Какая дата указывается при внесении в реестр операторов персональных данных

Какая дата указывается при внесении в реестр операторов персональных данных

Внесение сведений об Операторе в Реестр (уведомление об обработке ПД)

Об изменениях в законодательстве о персональных данных

С 1 сентября 2022 года вступают в силу изменения в закон «О персональных данных». Теперь операторы должны уведомлять Роскомнадзор о начале или осуществлении любой обработки персональных данных за исключением случаев, когда данные обрабатываются в целях защиты безопасности государства и общественного порядка, транспортной безопасности, или если оператор обрабатывает данные исключительно без средств автоматизации.

Формы уведомлений утверждены приказом Роскомнадзора от 28.10.2022 № 180 «Об утверждении форм уведомлений о намерении осуществлять обработку персональных данных, об изменении, содержащихся в уведомлении о намерении осуществлять обработку персональных данных, о прекращении обработки персональных данных». Оператор вправе заполнить форму уведомления об обработке персональных данных на Портале персональных данных Роскомнадзора или направить такое уведомление в адрес территориального управления по месту регистрации оператора на бумажном носителе по форме, утвержденной приказом Роскомнадзора от 28.10.2022 № 180.

На портале Роскомнадзора оператору предоставлена возможность сформировать и отправить уведомление в территориальный орган Роскомнадзора одним из следующих способов:

1. в бумажном виде;

2. в электронном виде с использованием усиленной квалифицированной электронной подписи;

3. в электронном виде с использованием средств аутентификации ЕСИА.

После вступления в силу приказа Роскомнадзора, устанавливающего новую форму уведомления, оператор может направить уведомление о внесении изменений в ранее представленные сведения в Реестр операторов, осуществляющих обработку персональных данных.

Предельный срок уведомления Роскомнадзора об обработке персональных данных не определен. Таким образом, 1 сентября 2022 не является крайним сроком подачи уведомления об обработке персональных данных.

Также закон внес изменения в правила трансграничной передачи персональных данных. Новый порядок будет применяться с 1 марта 2023 года, но операторов, которые уже сейчас передают данные за границу, закон обязал направить в Роскомнадзор уведомление о трансграничной передаче до этой даты через Портал персональных данных Роскомнадзора или в письменном виде.

Обращаем ваше внимание , что Вы можете заполнить электронную форму Уведомления об обработке (намерении осуществлять обработку) персональных данных на Портале персональных данных уполномоченного органа по защите прав субъектов персональных данных ( https://pd.rkn.gov.ru/operators-registry/notification/ ).

Время публикации: 11.03.2010 14:25
Последнее изменение: 05.04.2023 16:57

Какая дата указывается при внесении в реестр операторов персональных данных

Внесение сведений об Операторе в Реестр

53. Основанием для рассмотрения вопроса о внесении сведений об Операторе в Реестр является направление Оператором Уведомления непосредственно в Роскомнадзор (территориальный орган Роскомнадзора) или поступление Уведомления в ЕИС с Единого портала с присвоением ему входящего номера.

54. Уведомление должно содержать следующие сведения:

54.1. Наименование (фамилия, имя, отчество), адрес Оператора.

54.2. Цель обработки персональных данных.

54.3. Категории персональных данных.

54.4. Категории субъектов, персональные данные которых обрабатываются.

54.5. Правовое основание обработки персональных данных.

54.6. Перечень действий с персональными данными, общее описание используемых Оператором способов обработки персональных данных.

54.7. Описание мер, предусмотренных статьями 18.1 и 19 Федерального закона, в том числе сведения о наличии шифровальных (криптографических) средств и наименования этих средств.

54.8. Фамилия, имя, отчество физического лица или наименование юридического лица, ответственных за организацию обработки персональных данных, и номера их контактных телефонов, почтовые адреса и адреса электронной почты.

54.9. Сведения о наличии или об отсутствии трансграничной передачи персональных данных в процессе их обработки.

54.9.1. Сведения о месте нахождения базы данных информации, содержащей персональные данные граждан Российской Федерации.

(п. 54.9.1 введен Приказом Минкомсвязи России от 28.08.2015 N 315)

54.10. Сведения об обеспечении безопасности персональных данных в соответствии с требованиями к защите персональных данных, установленными Правительством Российской Федерации.

