Уведомление в Роскомнадзор об обработке персональных данных: кому нужно и как подать

Самое частое заблуждение: «мы маленькая компания, у нас только форма заявки, нас это не касается». Касается. Обязанность уведомить Роскомнадзор возникает из статьи 22 152-ФЗ и не зависит от размера бизнеса. Зависит она от того, обрабатываете ли вы персональные данные и попадаете ли в узкий перечень исключений.

Кому подавать обязательно

На практике уведомление нужно почти любому сайту, если есть хотя бы одно из перечисленного:

• форма заявки, обратного звонка, записи на приём или расчёта стоимости
• подписка на рассылку
• регистрация личного кабинета
• корзина и оформление заказа
• онлайн-чат, куда посетитель пишет имя и телефон
• счётчики аналитики и рекламные пиксели, которые ставят постоянные идентификаторы
• резюме и вакансии, если вы принимаете отклики на сайте

Как подать

1. Откройте портал персональных данных Роскомнадзора (pd.rkn.gov.ru) и найдите форму подачи уведомления.
2. Заполните форму в электронном виде. Подписать её можно усиленной квалифицированной электронной подписью, либо отправить подписанный бумажный вариант в территориальное управление.
3. Дождитесь включения в реестр операторов. Обычно это занимает до 30 дней, запись появляется в открытом реестре.
4. Проверьте себя в реестре по ИНН — это единственный способ убедиться, что уведомление дошло.

Поля, на которых все спотыкаются

Цель обработки

Не пишите «уставная деятельность». Формулируйте конкретно и так же, как в политике на сайте: «обработка заявок и обращений», «информирование о статусе заказа», «направление рекламных рассылок с согласия». Несовпадение цели в уведомлении и в политике — типовое замечание.

Категории данных

Перечислите ровно то, что реально собираете: фамилия и имя, телефон, электронная почта, идентификаторы в cookies, IP-адрес. Не указывайте лишние категории «на будущее»: заявили паспортные данные — будете обязаны обеспечивать под них повышенные требования.

Трансграничная передача

Если на сайте работают Google Analytics, шрифты Google, reCAPTCHA, встроенные видео YouTube или зарубежный сервис рассылок — трансграничная передача есть, даже если вы никому ничего специально не отправляете. Это нужно отражать в уведомлении и в политике, причём уведомить о трансграничной передаче требуется до её начала.

Ответственный за организацию обработки

Нужны конкретный человек, его должность и контакты. Приказ о назначении лучше оформить до подачи уведомления — его спрашивают при проверке.

Как проверить себя в реестре

Реестр операторов открыт: поиск идёт по ИНН, ОГРН или наименованию. Если записи нет — уведомление либо не подавалось, либо не прошло. Автоматически проверить это извне нельзя: портал закрыт для роботов и на запросы программ отвечает отказом. Поэтому в нашем отчёте эта проверка помечается как ручная: мы находим ИНН на сайте и даём прямую ссылку на поиск по реестру.

Если данные изменились

Сменили адрес, ответственного, добавили новую цель обработки или подключили новый зарубежный сервис — нужно подать информационное письмо об изменении сведений. Забытое обновление реестра выглядит при проверке так же плохо, как его отсутствие: в реестре одно, на сайте другое.

Ответственность

Неподанное уведомление — самостоятельный состав, и он неприятен именно своей простотой: инспектору достаточно открыть реестр и ваш сайт. Никаких доказательств собирать не нужно. Суммы штрафов менялись несколько раз, порядок — от десятков до сотен тысяч рублей для организаций; сверяйте действующую редакцию КоАП.

Практический совет: подавайте уведомление одновременно с приведением в порядок политики и форм на сайте. Тогда сведения в реестре, текст политики и то, что реально происходит на сайте, совпадут — а это именно то, что проверяют.