Как подать уведомление в Роскомнадзор об обработке персональных данных: пошаговая инструкция

Как заполнить уведомление в Роскомнадзор: основные поля

В поле «Правовые основания» указываются документы, которые позволяют вам законно обрабатывать данные. Сюда относятся нормы Трудового кодекса (для сотрудников), Гражданский кодекс (для договоров с контрагентами) и закон о персональных данных. Обязательным основанием для маркетинговых рассылок или сбора данных через формы на сайте является согласие на обработку персональных данных, которое подписывается с субъектом.

Цели обработки должны быть конкретными и разделенными по категориям субъектов. Для сотрудников это может быть «ведение кадрового учета», «осуществление оплаты труда» и «подача отчетности в государственные органы». Для клиентов — «исполнение обязательств по договору купли-продажи», «доставка товара по адресу» или «осуществление технической поддержки». Смешивание этих целей в одном пункте приведет к возврату уведомления на доработку.

Перечень категорий данных заполняется строго по фактическому списку собираемых сведений. Если вы собираете только ФИО, телефон и email, указывать «паспортные данные» или «сведения о семейном положении» нельзя. Избыточный сбор данных без обоснования является нарушением закона. В этом разделе указываются:

• общие персональные данные (ФИО, адрес, дата рождения);
• специальные категории (сведения о здоровье, если это требуется для работы);
• биометрические данные (если используются системы распознавания лиц или отпечатки).

В каких случаях нужно подавать уведомление в Роскомнадзор

Уведомление обязательно для большинства работодателей, так как работа с персоналом автоматически делает компанию оператором ПДн. Владельцы интернет-магазинов также обязаны подать уведомление, поскольку собирают данные покупателей для оформления заказов и доставки. Если вы заключаете агентский договор по статье 1005 ГК РФ с физическим лицом, вы также становитесь оператором его данных.

Существуют исключения, когда уведомление не требуется. Обработка возможна без уведомления регулятора, если данные обрабатываются:

• исключительно для выполнения требований законодательства РФ (без использования автоматизированной обработки);
• без использования средств автоматизации (только в бумажном виде);
• в целях осуществления трудовой деятельности (в некоторых узких случаях, если обработка ограничена только трудовым законодательством и не выходит за его рамки, однако на практике Роскомнадзор рекомендует уведомлять всех работодателей).

При изменении состава обрабатываемых данных или целей деятельности уведомление необходимо актуализировать. Например, если компания начала собирать данные о здоровье сотрудников для медицинских страховок или внедрила систему видеомониторинга, нужно подать «Уведомление об изменениях». Это касается и случаев смены юридического адреса или реорганизации компании.

Частые вопросы

Нужно ли ИП податься уведомление в Роскомнадзор?

Да, если ИП обрабатывает данные сотрудников, клиентов или пользователей своего сайта. Статус индивидуального предпринимателя не освобождает от обязанностей оператора персональных данных.

Что будет, если не подать уведомление вовремя?

Отсутствие компании в реестре операторов при фактической обработке данных влечет административный штраф. Суммы штрафов зависят от тяжести нарушения и могут быть существенно увеличены при повторном выявлении. В отличие от налоговых санкций, таких как штраф за неуплату НДФЛ, данные штрафы накладываются регулятором в ходе проверок или по жалобам граждан.

Нужно ли подавать новое уведомление при смене директора?

Смена руководителя не требует подачи нового уведомления, так как оператором является юридическое лицо (организация), а не конкретный человек. Однако, если изменились подписи в документах, подтверждающих согласие субъектов, или изменились внутренние регламенты обработки, стоит проверить актуальность локальных актов.

Информация носит справочный характер. Для получения квалифицированной помощи по вопросам комплаенса и защиты персональных данных обратитесь к профильному юристу.