Владелец автосервиса на трёх постах обычно узнаёт о реестре операторов случайно. Бухгалтер упомянула, конкурент рассказал, или пришло письмо из Роскомнадзора с вопросом, почему компании нет в списке. Первая реакция понятная: «Мы же просто чиним машины, какие персональные данные». Но у сервиса есть журнал записи с телефонами и госномерами, сайт с формой «перезвоните мне», Метрика и пятеро механиков на трудовых договорах. Этого достаточно.
Ниже разбираем, как устроено уведомление, кто его подаёт, как не наделать ошибок и что делать, когда в бизнесе что-то поменялось.
Реестр и уведомление: что это вообще
Роскомнадзор ведёт открытый реестр операторов персональных данных. Попасть в него можно одним путём: подать уведомление о намерении обрабатывать персональные данные по ст. 22 152-ФЗ. Подаётся оно до начала обработки, а не «когда-нибудь потом».
Реестр открыт, любой может найти там компанию по названию или ИНН. Это стоит держать в голове: контрагенты, конкуренты и сам Роскомнадзор видят, что вы там написали.
Кому подавать
Короткий ответ: почти всем, у кого есть клиенты, сайт с формой или сотрудники.
Раньше многие ссылались на исключения: мол, данные только работников, или только клиентов по договору, значит уведомлять не нужно. С 1 сентября 2022 года список исключений сильно сократили, и эти популярные лазейки исчезли. Оставшиеся исключения узкие, и обычному бизнесу с компьютером и CRM они почти никогда не подходят. Например, обработка вообще без средств автоматизации: бумажный журнал без всякой таблицы и базы. Если у вас есть хотя бы Excel со списком клиентов, это уже не тот случай.
Как это выглядит на примерах:
| Кто | Что обрабатывает | Подавать? |
|---|---|---|
| Стоматология | медкарты, телефоны пациентов, данные врачей | да, и указать данные о здоровье |
| Автосервис | ФИО, телефон, госномер, VIN, сотрудники | да |
| Юрист-ИП без сайта и штата | данные доверителей в почте и таблице | да, ИП тоже оператор |
| Интернет-магазин | адреса доставки, заказы, cookie | да |
| Фотограф, ведущий записи только в бумажном блокноте | имена и телефоны на бумаге | возможно, нет, но такой формат редкость |
Если сомневаетесь, подавайте. Сама подача бесплатная, а за её отсутствие по ч. 10 ст. 13.11 КоАП компании грозит от 100 до 300 тыс. ₽, должностному лицу от 30 до 50 тыс. ₽.
Что спросит форма
Уведомление по сути пересказывает вашу политику обработки персональных данных в виде анкеты. Поэтому мы советуем сначала навести ясность с политикой, а потом садиться за форму. Тогда ответы на вопросы уже готовы и совпадают с тем, что опубликовано на сайте.
Что придётся указать:
- наименование, адрес, ИНН, ОГРН;
- цели обработки, каждую отдельно;
- категории данных под каждую цель;
- чьи это данные: клиенты, пациенты, сотрудники, кандидаты, контрагенты;
- правовое основание: закон, договор, согласие;
- какие действия вы совершаете с данными и как (вручную, автоматизированно, смешанно);
- меры защиты;
- ФИО и контакты ответственного за организацию обработки;
- дату начала обработки и условие её прекращения;
- есть ли трансграничная передача;
- где находятся базы данных.
Про ответственного у нас есть отдельная статья: кого назначить и как оформить приказ. В уведомлении нужен именно тот человек, который указан в приказе.
Где ошибаются чаще всего
Пройдёмся по стоматологии, которая заполняла форму «на скорую руку».
Одна цель на всё. Написали «оказание медицинских услуг». А ещё есть напоминания о приёме по СМС, отзывы на сайте, Метрика, кадровый учёт, рассылка с акциями на отбеливание. Каждая такая цель должна быть в уведомлении, со своими категориями данных.
Забыли про спецкатегорию. Данные о здоровье в стоматологии обрабатываются всегда. Если их нет в уведомлении, расхождение видно сразу.
Адрес баз данных. Указали адрес клиники. Но медицинская программа облачная, CRM тоже, сайт на хостинге. Нужен адрес дата-центра, где лежат данные, и он должен быть в России: с 1 июля 2025 года первичный сбор данных граждан РФ идёт в российские базы.
Трансграничку не заметили. Если формы сайта отправляют заявки в зарубежный сервис или вы пользуетесь иностранной почтой для работы с пациентами, это передача за рубеж, и её нужно отразить.
Расхождение с сайтом. В политике на сайте одни цели, в уведомлении другие. Робот и инспектор сравнивают одно с другим.
Основание «согласие» для всего. Для кадрового учёта и исполнения договора с клиентом основание другое, согласие там не нужно. Писать согласие везде ошибкой не назовёшь, но это создаёт впечатление, что вы сами не понимаете, на чём держится обработка.
Как подать
Способов два.
- Электронно. Через портал pd.rkn.gov.ru, в том числе с входом через Госуслуги. Это самый быстрый вариант, и проще всего потом подавать изменения.
- На бумаге. Форму можно заполнить на том же портале, распечатать, подписать у руководителя и отправить в территориальное управление Роскомнадзора по месту регистрации.
Пошагово для электронной подачи:
- Соберите реквизиты, политику обработки ПДн, приказ об ответственном, список сервисов, где хранятся данные (CRM, хостинг, облако, сервис рассылок).
- Зайдите на портал, выберите уведомление о намерении обрабатывать персональные данные.
- Заполните сведения об операторе.
- Добавьте цели одну за другой и к каждой привяжите категории данных и субъектов.
- Опишите меры защиты простыми словами: пароли и разграничение доступа, антивирус, резервные копии, приказ об ответственном, обучение сотрудников.
- Укажите адреса баз данных и наличие трансграничной передачи.
- Перед отправкой положите рядом политику с сайта и сверьте цели строчку за строчкой.
После регистрации компания появляется в реестре. Проверьте запись глазами: опечатка в ИНН или устаревшая цель видны всем.
Когда подавать изменения
Уведомление не разовая формальность. Если сведения меняются, оператор подаёт информационное письмо об изменениях. Срок для этого короткий и установлен той же ст. 22, так что откладывать «до конца квартала» не стоит.
Поводы, которые в малом бизнесе случаются постоянно:
- переехали в новый офис или сменили юридический адрес;
- ответственный уволился, назначили другого;
- запустили интернет-магазин или онлайн-запись, появилась новая цель;
- начали собирать новые данные, например фото для пропусков или данные детей в школе;
- сменили CRM или хостинг, базы переехали в другой дата-центр;
- подключили зарубежный сервис и появилась трансграничная передача.
Автосервис из начала статьи, например, через год открыл второй адрес и запустил запись через сайт. Две причины для письма об изменениях сразу.
Чек-лист
- Есть политика обработки ПДн, и цели в ней совпадают с реальностью
- Назначен ответственный приказом, его данные под рукой
- Составлен список всех мест, где лежат данные клиентов и сотрудников
- Все цели перечислены отдельно, включая аналитику и рассылки
- Спецкатегории, если есть, указаны
- Адреса баз данных соответствуют реальным дата-центрам
- Запись в реестре проверена после регистрации
- Есть напоминание обновить сведения при любом из перечисленных изменений
Если готовиться с нуля, удобнее всего начать с комплекта документов по 152-ФЗ: в нём есть политика, приказ об ответственном и заполненный бланк уведомления под вашу компанию. Подаёте его сами, через портал или на бумаге.