Уведомление об обработке ПДн: реестр операторов, состав и изменения
Любой оператор персональных данных должен быть в реестре операторов Роскомнадзора, если не подпадает под узкие исключения. Это первая вещь, которую проверяют при любом контроле, и она проверяется открыто, по реестру. Типичные нарушения: уведомление не подано вовсе, подано давно и не обновлялось, или его содержание расходится с политикой и реальными процессами. Ниже порядок подачи, состав сведений, сроки изменений и проверка.
Оговорка. Статья не юридическая консультация. Требования сверены по тексту статьи 22 152-ФЗ в редакции с изменениями закона от 14.07.2022 № 266-ФЗ (база «Гарант»); закон меняется, проверяйте действующую редакцию: текст закона. Форму уведомления устанавливает Роскомнадзор: актуальную форму и способ подачи берите на его сайте. Структура соответствует разделу об уведомлении в методике контроля Группы Сбер (источник); мы пересказываем её своими словами.
Когда уведомление обязательно
Оператор до начала обработки персональных данных обязан уведомить Роскомнадзор о намерении осуществлять обработку (часть 1 статьи 22). Исключения перечислены в части 2: среди них обработка в государственных информационных системах ПДн, созданных для защиты безопасности государства и общественного порядка; обработка, которую оператор осуществляет исключительно без использования средств автоматизации; данные, обрабатываемые по законодательству о транспортной безопасности. Многие прежние исключения (например, обработка только данных работников или данных по договору) утратили силу с 1 сентября 2022 года, поэтому организации, которые раньше не подавали уведомление, сегодня должны проверить свой статус.
Практический вывод: если в организации есть компьютеры, сайт, CRM или кадровая программа, исключение «без использования средств автоматизации» к вам, скорее всего, не относится.
Какие сведения указываются
Содержание определено частью 3 статьи 22. Основные сведения:
| Сведения | Комментарий |
|---|---|
| Наименование (ФИО) и адрес оператора | Совпадает с данными в ЕГРЮЛ |
| Цель обработки | Для каждой цели отдельно; формулировки совпадают с политикой и согласиями |
| Для каждой цели: категории данных, категории субъектов, правовое основание, перечень действий, способы обработки | Часть 3.1 статьи 22 (введена с 01.09.2022) |
| Описание мер по статьям 18.1 и 19, в том числе сведения о криптографических средствах и их наименования | Совпадает с фактическими мерами защиты; сведения о средствах защиты не являются общедоступными |
| ФИО или наименование ответственного за организацию обработки, его телефоны, адреса, электронная почта | Совпадает с приказом о назначении: роль ответственного |
| Дата начала обработки | Не позднее начала фактической обработки |
| Срок или условие прекращения обработки | Согласуется с политикой и сроками хранения |
| Наличие или отсутствие трансграничной передачи | Если есть, отдельное уведомление: трансграничная передача ПДн |
| Место нахождения базы данных с ПДн граждан РФ | Адрес площадки хранения; связано с требованием локализации |
| Сведения об обеспечении безопасности ПДн по требованиям Правительства | Уровни защищённости и меры: модель угроз и уровни |
Уведомление направляется на бумаге или в форме электронного документа и подписывается уполномоченным лицом.
Как подготовить уведомление
- Составьте перечень целей. Для каждой цели (кадровый учёт, обслуживание клиентов, рассылки, пропуска и т. д.) определите данные, субъектов, основание и действия: удобно использовать реестр процессов.
- Проверьте базу данных и места хранения. Где физически лежат данные граждан РФ, в том числе у подрядчиков и в облаке.
- Определите меры защиты и сведения о средствах шифрования.
- Сверьте с политикой и согласиями. Цели и категории должны совпадать во всех документах: согласие на обработку ПДн.
- Подайте по форме Роскомнадзора (в электронном виде или на бумаге), сохраните подтверждение отправки.
- Проверьте реестр. Уполномоченный орган вносит сведения в реестр в течение тридцати дней с даты поступления уведомления. Если сведения неполные или недостоверные, он вправе требовать уточнения до внесения в реестр.
Изменения и прекращение обработки
| Ситуация | Срок |
|---|---|
| Изменились сведения из части 3 статьи 22 | Уведомить не позднее 15-го числа месяца, следующего за месяцем, в котором возникли изменения, обо всех изменениях за этот период (часть 7) |
| Прекращена обработка ПДн | Уведомить в течение 10 рабочих дней с даты прекращения; Роскомнадзор исключает сведения из реестра в течение 30 дней с даты поступления такого уведомления (части 4.1, 7) |
Какие события обычно требуют изменений: новая цель обработки, новая категория данных, новая система или место хранения, смена ответственного, подключение зарубежного сервиса, смена мер защиты. Поэтому вопрос «меняет ли это уведомление?» включайте в процесс управления изменениями.
Как проверить
- Организация есть в реестре операторов, дата уведомления и сведения совпадают с вашей копией.
- Цели, категории субъектов, данные и действия в уведомлении совпадают с политикой, согласиями и реальными процессами.
- Ответственный, адрес и место хранения баз актуальны.
- Есть процесс, по которому изменения подаются до 15-го числа следующего месяца; последнее обновление не старше последнего изменения процессов.
Диагностика
| Симптом | Причина и что делать |
|---|---|
| Организации нет в реестре | Уведомление не подавали или оно отклонено. Проверьте статус, подайте или исправьте по запросу Роскомнадзора |
| В реестре устаревшие цели и системы | Изменения не подавались. Подайте обновление, введите ежемесячную проверку изменений |
| Уведомление не совпадает с политикой | Документы писались независимо. Сверьте цели и данные, исправьте то, что не соответствует практике |
| Подали уведомление, но подрядчик хранит данные за границей | Не учтены трансграничная передача и место хранения. Дополните уведомление и подайте отдельное по статье 12 |
Где это в моделях
Материал продолжает раздел «Регуляторика ПДн» и относится к направлению «Безопасность данных» (материалы направления, самопроверка оператора ПДн, карта зрелости). Уведомление в Роскомнадзор — одна из базовых мер оператора; проверка его соответствия фактическим процессам входит в контроль по методике Группы Сбер.
Источники
- Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», статья 22: КонсультантПлюс, Гарант. Проверяйте действующую редакцию.
- Реестр операторов и формы уведомлений: rkn.gov.ru.
- Методика осуществления контроля соблюдения фокусными компаниями законодательства РФ в области персональных данных, Группа Сбер: sberbank.ru.
