон не называет реестр субъектов персональных данных обязательным документом по строго установленной форме. Но его отсутствие резко усложняет для организации быстрый и точный ответ на вопросы, которые задаёт Роскомнадзор при проверке: с какими категориями лиц вы работаете, на каком основании, кому передаёте их данные.

Без реестра высок риск, что уведомление в Роскомнадзор со временем перестаёт соответствовать реальной практике организации — появляются новые категории субъектов, а уведомление не актуализируется, потому что никто не отслеживает эти изменения системно.

Реестр также облегчает работу с журналом учёта обращений субъектов: зная, к какой категории относится обратившийся человек, проще сразу понять, какие данные о нём обрабатываются и на каком основании, а значит быстрее подготовить корректный ответ в срок, установленный ст. 20 закона 152-ФЗ.