Каждый, кто обрабатывает персональные данные (далее ПД, или личные данные), должен зарегистрироваться в качестве оператора. Для этого необходимо подать уведомление в уполномоченный орган. Таким органом является Роскомнадзор (не путайте его с созвучным Роспотребнадзором). После подачи уведомления оператор попадает в специальный реестр. Порядок регистрации при этом имеет ряд особенностей, которые нужно учитывать. Далее расскажем о таких особенностях и затронем другие вопросы, связанные с регистрацией.
Над статьей работали:
Автор: Райс Валентин; редактор: Чапис Елена
Содержание
- Кто должен зарегистрироваться как оператор персональных данных
- Порядок регистрации оператора персональных данных
- Форма уведомления для регистрации обработки персональных данных
- Уведомления об обработке персональных данных: образец заполнения
- Как направить уведомление в Роскомнадзор для регистрации оператора персональных данных
- Как зарегистрироваться через портал персональных данных Роскомнадзора
- Как зарегистрироваться через госуслуги
- Сроки регистрации в качестве оператора обработки персональных данных
- Как проверить регистрацию оператора персональных данных
- Штрафы за ненаправление уведомления
Кто должен зарегистрироваться как оператор персональных данных
Нужно начать с того, кем являются операторы ПД. Согласно статье 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее закон № 152-ФЗ) это может быть:
• госорган,
• муниципальное учреждение,
• организация (предприятие),
• физическое лицо.
Все перечисленные лица будут являться операторами при условии, что они организуют (осуществляют) обработку ПД.
Обработкой считаются любые действия, совершаемые с личными данными (ст. 3 закона № 152-ФЗ). В частности:
• сбор,
• запись,
• систематизация,
• накопление,
• хранение,
• уточнение,
• извлечение,
• использование,
• передача,
• обезличивание,
• блокирование,
• удаление,
• уничтожение.
Персональные данные – это любая информация, имеющая отношение к физлицу (субъекту ПД).
Таким образом, операторами могут быть как госучреждения, так и ООО (ИП) и даже просто физлица (включая самозанятых).
Важно отметить, что все они считаются таковыми, даже если не зарегистрированы в Роскомнадзоре. Факт обработки ПД накладывает на них обязанности оператора по умолчанию (глава 4 закона № 152-ФЗ). Такой вывод следует из разъяснений Роскомнадзора, в частности, «Информация Роскомнадзора «Ответы на вопросы в сфере защиты прав субъектов ПД». См. официальный сайт http://rkn.gov.ru.
Что касается регистрации в РКН, то она происходит после подачи уведомления от оператора ПД (далее ОПД). А обязанность такой подачи установлена статьей 22 закона № 152-ФЗ. Там говорится, что оператор должен направить соответствующее уведомление до начала обработки ПД. Уведомление говорит о намерении ОПД осуществлять обработку информации. В случае неподачи (несвоевременной подачи либо с содержанием неполных или недостоверных данных) существует ответственность.
Регистрироваться в качестве ОПД должны все, кто подпадает под определение оператора согласно закону № 152-ФЗ.
Но есть исключения. В некоторых случаях оператор может осуществлять обработку без уведомления. Такие случаи перечислены в ч. 2 ст. 22 закона № 152-ФЗ. К ним относится обработка ПД:
• включенные в госинфосистемы, существующие в целях защиты безопасности государства (общественного порядка);
• при условии, что ОПД осуществляет ее исключительно без автоматизации;
• если того требует законодательство РФ о транспортной безопасности.
