BlogУведомление в Роскомнадзор об обработке персональных данных: кому, когда и как подать
Разбираем самые трудные поля формы уведомления об обработке персональных данных на примерах: как формулировать цели, какие категории отмечать, что писать про место размещения базы данных и меры защиты.
Published · 4 min · Arson Tech
Самые частые вопросы по форме уведомления касаются четырёх блоков. Остальные поля это реквизиты, которые просто переписываются из документов. Разберём трудные блоки на примере небольшой компании, которая оказывает услуги, имеет сайт с формой заявки и десять сотрудников.
Правило одно: цель должна быть конкретной и проверяемой. Инспектор смотрит на цель и спрашивает себя, может ли он увидеть эту обработку в жизни компании. «Ведение бизнеса» не увидишь. «Рассмотрение обращений, поступивших через форму на сайте» увидишь: вот сайт, вот форма.
Типичный набор для компании из примера:
| Цель | Категории субъектов | Категории данных | Основание |
|---|---|---|---|
| Рассмотрение обращений, поступивших через сайт и мессенджеры | посетители сайта, потенциальные клиенты | ФИО, телефон, электронная почта, содержание обращения | согласие, п. 1 ч. 1 ст. 6 |
| Заключение и исполнение договоров оказания услуг | клиенты, представители клиентов | ФИО, должность, контактные данные, реквизиты | договор, п. 5 ч. 1 ст. 6 |
| Кадровый учёт и исполнение обязанностей работодателя | работники, соискатели | ФИО, паспортные данные, СНИЛС, ИНН, сведения об образовании, о доходах | Трудовой кодекс, Налоговый кодекс, п. 2 ч. 1 ст. 6 |
| Бухгалтерский и налоговый учёт | работники, контрагенты-физлица | ФИО, ИНН, реквизиты счетов, сведения о выплатах | законодательство о бухгалтерском учёте и налогах |
| Информирование о услугах и акциях | клиенты, подписчики | ФИО, электронная почта, телефон | согласие, п. 1 ч. 1 ст. 6 |
| Обеспечение безопасности сайта и защита от злоупотреблений | посетители сайта | IP-адрес, данные о браузере и устройстве | законные интересы, п. 7 ч. 1 ст. 6 |
Если на сайте стоит счётчик аналитики, добавляется цель «веб-аналитика и улучшение сайта» с основанием «согласие» и категориями «идентификаторы cookie, данные о посещениях». Без этой цели аналитика на сайте не согласуется с реестром.
Форма предлагает отметить категории галочками по каждой цели. Два совета.
Не отмечайте лишнего из осторожности. Специальные категории (здоровье, национальность, религия) и биометрия включают повышенные требования к защите и привлекают внимание. Если фотографии сотрудников для пропусков используются без автоматического распознавания лиц, это не биометрия в смысле закона.
Не забывайте очевидное. Паспортные данные сотрудников, ИНН и СНИЛС есть у любого работодателя, и в кадровой цели они должны быть отмечены.
Указывается страна и адрес, где физически стоят серверы с данными. Три типичные ситуации.
Для нескольких баз указывается каждая. Сайт на одном хостинге, CRM в другом облаке, бухгалтерия на сервере в офисе: три записи.
Форма просит описать меры по статьям 18.1 и 19 закона. Описывайте то, что есть, обычным языком. Пример для компании без отдела информационной безопасности:
Назначено лицо, ответственное за организацию обработки персональных данных. Утверждены политика обработки персональных данных и локальные акты, определяющие порядок обработки и доступа. Проводится внутренний контроль соответствия обработки требованиям закона. Определён уровень защищённости информационных систем персональных данных. Доступ к данным разграничен по ролям, применяются парольная защита и шифрование каналов связи, ведётся резервное копирование, учитываются носители информации. Работники ознакомлены с требованиями законодательства о персональных данных.
Если применяются сертифицированные средства защиты или проведена аттестация, укажите это. Если нет, не указывайте: инспектор может запросить документы.
Ответственный за организацию обработки назначается приказом, в форме указываются ФИО, должность и контакты. У ИП это сам предприниматель. Дата начала обработки указывается фактическая, даже если она в прошлом: лучше честная дата, чем расхождение с датой регистрации компании, которое сразу видно.
Собранные таким образом сведения лягут в основу не только уведомления, но и политики обработки, и перечня процессов для аудита. Это одна и та же информация в трёх документах, и держать её согласованной проще, когда она собрана один раз. В аудите персональных данных мы делаем именно это и подаём уведомление по итогам.
Personal data audit (152-FZ)
Leave a contact and we will review your case with an estimate within one business day.
Разбираем без юридического тумана: кто обязан уведомить Роскомнадзор, какие сроки, что писать в форме, как подать через Госуслуги, как проверить себя в реестре и что будет, если не подать.
Роскомнадзор проверяет сайты автоматически. Разбираем, что известно о системе мониторинга, какие признаки нарушений она фиксирует, чем это грозит и как проверить свой сайт теми же методами до того, как это сделает ведомство.
Как устроена проверка сайта без выезда: что смотрит инспектор и автоматические системы, какие нарушения находят чаще всего и как подготовиться, чтобы проверка закончилась ничем.