Как заполнить уведомление в Роскомнадзор: цели, категории, ЦОД и меры защиты

Самые частые вопросы по форме уведомления касаются четырёх блоков. Остальные поля это реквизиты, которые просто переписываются из документов. Разберём трудные блоки на примере небольшой компании, которая оказывает услуги, имеет сайт с формой заявки и десять сотрудников.

Цели обработки

Правило одно: цель должна быть конкретной и проверяемой. Инспектор смотрит на цель и спрашивает себя, может ли он увидеть эту обработку в жизни компании. «Ведение бизнеса» не увидишь. «Рассмотрение обращений, поступивших через форму на сайте» увидишь: вот сайт, вот форма.

Типичный набор для компании из примера:

Цель	Категории субъектов	Категории данных	Основание
Рассмотрение обращений, поступивших через сайт и мессенджеры	посетители сайта, потенциальные клиенты	ФИО, телефон, электронная почта, содержание обращения	согласие, п. 1 ч. 1 ст. 6
Заключение и исполнение договоров оказания услуг	клиенты, представители клиентов	ФИО, должность, контактные данные, реквизиты	договор, п. 5 ч. 1 ст. 6
Кадровый учёт и исполнение обязанностей работодателя	работники, соискатели	ФИО, паспортные данные, СНИЛС, ИНН, сведения об образовании, о доходах	Трудовой кодекс, Налоговый кодекс, п. 2 ч. 1 ст. 6
Бухгалтерский и налоговый учёт	работники, контрагенты-физлица	ФИО, ИНН, реквизиты счетов, сведения о выплатах	законодательство о бухгалтерском учёте и налогах
Информирование о услугах и акциях	клиенты, подписчики	ФИО, электронная почта, телефон	согласие, п. 1 ч. 1 ст. 6
Обеспечение безопасности сайта и защита от злоупотреблений	посетители сайта	IP-адрес, данные о браузере и устройстве	законные интересы, п. 7 ч. 1 ст. 6

Если на сайте стоит счётчик аналитики, добавляется цель «веб-аналитика и улучшение сайта» с основанием «согласие» и категориями «идентификаторы cookie, данные о посещениях». Без этой цели аналитика на сайте не согласуется с реестром.

Категории персональных данных

Форма предлагает отметить категории галочками по каждой цели. Два совета.

Не отмечайте лишнего из осторожности. Специальные категории (здоровье, национальность, религия) и биометрия включают повышенные требования к защите и привлекают внимание. Если фотографии сотрудников для пропусков используются без автоматического распознавания лиц, это не биометрия в смысле закона.

Не забывайте очевидное. Паспортные данные сотрудников, ИНН и СНИЛС есть у любого работодателя, и в кадровой цели они должны быть отмечены.

Место размещения базы данных

Указывается страна и адрес, где физически стоят серверы с данными. Три типичные ситуации.

• Собственный сервер в офисе. Адрес офиса.
• Хостинг или облако в России. Адрес дата-центра провайдера. Он есть в договоре или в документации провайдера, крупные хостинги публикуют адреса своих ЦОД. Указывается именно адрес ЦОД, а не юридический адрес провайдера.
• Конструктор сайтов или облачная CRM. Тот же принцип: адрес ЦОД, который использует сервис. Если сервис зарубежный и данные хранятся за рубежом, это нарушение локализации, его нужно устранить до подачи, иначе вы собственноручно задокументируете нарушение.

Для нескольких баз указывается каждая. Сайт на одном хостинге, CRM в другом облаке, бухгалтерия на сервере в офисе: три записи.

Меры защиты

Форма просит описать меры по статьям 18.1 и 19 закона. Описывайте то, что есть, обычным языком. Пример для компании без отдела информационной безопасности:

Назначено лицо, ответственное за организацию обработки персональных данных. Утверждены политика обработки персональных данных и локальные акты, определяющие порядок обработки и доступа. Проводится внутренний контроль соответствия обработки требованиям закона. Определён уровень защищённости информационных систем персональных данных. Доступ к данным разграничен по ролям, применяются парольная защита и шифрование каналов связи, ведётся резервное копирование, учитываются носители информации. Работники ознакомлены с требованиями законодательства о персональных данных.

Если применяются сертифицированные средства защиты или проведена аттестация, укажите это. Если нет, не указывайте: инспектор может запросить документы.

Ответственный и дата начала

Ответственный за организацию обработки назначается приказом, в форме указываются ФИО, должность и контакты. У ИП это сам предприниматель. Дата начала обработки указывается фактическая, даже если она в прошлом: лучше честная дата, чем расхождение с датой регистрации компании, которое сразу видно.

Собранные таким образом сведения лягут в основу не только уведомления, но и политики обработки, и перечня процессов для аудита. Это одна и та же информация в трёх документах, и держать её согласованной проще, когда она собрана один раз. В аудите персональных данных мы делаем именно это и подаём уведомление по итогам.