Как заполнить уведомление в Роскомнадзор об обработке персональных данных

Уведомление в Роскомнадзор заполняется на основании фактических процессов обработки персональных данных в организации. Основная ошибка операторов — сведения берутся из шаблонов или заполняются формально. В результате информация в реестре не соответствует реальной деятельности компании, что создаёт риски при проверках.

Когда нужно подавать уведомление

В большинстве случаев оператор обязан уведомить Роскомнадзор до начала обработки персональных данных. После подачи сведений оператор включается в реестр операторов персональных данных.

Какие сведения понадобятся заранее

Перед заполнением формы рекомендуется подготовить следующую информацию.

Сведения об организации: полное наименование, сокращённое наименование, ИНН, ОГРН или ОГРНИП, юридический адрес, контактные данные.

Сведения о персональных данных: категории субъектов, категории персональных данных, цели обработки, правовые основания обработки.

Организационные сведения: ответственное лицо, адрес обработки данных, используемые информационные системы, меры защиты персональных данных.

Раздел 1. Сведения об операторе

Для юридического лица указываются полное наименование, ОГРН, ИНН, адрес регистрации, контактные данные. Для индивидуального предпринимателя — ФИО, ОГРНИП, ИНН, адрес регистрации. Важно использовать актуальные сведения из ЕГРЮЛ или ЕГРИП.

Раздел 2. Цели обработки персональных данных

Это один из самых важных разделов. Цели должны соответствовать реальной деятельности организации.

Примеры целей: кадровый учёт, подбор персонала, ведение бухгалтерского учёта, исполнение договоров, оказание услуг, обработка обращений клиентов, ведение клиентской базы, обеспечение работы сайта.

Раздел 3. Категории субъектов персональных данных

Необходимо указать, чьи данные обрабатываются: работники, бывшие работники, кандидаты на вакансии, клиенты, контрагенты, представители контрагентов, пользователи сайта, посетители офиса.

Раздел 4. Категории персональных данных

В уведомлении указывается состав обрабатываемых данных: фамилия, имя, отчество, номер телефона, адрес электронной почты, адрес проживания, паспортные данные, ИНН, СНИЛС. Не рекомендуется указывать категории данных, которые фактически не обрабатываются.

Раздел 5. Правовые основания обработки

Обычно используются: Трудовой кодекс РФ, Налоговый кодекс РФ, Федеральный закон №152-ФЗ, договоры с субъектами персональных данных, согласия субъектов. Основания должны быть связаны с конкретными целями обработки.

Раздел 6. Перечень действий с персональными данными

Как правило, указываются сбор, запись, систематизация, накопление, хранение, уточнение, использование, передача, удаление, уничтожение. Для большинства операторов используется полный перечень операций.

Раздел 7. Меры по обеспечению безопасности

Оператор должен указать организационные и технические меры защиты: назначение ответственного лица, ограничение доступа, антивирусная защита, средства защиты информации, резервное копирование, внутренние локальные акты. Именно этот раздел часто вызывает затруднения.

Раздел 8. Используемые информационные системы

Необходимо указать системы, в которых осуществляется обработка данных: кадровая система, CRM, бухгалтерская система, корпоративная почта, сайт компании, системы электронного документооборота.

Что чаще всего заполняют неправильно

Ошибка №1. Копирование чужих формулировок. Информация не соответствует деятельности компании.

Ошибка №2. Неверные цели обработки. Цели либо слишком общие, либо не охватывают реальные процессы.

Ошибка №3. Неполный перечень субъектов. Например, указаны сотрудники, но отсутствуют клиенты.

Ошибка №4. Не указаны данные сайта. Игнорируется обработка данных через формы обратной связи и заявки.

Ошибка №5. Несоответствие внутренним документам. Уведомление противоречит политике обработки персональных данных и локальным актам.

Что делать после подачи уведомления

После направления уведомления рекомендуется проверить включение в реестр операторов, подготовить комплект документов по ФЗ-152, проверить сайт на соответствие требованиям закона, назначить ответственное лицо. Если сведения изменились — подать уведомление о внесении изменений.