Как заполнить уведомление в реестр операторов: разбор формы Роскомнадзора по шагам

Уведомление об обработке персональных данных — первое требование, которое закрывает организация. Часть 1 статьи 22 Федерального закона от 27.07.2006 № 152-ФЗ требует уведомить Роскомнадзор до начала обработки. Исключений осталось три: данные в государственных системах, созданных для защиты безопасности государства и общественного порядка; обработка исключительно без средств автоматизации; случаи из законодательства о транспортной безопасности (часть 2 статьи 22). Под исключение попадает разве что организация, которая ведёт кадровый учёт и клиентскую базу исключительно на бумаге: как только данные попадают в программу, обработка становится автоматизированной или смешанной, и уведомление подаётся.

Кому обязательно, что будет за неподачу и как подать бумажное уведомление — в разборе «Уведомление в Роскомнадзор об обработке персональных данных». Здесь — о другом: как выглядит сама форма и почему на неё уходит полдня.

Что на самом деле спрашивает форма

По части 3 статьи 22 закона уведомление направляется на бумаге или электронным документом и подписывается уполномоченным лицом. На практике его формируют на Портале персональных данных Роскомнадзора pd.rkn.gov.ru: там же его можно отправить через Госуслуги или подписать усиленной квалифицированной подписью, а можно распечатать заполненное и отнести в территориальный орган. Сами формы утверждены приказом Роскомнадзора от 28.10.2022 № 180: отдельно о намерении обрабатывать данные, отдельно об изменении сведений, отдельно о прекращении обработки.

Мы разобрали электронную форму по элементам. В ней 109 граф и управляющих элементов, 31 из них обязательна. Больше всего приходится на сведения об операторе — 38 граф. На цели обработки — 14, но это не 14 на всю форму: по части 3.1 статьи 22 закона категории данных, категории субъектов, правовое основание, перечень действий и способы обработки указываются для каждой цели отдельно. Три цели — сорок две графы.

Категории персональных данных — это не поле для текста, а несколько десятков флажков: фамилия и имя, год рождения, место рождения, семейное положение, доходы, СНИЛС, ИНН, данные документа, удостоверяющего личность, реквизиты банковской карты, сведения о трудовой деятельности и так далее. И такой список повторяется для каждой цели.

Пять мест, где заполнение стопорится

• Адреса. Юридический и почтовый адреса выбираются в отдельном окне справочника: регион, район, город, улица, дом. Текстом поле не принимает, индекс вводится отдельно. Если почтовый совпадает с юридическим, ставится флажок «совпадает» — и второе окно не понадобится.
• Правовое основание. Один Федеральный закон от 27.07.2006 № 152-ФЗ в этой графе не годится: он задаёт правила обработки, а не её основание. Указывается условие из статьи 6 закона и то, чем оно подтверждается: Трудовой кодекс Российской Федерации для кадрового учёта, договор с клиентом, согласие человека, отраслевой закон. Это самая частая правка при уточнении сведений.
• Способ обработки. Выбирается тремя отдельными списками: автоматизированная, неавтоматизированная или смешанная; с передачей по внутренней сети организации или без; с передачей по интернету или без. Пропущенный третий список — незаполненная обязательная графа.
• Черновик. Портал показывает защитный код при каждом сохранении, а ссылку на черновик выдаёт один раз. Ссылку нужно сохранить сразу, иначе заполненное придётся набирать заново.
• Сведения об ответственном. Фамилия, имя, отчество, телефон, почтовый адрес и электронная почта ответственного за организацию обработки. По части 4 статьи 22 закона сведения реестра общедоступны, кроме сведений о средствах обеспечения безопасности, — значит, контакты ответственного будут видны всем.

