Как проверить, есть ли компания в реестре операторов Роскомнадзора

Реестр операторов персональных данных открытый, искать в нём можно без регистрации. Это удобно для самопроверки и неудобно тем, что вас точно так же проверяют клиенты, конкуренты и инспектор, который получил жалобу.

Где искать

Реестр ведётся на портале Роскомнадзора по персональным данным pd.rkn.gov.ru, раздел «Реестр операторов». Поиск по ИНН самый надёжный: наименования пишутся по-разному, а ИНН один. Поиск по наименованию выдаёт все похожие записи, включая однофамильцев для ИП.

В карточке оператора публикуется ограниченный набор сведений: наименование, ИНН, регион, дата включения в реестр, номер записи, цели обработки, категории данных и субъектов, правовые основания, сведения о трансграничной передаче и дата начала обработки. Адрес ЦОД, контакты ответственного и описание мер защиты в открытой части не отображаются.

Что означают статусы

Запись может быть в нескольких состояниях.

• Действующая. Оператор в реестре, сведения считаются актуальными.
• Исключена. Оператор подал уведомление о прекращении обработки либо исключён ведомством.
• Внесены изменения. Отображается дата последнего изменения. Если дата старше вашей последней реорганизации или смены адреса, запись отстала от жизни.

Заявления, которые ещё на рассмотрении, в открытом реестре не видны. Их статус проверяется в личном кабинете Госуслуг или на портале под учётной записью, с которой подавали.

Что сверить в своей записи

Мы делаем это на каждом аудите, и почти всегда что-то расходится. Проверяйте по пунктам.

1. Наименование и ИНН. После реорганизации или смены названия запись не обновляется сама.
2. Цели обработки. Открыли новое направление, запустили программу лояльности, начали рекламные рассылки: каждая новая цель должна появиться в реестре. Инспектор сравнивает цели в реестре с тем, что видит на сайте и в политике.
3. Категории данных. Начали собирать паспортные данные для договоров или фото для пропусков: это новые категории.
4. Трансграничная передача. Если подключили зарубежный сервис рассылок или аналитики, появилась передача за рубеж, которой в записи нет. Здесь двойной риск: и уведомление устарело, и сама передача требует отдельного уведомления по статье 12.
5. Дата изменений. Любое из перечисленного должно было попасть в реестр не позднее 15-го числа следующего месяца.

Что должно совпадать с сайтом

Три документа должны говорить одно и то же: запись в реестре, политика обработки на сайте и реальное поведение сайта. Классическое расхождение: в реестре цель «обработка обращений», в политике написано про рассылки, а на сайте стоит счётчик аналитики, о котором нигде ни слова. Каждое расхождение само по себе мелочь, вместе они образуют картину, по которой выписывают предписание.

Быстрый способ увидеть, что на самом деле делает сайт, это наш сканер: он находит формы, счётчики и внешние сервисы, которые потом нужно сверить с реестром. А полное приведение трёх документов к одному знаменателю это основная часть аудита персональных данных.