Как подать уведомление Роскомнадзора о персональных данных и не ошибиться в сведениях

Оператором может быть организация, ИП или физическое лицо, определяющее цели и содержание обработки. Маленький оборот, отсутствие работников и налоговый режим НПД сами по себе не освобождают от обязанности. Работодатель с кадровой программой и предприниматель с клиентской CRM должны оценивать реальные процессы, а не размер бизнеса.

Часть 2 статьи 22 Закона № 152-ФЗ сохраняет специальные исключения: определённые государственные системы для безопасности и общественного порядка, исключительно неавтоматизированную обработку и предусмотренную законом обработку для транспортной безопасности. Это не общая льгота для малого бизнеса.

Для бумажного исключения принципиально слово «исключительно». Распечатанные договоры не делают всю обработку неавтоматизированной, если телефоны и адреса одновременно ведутся в CRM или электронной таблице. Старое освобождение только по трудовым или договорным отношениям нельзя применять без проверки действующих норм.

В реестре проверяют ИНН, наименование и реквизиты организации или предпринимателя. Уведомляется оператор, а не домен: у одного лица могут быть несколько сайтов и разные цели обработки. Новая площадка не всегда требует первичного уведомления — возможно, нужно изменить сведения существующей записи.

Если уведомление подавал подрядчик, необходимы копия содержания, подтверждение направления и сведения о подписанте. Устного сообщения «мы всё зарегистрировали» недостаточно. Переезд базы, новые цели и изменение контактов сравнивают с последним поданным содержанием, а не с памятью о первоначальной регистрации.

Не вся информация находится у юриста. Размещение подтверждает провайдер, поля и интеграции — владелец системы, доступы — администратор, кадровые сроки — профильный специалист. Неизвестный адрес базы или характеристику защиты нужно уточнять, а не заменять удобным предположением.

В технических сведениях нельзя придумывать класс СКЗИ, название продукта или наличие шифрования. Само слово VPN не описывает все применяемые средства и не подтверждает соответствия требованиям. Заявленные меры должны существовать в инфраструктуре оператора.

Часть 3.1 статьи 22 требует отдельно указывать для каждой цели категории данных и субъектов, основание, действия и способы обработки. Формулировка «ведение деятельности компании» не объясняет, зачем одновременно используются телефон покупателя, паспорт работника и резюме кандидата.

Исполнение заказа может требовать имени, контакта и адреса доставки. Бухгалтерский учёт связан с обязанностями по закону и сроками конкретных документов. Реклама требует проверки предварительных согласий и прекращения рассылки по требованию. Это разные задачи, даже если сведения находятся в одной программе.

Не следует добавлять всем целям максимальный набор полей или указывать рекламу «про запас». Паспорт, необходимый для кадровой операции, не становится нужным для подписки на новости. В то же время реальные сведения о здоровье нельзя скрывать за общим словом «контакты».

Юридический адрес оператора не обязательно совпадает с размещением базы. Сайт, CRM и резервное хранилище могут находиться у разных провайдеров. Российское название поставщика само по себе не доказывает, что все нужные операции выполняются на базе в России. Обычный офис не следует автоматически указывать как дата-центр.

Иностранный бренд сервиса — повод изучить маршрут данных, но не доказательство конкретной трансграничной передачи. Если она действительно есть, отметка в общем уведомлении не заменяет отдельную процедуру статьи 12. Проверяются страна, получатель, цель и необходимые действия до начала передачи.

Актуальная форма и способы подачи размещены на официальном портале Роскомнадзора. Закон допускает бумажный и подписанный уполномоченным лицом электронный документ. Требования к идентификации, подписи и завершению отправки зависят от выбранного маршрута; интерфейс портала может меняться.

Если маршрут требует направить подписанный бумажный экземпляр, сохранённая печатная форма не завершает процедуру. Для электронной подачи важно подтверждение направления, а не только сохранение черновика. Копию содержания, дату, подтверждение и полученные идентификаторы сохраняют у оператора.

Статья 22 предусматривает внесение сведений в реестр в течение 30 дней с поступления уведомления. При неполных или недостоверных сведениях регулятор вправе потребовать уточнение. Включение в реестр не является лицензией, сертификатом безопасности или одобрением всех документов. Плата консультанту — отдельная услуга, не государственная пошлина за включение.

Обо всех изменениях сведений части 3 статьи 22 за месяц сообщают не позднее 15-го числа следующего месяца. При прекращении обработки уведомление направляют в течение десяти рабочих дней. Закрытие сайта не всегда означает полное прекращение: договоры, бухгалтерские и кадровые документы могут законно храниться дальше.

При подключении нового сервиса или изменении процесса нужно сопоставлять факты с поданными сведениями. Назначенный внутри компании контроль помогает не пропускать события, но рекомендация регулярно сверять реестр не означает отдельной обязанности проводить ежемесячный аудит.

За неподачу или несвоевременную подачу обязательного уведомления о намерении обрабатывать данные часть 10 статьи 13.11 КоАП предусматривает для юрлица 100–300 тысяч рублей. ИП отвечает по этой части как юридическое лицо. Это не автоматический штраф за любую опечатку: необходимо установить состав нарушения.

Если обработка уже началась, нельзя указывать вымышленную будущую дату ради сокрытия просрочки. Поздняя подача не гарантирует освобождения от ответственности, но дальнейшее игнорирование обязанности не устраняет проблему. Сведения должны оставаться достоверными независимо от того, кто готовит уведомление.