Другие особенности:
• подавать уведомление необходимо заранее, до начала обработки;
• при указании в документе целей обработки нужно также прописывать:
— какие категории ПД обрабатываются;
— субъекты, чьи данные подлежат обработке;
— правовое основания для обработки;
— что вы собираетесь делать с указанными сведениями;
— способы обработки;
• в реестр включается информация, которая обязательно прописывается в уведомлении. Также там прописывают дату направления уведомления в реестр;
• регистрация в реестре осуществляется бесплатно. Это касается как рассмотрения уведомления, так и включения в реестр;
• перед информированием РКН составьте необходимые локальные акты, связанные с деятельностью по обработке ПД. Основной документ, как правило, это политика обработки и защиты ПД. Также установите уполномоченных и ответственных за обработку лиц;
• предприниматели, у которых нет обработки данных, уведомление не подают. Такое может быть, когда у лица нет работников и клиентов-физлиц, чьи данные нужно обрабатывать;
• при обработке оператор обязан применять ряд мер для защиты данных. Это организационные и технические меры, предусмотренные ч. 1, п. 2 ч. 2 ст. 19 закона № 152-ФЗ. Также существуют иные акты, предусматривающие требования к защите. Например, Постановление Правительства РФ от 01.11.2012 № 1119;
• об изменении сведений, которые были поданы в уведомлении, также нужно будет сообщить в Роскомнадзор. Сделать это нужно не позднее 15-го числа месяца, следующего за тем, в котором возникли изменения. Сообщить в РКН также нужно, если вы прекратили обработку данных. Сделать это необходимо в течение 10 рабочих дней с момента прекращения (ч. 7 ст. 22 закона о персональных данных). Формы документов содержатся в приложениях № 2 и № 3 Приказа Роскомнадзора от 28.10.2022 № 180;
• при трансграничной передаче данных также нужно подавать отдельное оповещение (ч. 3 ст. 12 закона № 152-ФЗ). Оно подается вне зависимости от основного уведомления. Его можно отправить также в бумажном или электронном виде. Документ должен содержать следующую информацию (ч. 4 ст. 12 закона № 152-ФЗ):
— наименование (Ф.И.О.), адрес ОПД, а также дату и номер уведомления о намерении совершить обработку ПД, ранее направленного оператором согласно ст. 22;
— наименование (Ф.И.О.) лица, отвечающего за обработку информации, номера телефонов, почту и адреса электронной почты;
— законное основание и цель трансграничной передачи сведений и дальнейшей обработки переданных данных;
— категории и перечень передаваемых ПД;
— категории СПД, сведения о которых передаются;
— перечень иностранных государств, на территории которых планируется трансграничная передача;
— дату проведения оператором оценки соблюдения органами власти иностранных государств, зарубежными физлицами, иностранными юрлицами, которым планируется трансграничная передача, конфиденциальности ПД и безопасности данных при их обработке.
Порядок регистрации оператора персональных данных
Порядок регистрации довольно прост: ОПД достаточно лишь подать уведомление. Дальше Роскомнадзор самостоятельно включает его в реестр.
Происходит все в несколько этапов:
• составляется уведомление. Оно может быть как в бумажной, так и в электронной форме. Должно быть подписано уполномоченным лицом. Его форма содержится в приложении № 1 Приказа Роскомнадзора от 28.10.2022 № 180. Форму и образец вы найдете в последующих разделах статьи;
• далее документ нужно отправить в Роскомнадзор. О порядке направления изложено в отдельном разделе;
• в течение 30 дней уполномоченный орган вносит сведения в реестр операторов ПД (ч. 4 ст. 22 закона № 152-ФЗ). Срок начинает течь с даты поступления уведомления. Реестр является общедоступным.
Может быть и такое, что РКН откажет в приеме уведомления или во внесении сведений в реестр. Также он может внести сведения не в установленный срок. В таком случае действия (бездействие) уполномоченного органа можно оспорить в арбитражном суде. У оператора на это есть три месяца, после того как ему стало известно о нарушении со стороны РКН (ч. 4 ст. 198 АПК РФ).
Существует также административный порядок оспаривания. Статья 11.1 Закона от 27.07.2010 № 210 предусматривает случаи нарушений, которые могут быть обжалованы в досудебном порядке.