54.11. Дату начала обработки персональных данных.

54.12. Срок или условие прекращения обработки персональных данных.

55. При поступлении Уведомления на бумажном носителе сотрудник Роскомнадзора (территориального органа Роскомнадзора), ответственный за делопроизводство, проводит регистрацию Уведомления и направляет его заместителю руководителя Роскомнадзора (руководителю территориального органа Роскомнадзора) для определения ответственного исполнителя или принятия решения об отказе о внесении сведений об Операторе в Реестр, в случае предоставления неполных или недостоверных сведений.

56. Сотрудник Роскомнадзора (территориального органа Роскомнадзора), ответственный за работу в области персональных данных, вносит Уведомление в подсистему «Персональные данные» ЕИС в срок не позднее дня, следующего за днем его регистрации.

57. Сотрудник Роскомнадзора (территориального органа Роскомнадзора), ответственный за работу в области персональных данных, не позднее 5 дней с момента присвоения Уведомлению регистрационного номера рассматривает его и при соответствии требованиям части 3 статьи 22 Федерального закона переводит Уведомление в статус «На включение в приказ» для включения в проект приказа о внесении сведений об Операторе в Реестр.

58. В случае предоставления Оператором неполных или недостоверных сведений, предусмотренных частью 3 статьи 22 Федерального закона, сотрудник Роскомнадзора (территориального органа Роскомнадзора) направляет Оператору письмо с уведомлением о его вручении, содержащее запрос с указанием перечня недостающих сведений для внесения в Реестр. После подписания письма и присвоения ему регистрационного номера файл со сканированным письмом вносится в ЕИС в срок не позднее дня, следующего за днем его регистрации.

59. Оператор обязан сообщить в территориальный орган Роскомнадзора по его запросу уточненные сведения, необходимые для осуществления деятельности указанного органа, в течение 30 дней с даты получения такого запроса.

60. После получения от Оператора уточненных сведений, соответствующих требованиям части 3 статьи 22 Федерального закона, сотрудник Роскомнадзора (территориального органа Роскомнадзора), ответственный за работу в области персональных данных, вносит уточненные сведения в ЕИС и переводит Уведомление в статус «На включение в приказ» для включения в проект приказа о внесении сведений об Операторе в Реестр.

61. Если в течение 30 дней с даты получения запроса Оператор не представил уточненные сведения, то по истечении указанного срока Уведомление с неполными или недостоверными сведениями возвращается Оператору без внесения сведений о нем в Реестр.

62. При поступлении Уведомления от Оператора с Единого портала в ЕИС сотрудник Роскомнадзора (территориального органа Роскомнадзора), ответственный за работу в области персональных данных, проверяет Уведомление в подсистеме «Персональные данные» ЕИС на соответствие предоставленных сведений требованиям Федерального закона.

63. Уведомлению, соответствующему требованиям Федерального закона, присваивается регистрационный номер в срок не позднее дня, следующего за днем его поступления, при этом на странице личного кабинета на Едином портале Оператор получает сообщение об изменении статуса Уведомления.

64. Сотрудник Роскомнадзора (территориального органа Роскомнадзора), ответственный за работу в области персональных данных, не позднее 5 дней с момента присвоения Уведомлению регистрационного номера рассматривает его и, при соответствии требованиям части 3 статьи 22 Федерального закона, переводит в статус «На включение в приказ» для включения в проект приказа о внесении сведений об Операторе в Реестр. На странице личного кабинета на Едином портале Оператор получает сообщение об изменении статуса Уведомления.

65. В случае предоставления Оператором Уведомления с неполными или недостоверными сведениями сотрудник Роскомнадзора по согласованию с начальником отдела ведения реестра операторов, осуществляющих обработку персональных данных (территориального органа Роскомнадзора по согласованию с начальником отдела, на которого возложены функции защиты прав субъектов персональных данных), информирует Оператора о перечне недостающих сведений до их внесения в Реестр. Информирование происходит путем изменения статуса Уведомления на странице личного кабинета Единого портала и по электронной почте.

66. Оператор обязан представить новое Уведомление в электронной форме в течение 30 дней с даты получения извещения о необходимости доработки ранее представленного Уведомления.

