Уведомление в Роскомнадзор об обработке ПДн: как подать
До начала обработки персональных данных оператор обязан уведомить Роскомнадзор. Это одна из тех обязанностей, про которую вспоминают в последний момент — или не вспоминают вовсе, пока не придёт запрос. Разберу, кто обязан, кто освобождён и как подать уведомление без паники.
Кто обязан уведомлять
Обязанность уведомить Роскомнадзор до начала обработки персональных данных установлена ст. 22 152-ФЗ.
По общему правилу уведомлять обязаны все операторы. Но закон перечисляет исключения — случаи, когда уведомление не требуется.
Кто освобождён: исключения
Исключений сейчас мало, и это главное, что надо знать. Раньше список был длинным — туда входили трудовые отношения, данные по договору, общедоступные данные. С 1 сентября 2022 года эти пункты утратили силу.
Сейчас уведомлять не нужно только в трёх случаях.
- Персональные данные включены в государственные информационные системы ПДн, созданные для защиты безопасности государства и общественного порядка.
- Оператор обрабатывает данные исключительно без средств автоматизации — вручную, на бумаге.
- Данные обрабатываются по законодательству о транспортной безопасности.
Если вы не подпадаете ни под один из трёх — уведомить нужно. Обработка данных работников, клиентов по договору, общедоступных данных — всё это больше не исключение.
Прежде чем решить «нам не надо», сверьтесь с текстом закона. Ошибка стоит штрафа.
Что указывать в уведомлении
В уведомлении оператор сообщает о себе и о том, как обрабатывает данные.
Обычно это:
- наименование и реквизиты оператора;
- цели обработки;
- категории персональных данных;
- категории субъектов;
- правовые основания обработки;
- перечень действий с данными;
- сведения о мерах защиты;
- данные ответственного лица;
- дата начала обработки.
Заполнять нужно честно и полно. Размытое уведомление «обрабатываем всё для всего» — плохой знак и потенциальное нарушение.
Как подать
Уведомление подаётся в Роскомнадзор. Способы: через портал персональных данных Роскомнадзора, через Госуслуги или бумажно.
Электронная подача быстрее и оставляет след. После подачи данные попадают в реестр операторов — о нём отдельная статья.
Изменения в уведомлении
Если сведения изменились — поменялись цели, категории данных, оператор — нужно подать уведомление об изменении в установленный срок.
Про этот срок тоже часто забывают. Компания год назад подала уведомление, потом добавила новую форму на сайте — а уведомление об изменении не подала. Формально это нарушение.
Сроки и штрафы
За неподачу уведомления, когда оно было обязательным, предусмотрена административная ответственность по ст. 13.11 КоАП.
Отдельный риск — если обработку без уведомления обнаружат вместе с другими нарушениями. Штрафы складываются.
Коротко
Уведомление в Роскомнадзор — не разовая формальность, а обязанность, которую надо поддерживать в актуальном виде. Сверьтесь со ст. 22, определите, обязаны ли вы, и если да — подайте до начала обработки.
Скачайте шаблон уведомления об обработке персональных данных — он подскажет, какие поля заполнять.
Частые вопросы
Нужно ли уведомлять, если я обрабатываю только данные сотрудников? Да. Обработка данных работников перестала быть исключением с 1 сентября 2022 года — уведомить нужно, если вы не подпадаете под одно из трёх оставшихся исключений.
Сколько времени даётся на уведомление? Уведомить нужно до начала обработки, а изменения — в установленный срок после их наступления.
Что будет, если не уведомить? Штраф по ст. 13.11 КоАП.
Может ли уведомить самозанятый? Да, если самозанятый — оператор и не подпадает под исключения.
Уведомление и согласие — это одно и то же? Нет. Согласие — основание обработки от субъекта, уведомление — сообщение государству о том, что вы обрабатываете данные.
Не является юридической консультацией. Проверяйте актуальную редакцию 152-ФЗ.
Связанные статьи
- Кто такой оператор ПДн
- Реестр операторов Роскомнадзора
- Утечка ПДн: что делать
- Шаблоны документов по 152-ФЗ
Не является юридической консультацией. Проверяйте актуальную редакцию 152-ФЗ.