Если должностное лицо действительно нарушило порядок предоставления госуслуги, его могут привлечь к ответственности по ст. 5.63 КоАП РФ. Она наступает, если действия должностного лица не содержат уголовного наказуемого деяния.
Форма уведомления для регистрации обработки персональных данных
Основное наполнение данного документа должно быть следующим (ч. 3 ст. 22 закона № 152-ФЗ):
• название компании, адрес ОПД;
• цель обработки сведений;
• меры, указанные в статьях 18.1 и 19 закона № 152-ФЗ, включая информацию о шифровальных (криптографических) средствах и их наименовании;
• Ф.И.О. гражданина или название организации. В частности, тех, кто отвечает за личные данные. Также номера их телефонов, обычная почта и электронная;
• дата начала работы с личными данными;
• срок (условие прекращения) обработки информации;
• сведения о наличии (отсутствии) трансграничной передачи данных;
• информация о местонахождении базы данных, в которой находятся ПД граждан;
• Ф.И.О. физлица или название организации. Касается тех, у кого есть доступ и кто обрабатывает данные, содержащиеся в государственных инфосистемах;
• обеспечение безопасности данных в соответствии с требованиями к защите ПД, утвержденными Правительством РФ.
В конце документа должна стоять подпись уполномоченного на это лица.
С формой документа можно ознакомиться здесь.
Уведомления об обработке персональных данных: образец заполнения
С образцом уведомления можно ознакомиться здесь.
Как направить уведомление в Роскомнадзор для регистрации оператора персональных данных
Уведомление может быть направлено двумя способами (ч. 3 ст. 22 закона № 152-ФЗ):
• в электронном виде;
• на бумажном носителе.
В обоих случаях документ должен быть подписан уполномоченным лицом. Если это электронная форма, потребуется усиленная квалифицированная электронная подпись (УКЭП). Направляется уведомление в территориальный орган Роскомнадзора, в зависимости от региона регистрации оператора.
Подача электронного уведомления
Электронная форма также предусматривает два варианта. В частности, заполнить документ вы можете:
• через портал Роскомнадзора, расположенный по адресу: https://pd.rkn.gov.ru/;
• единый портал госуслуг.
Подавать уведомление в бумажном виде в таком случае не нужно.
Подача бумажного уведомления
Форму документа можно взять с портала Роскомнадзора. Там же будет предложена помощь в ее заполнении и распечатке. Такая возможность есть в разделе «Электронные формы заявлений». В нем нужно найти функцию: «Сформировать уведомление и направить в бумажном виде».
При заполнении формы на сайте есть подсказки и поля, в которых нужно выбрать лишь нужное значение, к примеру, ваш регион, город, улицу и так далее.
После заполнения документ дублируется в электронном виде, то есть его заполненную электронную форму нужно отправить в инфосистему Роскомнадзора. Но в этом случае электронная подпись не нужна. Это не является подачей уведомления в электронном виде.
После этого распечатайте документ и направьте его в ваш территориальный орган. Такая возможность будет предоставлена сервисом, после того как вы заполните уведомление.
В случае возникновения вопросов, возникших при регистрации, вы можете обратиться за разъяснением в РКН. Также в решении проблемы могут помочь телеграм-каналы, группы в соцсетях, форумы, на которых обсуждаются подобные случаи.
Как зарегистрироваться через портал персональных данных Роскомнадзора
Как уже говорилось ранее, подача уведомления возможна через официальный сайт Роскомнадзора https://pd.rkn.gov.ru/.
Однако чтобы это сделать, надо иметь усиленную квалифицированную электронную подпись. Также на компьютере должны быть установлены специальные плагины для ее работы.
Функция подачи электронного уведомления на сайте находится там же, где формируется уведомление в бумажном виде. Ниже нужно выбрать: «Сформировать уведомление и направить в электронном виде с использованием УКЭП»
Далее нужно заполнить форму уведомления и подписать ее электронной подписью. После чего вы получите письмо об обработке на вашу электронную почту.
