Уведомление РКН: когда у компании возникает обязанность его подать

Уведомление Роскомнадзора компании откладывают чаще прочих обязанностей: считают, что требование адресовано крупным операторам. Обязанность возникает не от размера компании, а от факта обработки персональных данных.

Когда компания подаёт уведомление

• на сайте есть формы
• компания ведёт клиентскую базу
• компания использует CRM
• компания ведёт рассылку
• компания обрабатывает заявки

В каждом из этих случаев компания выступает оператором персональных данных со всеми обязанностями оператора.

Почему прежние исключения не спасают

Оператор часто опирается на перечень исключений, который знает по старым разъяснениям:

• компания обрабатывает данные только своих работников
• компания обрабатывает данные только в рамках договора с самим субъектом
• компания обрабатывает только фамилию, имя и отчество

Эти основания исключены из закона 266-ФЗ от 14.07.2022 и не действуют с 01.09.2022. В части 2 статьи 22 152-ФЗ остались три случая: обработка без использования средств автоматизации, обработка в государственных информационных системах, созданных в целях защиты безопасности государства и общественного порядка, и обработка в случаях, предусмотренных законодательством о транспортной безопасности. Кадровый учёт и клиентская база, которые ведутся в информационных системах, ни под одно из оставшихся исключений не подпадают. Применимость исключения к конкретной компании оценивает юрист по составу её процессов, а не по общему правилу.

Типовые ошибки операторов

• компания не подала уведомление вообще
• оператор указал не те цели обработки
• уведомление не описывает реальные процессы
• компания запустила новый сервис и не сообщила об изменениях

Об изменении ранее поданных сведений оператор сообщает не позднее 15-го числа месяца, следующего за месяцем, в котором эти сведения изменились (ч. 7 ст. 22 152-ФЗ). Срок «10 рабочих дней» операторы помнят по прежней редакции закона.

Что проверяет Роскомнадзор

• подала ли компания уведомление
• совпадает ли оно с фактической обработкой
• верно ли указаны цели обработки
• сообщил ли оператор о произошедших изменениях

Чек-лист по уведомлению

• уведомление подано и есть в реестре операторов
• цели обработки совпадают с реальными
• перечислены все процессы: сайт, CRM, кадровый учёт, рассылки
• после запуска новых сервисов оператор направил изменения

Что делать оператору

Проверить применимость обязанности и подать корректное уведомление дешевле, чем объяснять его отсутствие при контрольном мероприятии. Юрист сверяет состав процессов компании и готовит текст сведений.