Когда операторам нужно уведомить Роскомнадзор об изменениях в своей работе
Одна из обязанностей операторов по 152-ФЗ — заблаговременное уведомление Роскомнадзора о работе с персданными (персональными данными физлиц, также — ПДн). Подается такое уведомление всего один раз. Однако в определенных случаях уведомление приходится направлять повторно. В противном случае оператору грозят серьезные штрафы по ст. 13.11 КоАП.
Содержание статьи
Коротко об обязанностях по уведомлению РКН
До начала работы с персданными операторы обязаны уведомить Роскомнадзор.
Уведомление составляется по утвержденной форме и подается однократно.
На основании этого документа РКН вносит сведения об операторе в специальный реестр.
В случае изменений данных, указанных в первоначальном уведомлении, в Роскомнадзор подается корректирующее уведомление (информационное письмо).
Сообщить необходимо о следующих фактах:
Корректирующее уведомление составляется также по утвержденной форме.
Сообщить необходимо о следующих фактах:
a) оператор сменил название или адрес,
b) поменялись цели получения персданных и/или способы их обработки,
c) изменился список категорий собираемых данных,
d) поменялся ответственный сотрудник по работе с персданными,
e) базы персданных перенесены в другое место для хранения и пр.
О прекращении работы с ПДн необходимо уведомить в течение 10-ти рабочих дней.
На основании полученного корректирующего уведомления РКН вносит изменения в реестр операторов (в течение месяца).
Таким же способом исправляются ошибки и несоответствия, обнаруженные самим оператором в госреестре.
Когда требуется повторное уведомление РКН
Первое уведомление оператор направляет в территориальное отделение Роскомнадзора еще до начала фактической работы с личной информацией граждан. Заполняется такое уведомление по утвержденной форме (Приложение №1 к Приказу РКН №180), где оператор указывает:
- какие данные он собирает, для чего,
- как планирует их обрабатывать и на каком основании,
- где и как будут храниться полученные данные,
- кто назначается ответственным за такую работу и др.
То есть оператор сначала продумывает свою работу, разрабатывает и утверждает внутренние документы, регламентирующие принципы и правила обработки, защиты, хранения и уничтожения данных, и только потом готовит уведомление в РКН.
На основании полученного уведомления Роскомнадзор в течение месяца внесет сведения об операторе персданных в специальный реестр. Данный реестр является открытым, то есть любой желающий может ознакомиться с информацией о конкретном операторе персданных.
Если первое уведомление было заполнено неправильно, регулятор откажется его принимать и не внесет оператора в реестр. Соответственно, оператору придется повторно заполнять то же самое уведомление, но уже без ошибок. Также РКН вправе затребовать у оператора уточнение информации до ее отражения в реестре (ч.6 ст. 22 ФЗ №152).
Обработка персданных без внесения в реестр операторов грозит предпринимателям и компаниям штрафом до 300 000 ₽.
Если у Роскомнадзора не было замечаний к первичному уведомлению, и он внес оператора в реестр, однако указанные сведения являются неточными (недостоверными), то исправление таких ошибок осуществляется оператором путем направления другого уведомления — по форме, указанной в Приложении №2 к Приказу РКН №180.
Нецелевая обработка персданных, когда оператор указал в уведомлении лишние цели сбора сведений или ненужные категории данных, может обернуться проверкой Роскомнадзора и штрафом до 300 000 ₽ по ст. 13.11 КоАП.
Информационное письмо по форме Приложения №2 используется также для актуализации данных в реестре, когда в работе оператора произошли изменения.
О каких изменениях в работе оператора необходимо уведомить РКН
Все сведения, которые оператор ПДн обязан сообщить регулятору при подаче первичного уведомления, указаны в ч.7 ст.22 федерального закона №152. Соответственно, при изменении любых данных, перечисленных в законе, требуется повторно уведомить Роскомнадзор.
Какие сведения нуждаются в актуализации:
- название оператора (ФИО) и/или его адрес;
- все цели сбора/обработки ПДн;
- перечень мер по защите полученной личной информации;
- информация о месте хранения баз данных;
- лицо, назначенное ответственным работу с ПДн;
- период обработки персданных (даты начала/окончания);
- использование трансграничной передачи ПДн.
Причем для каждой из указанных целей сбора ПДн отдельно прописываются категории субъектов и их данных, все действия с этими сведениями, способы их обработки, и юридические основания для таких манипуляций.
Как правильно проинформировать РКН об изменениях в работе оператора
Для корректировки данных в госреестре операторов следует заполнить и направить в РКН информационное письмо, которое заполняется по форме Приложения №2 к Приказу РКН №180. Данное уведомление может быть заполнено как в цифровом виде, так и в бумажном.
То есть форму информационного письма можно распечатать и передать в территориальный отдел Роскомнадзора. Такое уведомление составляется на официальном бланке и подписывается уполномоченным лицом.
Также можно заполнить электронную версию и отправить документ онлайн, например, через госуслуги либо сайт РКН (потребуется действующая цифровая подпись).
Актуализировать изменившиеся данные необходимо до середины следующего месяца. К примеру, в начале июня директор ООО назначил ответственным за работу с ПДн нового сотрудника. Эти данные отражаются в уведомлении РКН, следовательно, нужно сообщить регулятору об изменениях. Уведомить Роскомнадзор необходимо до 15 июля.
Обратите внимание! В информационном письме заполняются только обязательные поля (сведения об операторе, включая его название, адрес, ИНН и ОГРН) и поля с изменившимися сведениями (например, данные назначенного ответственного работника). Новые сведения прописываются полностью в отведенных полях, то есть новая информация не добавляется к старой, а переписывается полностью.
Роскомнадзор на своем официальном ресурсе приводит образец заполнения уведомления. Однако регулятор предостерегает операторов от бездумного копирования текста: это образец не для списывания, а для анализа, чтобы операторы понимали, что именно следует указывать в приведенных полях формы.
Также РКН расценивает как ошибку указание неполного перечня категорий субъектов и их данных, использование таких сокращений как «и др.», «и т. п.». Сведения необходимо указывать полные и конкретные, то есть перечень должен быть исчерпывающим.
Также недопустимо указывать единственным правовым основанием федеральный закон 152-ФЗ. При заполнении данного поля оператор обязан перечислить все нормативные акты, которыми он руководствуется при обработке ПДн, в том числе свои внутренние документы (политику, положение по работе с ПДн и прочее).
Заполнить информационное письмо в Роскомнадзор без ошибок и отказов помогут эксперты «Консалт-групп».