67. После получения от Оператора нового Уведомления, соответствующего требованиям Федерального закона, ему присваивается регистрационный номер в срок не позднее дня, следующего за днем его поступления. Не позднее 5 дней с момента присвоения Уведомлению регистрационного номера сотрудник Роскомнадзора (территориального органа Роскомнадзора) рассматривает его и переводит в статус «На включение в приказ» для включения в проект приказа о внесении сведений об Операторе в Реестр. На Едином портале Оператор получает сообщение об изменении статуса Уведомления.

68. Сотрудник Роскомнадзора (территориального органа Роскомнадзора) в срок, не превышающий 5 дней с момента перевода Уведомления в статус «На включение в приказ», готовит проект приказа о внесении сведений об Операторе в Реестр.

69. В течение 5 дней с момента подготовки проекта приказа о внесении сведений об Операторе в Реестр руководитель Роскомнадзора (руководитель территориального органа Роскомнадзора) издает приказ о внесении сведений об Операторе в Реестр. На основании данного приказа в Реестр вносится запись об Операторе. Указанной записи присваивается регистрационный номер.

70. Информация о внесении сведений об Операторе в Реестр размещается на официальном сайте Роскомнадзора в срок не позднее 3 дней с даты подписания приказа о внесении сведений об Операторе в Реестр.

Блок-схемы административной процедуры внесения сведений об Операторе в Реестр представлены в приложении N 6 к Административному регламенту.

Что нужно знать о новых правилах обработки персональных данных

Роскомнадзор разрешил отправлять уведомления о начале обработки персональных данных, не ограничивая компании предельным сроком, которым прежде считалось 1 сентября 2022 года. Эксперт Контур.Бухгалтерии Татьяна Евдокимова поясняет, какое уведомление нужно подать в ведомство, когда придется отправить дополнительно информационное письмо и что изменилось для компаний в работе с персональными данными.

Почему изменились требования к обработке персданных

Утечки информации о личных данных граждан участились в последние годы, и государство намерено тщательнее следить за обработкой и защитой таких сведений. Для этого разработаны новые правила, утвержденные Федеральным законом от 14.07.2022 г. № 266-ФЗ.

Что изменилось для работодателей

О начале обработки персональных данных сообщают все операторы — государственные или муниципальные органы, юридический или физические лица, которые собирают и обрабатывают персданные. Все они числятся в специальном открытом реестре операторов на сайте Роскомнадзора.

С 1 сентября 2022 из закона «О персональных данных» исключили шесть случаев, когда компании могли не уведомлять Роскомнадзор о скорой обработке данных (ст. 22 Федерального закона от 27.07.2006 № 152-ФЗ), и норма стала строже. Теперь большему числу работодателей нужно отчитаться перед ведомством. Это касается компаний, которые обрабатывают персданные сотрудников, подрядчиков на договорах ГПХ, клиентов компании, посетителей и других лиц, которые сообщают свои фамилию, имя и отчество.

От подачи уведомления компания освобождается только в таких ситуациях:

если персональные данные включены в государственные защищенные информсистемы;

если оператор собирает персональные данные строго без средств автоматизации: например, записывает в тетрадь от руки (бухгалтерская программа или таблицы Excel на компьютере — это уже средства автоматизации);

если данные обрабатывают в целях устойчивой и безопасной работы транспорта, защиты интересов личности, общества и государства в сфере транспорта согласно законам РФ.

Кто должен отправить уведомление в Роскомнадзор

Прежде всего работодателю нужно проверить, есть ли его компания в реестре Роскомнадзора. Это можно сделать на сайте ведомства в разделе «Реестр операторов». Для поиска достаточно ввести ИНН или ОГРН компании. Если организация числится в реестре, отправлять уведомление не нужно.

Если компании или ИП нет в реестре, нужно подать уведомление о начале работы с персданными. В течение месяца после получения уведомления Роскомнадзор добавит организацию или ИП в реестр операторов. При отправке письма в бумажном виде отсчет идет с даты его получения территориальным отделением.

В какие сроки и по какой форме подать уведомление

Сейчас уведомить о сборе персданных можно через форму, утвержденную приказом Роскомнадзора от 30.05.2017 № 94, в тексте приказа есть и порядок заполнения формы. Перечень сведений, которые нужно указать в уведомлении, приведен в ч. 3 ст. 22 Федерального закона от 27.07.2006 № 152-ФЗ.