Как зарегистрироваться через госуслуги
При подаче уведомления через госуслуги, вам нужно предварительно авторизоваться на данном ресурсе, если у вас уже есть готовая учетная запись. Если при этом оператором является организация, учетная запись должна быть привязана к ней.
Порядок подачи уведомления:
• на сервисе Роскомнадзора найдите «Сформировать уведомление и направить в электронном виде с использованием средств аутентификации ЕСИА». Эта функция содержится там же, где и предыдущие варианты отправки;
• после нажатия на ссылку вас перебросит на портал «Госуслуг». Там нужно будет внести свои логин и пароль;
• далее предоставьте права Роскомнадзору на просмотр ваших данных на портале госуслуг;
• затем вас перебросит на заполнение уведомления. Некоторые поля уже будут заполнены автоматически;
• после заполнения нажмите кнопку «Отправить», предварительно согласившись с условиями;
• получите сообщение об обработке запроса на электронную почту.
В данном случае используются средства ЕСИА — единая система идентификации и аутентификации. В этом случае наличие УКЭП не потребуется.
Сроки регистрации в качестве оператора обработки персональных данных
Сроки регулируются частью 4 статьи 22 закона о персональных данных. Из нее следует, что уполномоченный орган должен внести изменения в реестр, в течение 30 дней. Начало данного срока исчисляется с поступления уведомления об обработке ПД.
В этот период РКН рассматривает ваше обращение. Если все в порядке, он регистрирует ОПД в реестре. Однако он может этого не сделать по ряду причин. Об этом уже упоминалось ранее. При необходимости уточнения данных орган вас уведомит.
Как проверить регистрацию оператора персональных данных
В случае положительного решения РКН оператор будет зарегистрирован в соответствующем реестре, который может посмотреть каждый желающий, он в общем доступе для всех. В нем вы сможете найти себя, если ваши данные были в него внесены.
Для этого нужно зайти на официальный портал Роскомнадзора https://pd.rkn.gov.ru/. Там содержится поисковая строка с наименованием «Поиск по реестру». В ней нужно вбить ваши данные и нажать кнопку «Найти». Обычно достаточно указать ИНН. Но в расширенном поиске есть также наименование организации и регистрационный номер.
В результатах поиска найдите нужного оператора и кликнете по нему. После этого откроется окно со всей необходимой информацией.
Кроме того, вы можете узнать о состоянии уведомления, до того как оно попадет в реестр. Это также делается на портале Роскомнадзора. Вам нужно зайти все на тот же сайт и нажать на вкладку «Реестр операторов». Там появится раздел «проверка состояния уведомления (информационного письма)». Далее нужно будет заполнить необходимые поля, указать защитный код с картинки и нажать на кнопку «Проверить».
Штрафы за ненаправление уведомления
В случае обработки данных без уведомления возможно привлечение к ответственности. Также она наступает, если:
• оно представлено несвоевременно (после начала обработки ПД);
• уведомление содержит неполные или недостоверные сведения.
За подобные нарушения могут, например, привлечь по статье 19.7 КоАП РФ. Это предупреждение или административный штраф:
• от 100 до 300 рублей — для граждан;
• от 300 до 500 рублей — для должностных лиц.
Например, это может быть руководитель либо иные сотрудники, выполняющие организационно-распорядительные или административно-хозяйственные функции;
• предупреждение или административный штраф от 3 до 5 тыс. рублей для юридических лиц.
Однако в указанной статье присутствует размытая формулировка. В ней говорится о непредставлении (несвоевременном представлении) сведений в государственный орган. Там не указывается конкретно на обязанность подачи уведомления об обработке данных.
И это скоро будет исправлено. Ответственность теперь возникнет конкретно за неподачу уведомления. Это связано со статьей 13.11 КоАП РФ, которая предусматривает нарушение законодательства РФ в области ПД.
