Про уведомления Роскомнадзора

Весной мы писали в нашем ТГ-канале, как подготовить сайт к проверке Роскомнадзора. Но вопросы остались: кому нужно подавать уведомление об обработке персональных данных, как это сделать и нужны ли дополнительные документы.

По закону № 152-ФЗ оператор должен уведомить Роскомнадзор до начала обработки персональных данных. Исключения перечислены в части 2 статьи 22. Оператором может быть ООО, ИП или физическое лицо — в том числе самозанятый. Важен не статус, а то, обрабатываете ли вы данные людей для работы.

Если вы собираете и используете данные клиентов, сотрудников или исполнителей, уведомление, как правило, нужно. Работа только с юридическими лицами не освобождает автоматически: в заявках, переписке и CRM могут быть данные их сотрудников и представителей.

Например, если вы:

• получаете через сайт или соцсети имя, телефон или электронную почту;
• храните контакты в CRM, таблице или облачном сервисе;
• используете онлайн-запись, личный кабинет или рассылку.

Один телефон или адрес электронной почты тоже может быть персональными данными, если по ним можно определить человека. Небольшое количество данных само по себе не освобождает от уведомления. Если вы собираете паспортные данные или сведения о здоровье, правовые основания и меры защиты лучше отдельно проверить с профильным юристом.

Перед тем как открыть форму, выпишите:

• чьи данные вы собираете;
• какие именно;
• зачем и на каком основании;
• где они хранятся и кто получает доступ;
• передаются ли они за границу.

В самой форме полей больше. Этот список нужен, чтобы не вспоминать весь маршрут данных уже во время заполнения.

• Откройте форму на портале Роскомнадзора.
• Нажмите «Подать уведомление (перейти к сервису ЕСИА)».
• Войдите через подтверждённую учётную запись Госуслуг, заполните форму и отправьте её. Если подаёте уведомление от имени ООО, учётная запись должна быть привязана к организации на Госуслугах.

После такой отправки бумажная копия не нужна. Подача бесплатная.

Существуют ещё два способа:

• подписать форму усиленной квалифицированной электронной подписью. Для этого электронная подпись уже должна быть оформлена, а КриптоПро — установлен и настроен. Если подписи нет, можно воспользоваться Госуслугами;
• заполнить форму, распечатать, подписать и направить по почте в территориальное управление Роскомнадзора.

Роскомнадзор должен внести сведения в реестр в течение 30 дней с даты поступления уведомления. Ход обработки можно проверить на портале в разделе «Проверка состояния уведомления».

После обработки сведения появятся в открытом реестре. Закон не требует получать отдельное свидетельство. Если сведений не хватает, Роскомнадзор может запросить уточнение.

Если сведения позже изменятся, об этом нужно сообщить не позднее 15-го числа следующего месяца. О прекращении обработки — в течение 10 рабочих дней.

При подготовке уведомления проследите весь путь данных: сайт, почта, CRM, облачный сервис, внутренняя система. «Силуэт» может помочь собрать эту техническую схему и настроить формы, интеграции и доступ. Правовые основания лучше проверить с профильным юристом.