Что собрать до того, как открывать форму

Состав сведений задан частью 3 статьи 22 закона. На практике это:

• реквизиты организации: полное и сокращённое наименование, ИНН, ОГРН и дата его присвоения, адреса с индексами, телефон, электронная почта;
• перечень целей обработки, а по каждой цели — категории данных, категории людей, правовое основание, действия и способы обработки;
• дата начала обработки и срок или условие её прекращения;
• сведения о месте нахождения базы данных с персональными данными граждан Российской Федерации: в форме это страна, адрес площадки и, если база стоит в центре обработки данных подрядчика, его наименование и ИНН;
• меры по статьям 18.1 и 19 закона, в том числе наличие шифровальных (криптографических) средств и их наименования, а также сведения об обеспечении безопасности по требованиям Правительства Российской Федерации;
• ответственный за организацию обработки и его контакты;
• сведения о трансграничной передаче, если она есть.

Ничего из этого портал за оператора не придумает. Зато почти всё это уже описано в документах организации — и в этом смысл следующей части.

Как те же сведения собираются в сервисе

В ГрамотаИБ уведомление — процедура из трёх шагов: подготовить сведения, свериться с чек-листом, направить в Роскомнадзор. Процедура помнит основание и форму, поэтому её не нужно держать в голове.

Первый шаг открывает документ «Сведения для уведомления». Это не бланк уведомления — его в Роскомнадзоре не примут, и сервис говорит об этом прямо. Документ собирает сведения, которые уже есть в кабинете: цели, правовые основания, категории данных и людей — из профиля обработки; обработчики — из реестра поручений; ответственный — из раздела «Ответственные»; средства шифрования — из реестра СКЗИСредство криптографической защиты информации — Шифровальное (криптографическое) средство; применение и учёт регулируют приказы ФСБ.. Под документом перечислены разделы, из которых пришли данные: если где-то прочерк, значит нужно заполнить раздел, а не поле формы.

Остальное сервис знать не может: когда организация фактически начала обрабатывать данные, где физически стоит база, какие коды статистики у организации. Это короткая форма на том же экране — с подсказками, зачем графа нужна и что в ней ожидает портал.

Перенос на портал: строка за строкой

Дальше начинается ручная работа, и её тоже можно сократить. Отдельный экран выкладывает те же сведения в порядке граф формы портала: раздел за разделом, строка за строкой. У каждой строки кнопка «Копировать» и флажок «перенесено» — открываете форму в соседней вкладке и идёте сверху вниз, не теряя место.

Форму сервис не заполняет и не отправляет: уведомление подписывает и подаёт оператор. Подать его можно тремя способами — через Госуслуги с подтверждённой учётной записью, электронным документом с усиленной квалифицированной подписью или на бумаге в территориальный орган Роскомнадзора.

После подачи

На внесение сведений в реестр у Роскомнадзора тридцать дней с даты поступления уведомления (часть 4 статьи 22 закона). Если сведения неполные или недостоверные, у оператора запросят уточнения (часть 6). Проверить себя можно в открытом реестре операторов — по ИНН; сервис сверяет запись сам и показывает расхождения с данными кабинета.

Дальше действуют два срока, о которых забывают чаще всего:

• сведения изменились — уведомление об изменении подаётся не позднее 15-го числа месяца, следующего за месяцем изменения (часть 7 статьи 22). Сменили адрес, ответственного или добавили цель обработки — это оно;
• обработка прекращена — уведомить нужно в течение десяти рабочих дней с даты прекращения (часть 7 статьи 22).

Короткий чек-лист

• Собрать реквизиты, цели, основания, сведения о базе данных и об ответственном — до открытия формы.
• Открыть форму на pd.rkn.gov.ru, сохранить ссылку на черновик при первом сохранении.
• Заполнять по разделам, адреса выбирать через справочник, по каждой цели указывать пять групп сведений.
• Проверить правовое основание: это не сам закон о персональных данных.
• Подписать и направить: Госуслуги, квалифицированная подпись или бумага.
• Через тридцать дней с даты поступления уведомления проверить запись в реестре (при бумажной подаче добавить время доставки) и поставить себе напоминание про изменения.