С тридцатого мая 2025 года в нее будут внесены изменения, которые устанавливает Федеральный закон от 30.11.2024 № 420-ФЗ «О внесении изменений в Кодекс Российской Федерации об административных правонарушениях».
Нововведения следующие:
• увеличение штрафов по общему составу нарушения (теперь от 150 до 300 тыс. рублей). Штраф за повторное нарушение увеличится;
• предприниматели будут уплачивать сумму в том же размере, что и юридические лица;
• появятся новые спецсоставы, в частности:
— наш случай, связанный с обязанностью уведомления о намерении обрабатывать ПД;
— обязанность уведомления об утечке ПД;
— действие (бездействие), повлекшее утечку;
— действие (бездействие), повлекшее утечку специальной категории ПД;
— действие (бездействие), повлекшее утечку биометрических ПД;
• исключена возможность оплаты штрафа с 50-процентной скидкой;
• иное.
Что касается нашей ситуации, в статье 13.11 КоАП РФ изменится следующее.
Она дополнится частями 10–18, в числе которых спецсостав с ответственностью за неуведомление. В частности, наказание за данное нарушение будет предусмотрено ч. 10 ст. 13.11 КоАП РФ.
В ней будет говориться о невыполнении (несвоевременном выполнении) оператором обязанности по уведомлению РКН. За данное нарушение наказание будет в виде:
• административного штрафа в размере от 5 до 10 тыс. рублей для граждан;
• от 30 до 50 тыс. рублей в отношении должностных лиц;
• от 100 до 300 тыс. рублей в отношении юридических лиц.
Краткий вывод и основные тезисы
Регистрация в реестре касается практически всех, кто собирается или уже обрабатывает сведения о физлицах. Порядок для заявителя довольно простой. Достаточно лишь заполнить и направить сообщение в регистрирующий орган. Для этого уже все практически готово, останется только взять форму с официального сайта ведомства. А дальше вам решать — отправлять документ в электронном или бумажном виде. На тот и другой случай уже все также подготовлено. Если решите на бумаге, сразу можете распечатать.
Если вы все верно сделали, остальное за вас осуществит Роскомнадзор, нужно только подождать ответа в течение 30 дней. Если же будут ошибки для исправления или отказ, вас об этом также уведомят. Ошибки можно исправить и направить сообщение повторно. Если причины другие и вы с ними не согласны, решение органа можно оспорить в порядке, установленном законом.
В случае положительного решения сведения о себе можно проверить в реестре, доступ к данной информации является открытым. Если сведения в реестр еще не поступили, статус уведомления также можно проверить на официальном ресурсе. Это даст понять, на какой стадии находится рассмотрение заявки.
Если вы проигнорируете необходимость регистрации в РКН, вас могут привлечь к ответственности. В данный момент конкретный состав за это не предусмотрено, но есть иной состав, по которому также могут назначить наказание. При этом с 30 мая 2025 года появится наказание именно за неуведомление Роскомнадзора. Штрафы после указанной даты будут значительно увеличены. А ИП теперь будут отвечать за данное нарушение наравне с юридическими лицами. Для физлиц сумма увеличения некритичная, но все же существенно выше, чем ранее.
Основные нормативные акты, регулирующие порядок регистрации:
• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»;
• Приказ Роскомнадзора от 28.10.2022 № 180 «Об утверждении форм уведомлений о намерении осуществлять обработку персональных данных, об изменении сведений, содержащихся в уведомлении о намерении осуществлять обработку персональных данных, о прекращении обработки персональных данных»;
• Постановление Правительства РФ от 16.03.2009 № 228 «О Федеральной службе по надзору в сфере связи, информационных технологий и массовых коммуникаций»;
• «Кодекс Российской Федерации об административных правонарушениях» от 30.12.2001 № 195-ФЗ.
Вы можете оставить первый комментарий