В ведомстве предупредили, что скоро будут утверждены новые формы, но до этого оператор вправе воспользоваться текущей формой (Информация Роскомнадзора от 01.09.2022).

Составить и отправить уведомление нужно в местное отделение Роскомнадзора одним из способов:

на бумаге заказным письмом через Почту России;

в электронном виде через сайт Роскомнадзора — понадобится сертификат КЭП;

в электронном виде через ЕСИА.

В текущей форме уведомления нет некоторых полей, которые появятся в новой форме документа согласно частям 3 и 3.1 ст. 22 Федерального закона от 27.07.2006 № 152-ФЗ. А значит после утверждения новой формы работодателям придется передать уведомление о внесении изменений в ранее внесенные сведения: отдельно указать категории персданных, которые запрашиваете, а еще для каждой цели обработки данных указать категории персданных и категории лиц, которым принадлежат эти данные, и пояснить, что вы делаете с этими данными и на каком правовом основании.

Роскомнадзор сообщил, что предельный срок для отправки уведомления не назван и 1 сентября 2022 — не крайний срок (Информация Роскомнадзора от 01.09.2022). Вероятно, при такой трактовке ведомство не будет штрафовать тех, кто задержался с подачей уведомления. Но все же рекомендуем не откладывать эту задачу и воспользоваться текущей формой уведомления, а после утверждения новой внести дополнения в ранее переданные сведения.

В уведомлении нужно указать дату, с которой оператор начали обработку персданных. Специалисты Роскомнадзора разъяснили, что такой датой считается день государственной регистрации компании или ИП (информация пресс-службы Роскомнадзора от 25.08.2022).

Какие сведения еще нужно передавать

Уведомление подают один раз, не перечисляя в нем сотрудников, поэтому при найме новых работников или получении персданных от новых клиентов не придется отправлять новые уведомления.

В некоторых случаях оператор должен передать дополнительные сведения:

при изменении в составе собираемых персональных данных: например, вы начали спрашивать сотрудников об их семейном положении, хотя раньше этого не делали — передайте по форме письма о внесении изменений в сведения (утверждено приказом Роскомнадзора от 30.05.2017 № 94);

при смене сотрудника, ответственного за обработку персданных — передайте по форме актуального уведомления;

при прекращении обработки персданных: например, закрытии компании — передайте по форме заявления о прекращении обработки данных (утверждено приказом Роскомнадзора от 30.05.2017 № 94).

Сообщить об этих изменениях нужно в течение 10 рабочих дней (ч. 7 ст. 22 Федерального закона от 27.07.2006 № 152-ФЗ).

Также компании обязаны отвечать на запросы сотрудников и Роскомнадзора о том, какие персданные они собирают. На ответ теперь дается 10 рабочих дней, а не 30, как прежде (ст. 20 Федерального закона от 27.07.2006 № 152-ФЗ).

А еще для лучшей защиты данных операторы должны взаимодействовать с ФСБ и подключиться к ГосСОПКА — системе предотвращения кибератак на российские информресурсы. Если происходит утечка персданных, оператор должен в течение суток уведомить об этом ГосСОПКА и назвать возможные причины, а в течение трех суток подготовить отчет о причинах и причастных лицах. Как именно подключаться к ресурсу ФСБ и что еще потребуется от оператора, определено в п. 12 ст. 19 Федерального закона от 27.07.2006 № 152-ФЗ.

Что стоит проверить в персональных данных

Закон разрешает работодателям обрабатывать персданные только в некоторых целях. Это связано с такими ситуациями:

заполнение трудового договора, передача сведений в контролирующие органы;

содействие карьерному росту и обучению сотрудников;

забота о личной безопасности сотрудников;

контроль объемов и качества выполняемой работы;

сохранность имущества предприятия.

Если личные данные не связаны с этими целями, работодатель не вправе их запрашивать, даже если сотрудник не возражает. Также нельзя обрабатывать данные из особых категорий: о расовой или национальной принадлежности, религиозных и политических убеждений, личной жизни и состояния здоровья, членстве в общественных организациях.

У всех лиц, от которых вы получили персданные, нужно взять согласие на их обработку. В согласии указывают цель сбора данных — ясно и без размытых формулировок.

