Уведомление в Роскомнадзор об обработке персональных данных: как подать

Если на сайте есть форма заявки, корзина или личный кабинет, вы обрабатываете персональные данные и должны сообщить об этом Роскомнадзору. Раньше многие небольшие компании пользовались исключениями и уведомление не подавали. Сейчас исключений почти не осталось, а реестр операторов открыт, и проверить, есть ли в нём ваше ИП, может любой. Разбираем, как подать уведомление своими силами и не наделать ошибок, из-за которых его придётся переподавать.

Кто обязан подавать уведомление

По умолчанию любой оператор персональных данных. Оператор это тот, кто определяет цели и состав обработки: ИП, ООО, самозанятый с сайтом. Не важно, сколько у вас заявок в месяц и есть ли сотрудники. Узкие исключения в законе остались, но обычный сайт с формой обратной связи, интернет-магазин или сервис записи под них, как правило, не попадают. Если сомневаетесь, безопаснее считать, что подавать нужно: уведомление бесплатное, а отсутствие в реестре при проверке трактуется не в вашу пользу.

Отдельный случай: вы обрабатываете данные по поручению другого оператора, например ведёте чужой сайт. Тогда оператором остаётся заказчик, а у вас должен быть договор с поручением на обработку. Это тоже стоит зафиксировать в документах.

Что подготовить до заполнения формы

Форма уведомления во многом повторяет вашу политику обработки персональных данных. Поэтому сначала должна быть готова политика, а потом уведомление. Если сделать наоборот, в двух документах окажутся разные цели и категории данных, и это первое, что заметят при сверке. Как написать политику, мы разобрали в отдельной статье.

• Реквизиты оператора: название, ИНН, ОГРН, адрес, контактная почта и телефон.
• Ответственный за организацию обработки: ФИО и контакты. У ИП это может быть сам предприниматель, но приказ о назначении всё равно оформляют.
• Цели обработки: ответ на заявку, заключение и исполнение договора, доставка, рассылка, аналитика сайта.
• Категории данных и субъектов: имя, телефон, почта, адрес; клиенты, посетители сайта, сотрудники, если ведёте кадровый учёт.
• Правовые основания: согласие, договор, нормы закона, которые вас обязывают хранить документы.
• Меры защиты: организационные и технические, из вашего внутреннего документа.
• Где хранится база: адрес и страна размещения серверов, для сайтов россиян это должна быть Россия.
• Трансграничная передача: если данные уходят за рубеж, это отдельная процедура, лучше её избегать.

Как подать: два способа

Уведомление подаётся в электронном виде через Госуслуги или через форму на портале Роскомнадзора. В обоих случаях потребуется подтверждённая учётная запись организации или ИП. Бумажный вариант тоже существует, но электронный проще: форма подсказывает обязательные поля и не даёт отправить пустые.

Срок подачи в законе привязан к началу обработки, поэтому правильная логика такая: сначала уведомление, потом запуск форм на сайте. Если сайт уже работает, подавайте как можно раньше, а не ждите «удобного момента».

Поля, на которых спотыкаются чаще всего

Цели обработки. Не пишите одну общую цель «ведение коммерческой деятельности». Роскомнадзор ожидает конкретики: обработка заявок с сайта, исполнение договора купли-продажи, доставка товара, направление рекламных сообщений с согласия, аналитика посещаемости. Каждой цели соответствует свой набор данных и своё основание.

Категории данных. Указывайте только то, что действительно собираете. Если в форме заказа есть имя, телефон и адрес, то так и пишите. Лишние категории вроде паспортных данных создают обязанности, которых вы не выполняете.

Меры защиты. Здесь описывают реальные вещи: доступ к CRM по паролям, защищённое соединение на сайте, назначенный ответственный, инструктаж сотрудников, резервные копии. Не копируйте формулировки для банков про сертифицированные средства защиты, если у вас их нет.

Место хранения. Укажите хостинг сайта и CRM. Если сайт у вас по подписке у нас, адрес размещения серверов мы даём готовым, хостинг российский.

Что делать после попадания в реестр

Уведомление не разовая бумага. Если меняется что-то существенное, например появляется новая цель обработки, новый сервис, куда уходят данные, другой ответственный или другой адрес хранения, оператор обязан подать уведомление об изменении сведений. Если обработку прекращаете совсем, например закрываете сайт и ИП, подаётся уведомление о прекращении.

Практический совет: заведите в регламентах компании пункт «при подключении нового сервиса проверить политику и уведомление». Тогда подключение чата, рассылки или новой доставки не превращается в нарушение, о котором вы узнаёте от проверяющего. У кого процессы не описаны, с этого обычно и начинается систематизация: один список сервисов, один ответственный, одна дата пересмотра.

Типичные ошибки

1. Уведомление подано, а политики на сайте нет или в ней другие цели.
2. Указан ответственный, который давно уволился.
3. В категориях данных перечислено всё подряд «на всякий случай».
4. Место хранения указано абстрактно, без реального хостинга.
5. Подключили новую CRM, а изменения в реестр не внесли.
6. Считают, что уведомление за них подал разработчик сайта. Разработчик может подготовить текст, но подаёт оператор.

Сколько это стоит

Сама подача бесплатна. Платят обычно за то, чтобы кто-то разобрался в полях, свёл их с политикой и внутренними документами и не допустил расхождений. У нас это часть юридической проверки сайта от 10 000 ₽: политика, согласия в формах, cookie-баннер, готовый текст уведомления и внутренние документы. Вы получаете заполненные формулировки и отправляете их из своей учётной записи. О том, чем грозит отсутствие в реестре, мы отдельно писали в статье о штрафах за персональные данные.

Коротко

• Сайт с формой заявки делает вас оператором, и уведомление нужно подавать по умолчанию.
• Сначала политика, потом уведомление: цели и категории данных должны совпадать.
• Подача электронная, бесплатная, через Госуслуги или портал Роскомнадзора.
• Пишите конкретные цели и только те данные, которые реально собираете.
• Изменения на сайте влекут изменение сведений в реестре, заведите на это правило.