Кто обязан подавать уведомление
По ст. 22 152-ФЗ уведомление в Роскомнадзор обязаны подавать:
- Все юридические лица, обрабатывающие ПДн (включая некоммерческие);
- Индивидуальные предприниматели;
- Физические лица, в том числе самозанятые, — кроме обработки исключительно для личных и семейных нужд: на неё 152-ФЗ не распространяется (п. 1 ч. 2 ст. 1).
Сохраняющиеся исключения (ч. 2 ст. 22):
- ПДн включены в государственные информационные системы, созданные в целях защиты безопасности государства и общественного порядка;
- Обработка ведётся исключительно без использования средств автоматизации;
- ПДн обрабатываются в случаях, предусмотренных законодательством о транспортной безопасности.
На практике типичный B2B-сайт обрабатывает ПДн посетителей через формы заявок, cookie-трекеры (Я.Метрика, Google Analytics), email-маркетинг, CRM. Это означает обязанность подать уведомление.
Когда нужно подать уведомление
Уведомление подаётся до начала обработки ПДн (ч. 1 ст. 22). Штраф по ч. 10 ст. 13.11 КоАП РФ грозит не только за неподачу, но и за несвоевременную подачу.
Сроки рассмотрения уведомления РКН:
- Внесение сведений в реестр — в течение 30 дней с даты поступления уведомления (ч. 4 ст. 22);
- При неполных или недостоверных сведениях РКН вправе потребовать их уточнения до внесения в реестр (ч. 6 ст. 22).
Что указывается в уведомлении
Форма утверждена приказом Роскомнадзора от 28.10.2022 № 180. Состав сведений задают ч. 3 и 3.1 ст. 22 152-ФЗ:
- Сведения об операторе — наименование, адрес.
- Цели обработки ПДн — и для каждой цели категории ПДн, категории субъектов, правовое основание, перечень действий и способы обработки.
- Меры по ст. 18.1 и 19 — включая сведения о шифровальных (криптографических) средствах.
- Ответственный за организацию обработки — ФИО или наименование, телефоны, почтовые адреса и адреса электронной почты.
- Дополнительные сведения — дата начала обработки, срок или условие её прекращения, наличие трансграничной передачи, место нахождения базы данных с ПДн граждан РФ, обеспечение безопасности ПДн.
Пошаговая инструкция
Зайти на pd.rkn.gov.ru
Перейти на портал персональных данных Роскомнадзора по адресу pd.rkn.gov.ru, в раздел «Электронные формы заявлений → Подача уведомления об обработке ПДн».
Выбрать тип оператора
В форме указать, кто подаёт уведомление: юридическое лицо или гражданин, в том числе индивидуальный предприниматель. От этого зависит набор обязательных полей.
Заполнить раздел «Сведения об операторе»
Полное и сокращённое наименование, ОГРН, ИНН, юрадрес и фактический адрес. Дата начала обработки ПДн. Контактный телефон и email. Все данные должны точно соответствовать ЕГРЮЛ/ЕГРИП.
Важно: При неполных или недостоверных сведениях РКН вправе потребовать уточнения до внесения в реестр (ч. 6 ст. 22). Сверяйте реквизиты по выписке из ЕГРЮЛ перед отправкой.
Указать цели обработки ПДн
Перечень целей в свободной форме, но с привязкой к деятельности оператора: «осуществление трудовых отношений», «исполнение договорных обязательств перед клиентами», «маркетинговые рассылки», «организация работы интернет-магазина» и т.п.
Важно: Для каждой цели указываются категории ПДн, категории субъектов, правовое основание, перечень действий и способы обработки (ч. 3.1 ст. 22). Общие формулировки («все цели в рамках 152-ФЗ») этого не позволяют.
Перечислить категории и состав ПДн
Категории субъектов: клиенты, сотрудники, контрагенты, посетители сайта. Состав ПДн по каждой категории: ФИО, дата рождения, паспорт, телефон, email, IP-адрес, cookie. Включаются ли спецкатегории (ст. 10) и биометрия.
Описать способы обработки
Автоматизированная (через CRM, ERP, веб-формы), неавтоматизированная (бумажные носители), смешанная. Указать, передаются ли ПДн третьим лицам (хостинг, CDN, аналитика, email-маркетинг).
Указать меры безопасности
Описание мер по ст. 18.1 и 19 152-ФЗ, в том числе сведения о наличии шифровальных (криптографических) средств и их наименования: шифрование, антивирус, разграничение доступа, журналы аудита, парольная политика, физическая защита серверов.
Важно: Формальное описание («приняты все необходимые меры») не показывает, какие меры применяются. Перечислите конкретные меры.
Указать ФИО ответственного за обработку
По ст. 22.1 152-ФЗ назначается приказом руководителя. ФИО, должность, контактный телефон/email. Если ответственный сотрудник меняется — нужно подать обновлённое уведомление.
Уведомление о трансграничной передаче
Если ПДн передаются за рубеж, до начала передачи подаётся отдельное уведомление (ч. 3 ст. 12, действует с 01.03.2023). В страны, не обеспечивающие адекватную защиту прав субъектов, передача не допускается до истечения срока рассмотрения уведомления — 10 рабочих дней с даты поступления (ч. 9, 11 ст. 12). При сборе ПДн граждан РФ использовать базы данных за рубежом нельзя, кроме случаев п. 2, 3, 4, 8 ч. 1 ст. 6 (ч. 5 ст. 18).
Подписать и отправить
Форму можно подписать ЭЦП и отправить онлайн (быстро, рекомендуемый способ) или распечатать и доставить в территориальное управление РКН.
Типичные ошибки в уведомлении
- Расхождение реквизитов с ЕГРЮЛ/ЕГРИП. Например, старый юридический адрес после смены прописки или офиса.
- Слишком общие цели обработки. Формулировки «все цели по 152-ФЗ» или «обработка для нужд организации» не позволяют указать для каждой цели категории ПДн, субъектов, основание и способы обработки (ч. 3.1 ст. 22).
- Не указаны цифровые трекеры. Если на сайте стоит Я.Метрика или Google Analytics, обработка через них должна быть учтена в способах обработки и перечне действий с ПДн.
- Меры безопасности описаны формально. Перечислите конкретные меры: HTTPS, шифрование БД, ролевая модель доступа, журналы аудита, регулярный аудит, антивирусная защита, резервное копирование.
- Не указано, что данные обрабатываются автоматизированно. Обработка через CRM или сайт — это автоматизированная обработка (п. 4 ст. 3).
После подачи: что делать дальше
В течение 30 дней с даты поступления уведомления сведения о вашей организации появятся в реестре операторов ПДн. Эту запись стоит:
- Сохранить (распечатать или сделать скриншот) — пригодится для подтверждения комплаенса.
- Сверить со сведениями на сайте — три и более расхождения между уведомлениями и сайтом являются индикатором риска нарушения обязательных требований (приказ Минцифры от 15.11.2021 № 1187).
- Сообщать РКН об изменениях сведений (новые цели обработки, новый ответственный, смена адреса) — не позднее 15-го числа месяца, следующего за месяцем изменений; о прекращении обработки — в течение 10 рабочих дней (ч. 7 ст. 22).
Параллельно нужно убедиться, что на сайте опубликована политика обработки ПДн по ст. 18.1 152-ФЗ — см. шаблон политики конфиденциальности из 8 разделов.