разбор
Уведомление РКН: когда у компании возникает обязанность его подать
Уведомление Роскомнадзора компании откладывают чаще прочих обязанностей: считают, что требование адресовано крупным операторам. Обязанность возникает не от размера компании, а от факта обработки персональных данных.
Компания собирает персональные данные через сайт, формы или CRM, ведёт клиентскую базу или кадровый учёт. В большинстве таких случаев обязанность подать уведомление у неё уже есть.
Когда компания подаёт уведомление
- на сайте есть формы
- компания ведёт клиентскую базу
- компания использует CRM
- компания ведёт рассылку
- компания обрабатывает заявки
В каждом из этих случаев компания выступает оператором персональных данных со всеми обязанностями оператора.
Почему прежние исключения не спасают
Оператор часто опирается на перечень исключений, который знает по старым разъяснениям:
- компания обрабатывает данные только своих работников
- компания обрабатывает данные только в рамках договора с самим субъектом
- компания обрабатывает только фамилию, имя и отчество
Эти основания исключены из закона 266-ФЗ от 14.07.2022 и не действуют с 01.09.2022. В части 2 статьи 22 152-ФЗ остались три случая: обработка без использования средств автоматизации, обработка в государственных информационных системах, созданных в целях защиты безопасности государства и общественного порядка, и обработка в случаях, предусмотренных законодательством о транспортной безопасности. Кадровый учёт и клиентская база, которые ведутся в информационных системах, ни под одно из оставшихся исключений не подпадают. Применимость исключения к конкретной компании оценивает юрист по составу её процессов, а не по общему правилу.
Типовые ошибки операторов
- компания не подала уведомление вообще
- оператор указал не те цели обработки
- уведомление не описывает реальные процессы
- компания запустила новый сервис и не сообщила об изменениях
Об изменении ранее поданных сведений оператор сообщает не позднее 15-го числа месяца, следующего за месяцем, в котором эти сведения изменились (ч. 7 ст. 22 152-ФЗ). Срок «10 рабочих дней» операторы помнят по прежней редакции закона.
Что проверяет Роскомнадзор
- подала ли компания уведомление
- совпадает ли оно с фактической обработкой
- верно ли указаны цели обработки
- сообщил ли оператор о произошедших изменениях
Чек-лист по уведомлению
- уведомление подано и есть в реестре операторов
- цели обработки совпадают с реальными
- перечислены все процессы: сайт, CRM, кадровый учёт, рассылки
- после запуска новых сервисов оператор направил изменения
Что делать оператору
Проверить применимость обязанности и подать корректное уведомление дешевле, чем объяснять его отсутствие при контрольном мероприятии. Юрист сверяет состав процессов компании и готовит текст сведений.