Итак, прежде всего, важно проверить, числится ли компания в реестре операторов на сайте Роскомнадзора. Если нет — подать уведомление о начале сбора и обработки персональных данных по текущей форме, в качестве даты начала обработки указать дату регистрации компании или ИП. Когда ведомство утвердит новую форму уведомления, стоит воспользоваться ею для отправки дополнительных сведений, которые не удалось указать в первый раз. Затем подключиться к ГосСОПКА и вовремя уведомлять ведомства об изменениях в обработке данных и утечках.

Регистрация в реестре операторов персональных данных Роскомнадзора

Закон вступил в силу 7 июня 2006 года и требует, чтобы каждый оператор уведомил Роскомнадзор о намерении обрабатывать персональные данные до начала их обработки. Сам порядок уведомления и перечень сведений, которые оператор должен сообщить в Роскомнадзор, указаны в статье 22 закона.

В теории все просто: уведомление подается на бумажном носителе или в электронной форме за подписью руководителя организации. Роскомнадзор рассматривает уведомление в течение 30 дней и принимает решение о регистрации оператора в реестре. Если сведения в уведомлении не соответствуют требованиям закона, то оператор получает отказ с правом повторной регистрации. Сведения, содержащиеся в реестре операторов, за исключением сведений об обеспечении безопасности персональных данных, являются общедоступными.

Но на практике все сложнее. Чтобы правильно зарегистрироваться в реестре операторов персональных данных, необходимо сначала выполнить требования: осуществить правовую и техническую подготовку организации в соответствии со статьями 18.1 и 19 закона. А это требует немало времени и средства.

Камни преткновения

Как правило, операторы персональных данных сталкиваются с тремя основными проблемами при регистрации в реестре Роскомнадзора:

1. Не знают, как заполнить уведомление: пишут, как думают (отсебятину), или, еще хуже, копируют уведомление у других операторов. В итоге они получают отказ в регистрации. Или все же попадают в реестр, но еще и на штрафные санкции, так как сведения в реестре получаются не соответствующими действительности.
2. Не знают, как заполнить уведомление, не проведя сначала полноценную подготовку по 152-ФЗ и не имея практики прохождения проверки Роскомнадзора.
3. Составляют уведомление без конкретики, описывая применяемые меры защиты, цели обработки, правовое основание обработки персональных данных общими словами, без ссылок на конкретные внутренние организационно-распорядительные документы организации, нормы законов и без указания конкретных мер защиты.

Что делать, если вы уже обрабатываете персональные данные?

Если вы уже обрабатываете персональные данные и не знаете как сейчас поступить по поводу регистрации в реестре операторов персональных данных, то следуйте такому плану:

1. Соберите сведения по обработке и предпринимаемых мерах по защите персональных данных (см. перечень сведений ниже).
2. Как можно скорее подготовьте и подайте уведомление об обработке персональных данных в Роскомнадзор.
3. Выполните подготовку по всем требованиям 152-ФЗ с учетом указанных вами в уведомлении сведений (смотрите информацию по ссылке — подготовка по 152-ФЗ).
4. Произведите корректировку сведений в реестре Роскомнадзора по результатам подготовки по 152-ФЗ путем подачи извещения об изменениях (при необходимости).

Как зарегистрироваться в реестре Роскомнадзора?

Зарегистрироваться в реестре можно двумя способами: в электронной или бумажной форме.

Для регистрации в бумажной форме нужно скачать и заполнить проект уведомления или заполнить форму на сайте Роскомнадзора: https://rkn.gov.ru/personal-data/register/

Затем документ нужно распечатать, утвердить руководителем организации и отправить заказным письмом с уведомлением в адрес Роскомнадзора: 109074, г.Москва, Китайгородский пр., д.7, стр.2.

Лайфхак по успешной регистрации в реестре Роскомнадзора

Если сроки горят, и нужно зарегистрироваться в реестре с первого раза, то необходимо следовать рекомендациям:

1. Заполняйте уведомление максимально подробно и точно, ссылаясь на реальные и действующие нормы закона, а также внутренние организационно-распорядительные документы.
2. Если у вас система защиты персональных данных еще не готова, то нужно писать так, как будто она реализована полностью, с указанием конкретных подсистем и средств защиты (антивирусная подсистема, подсистема обнаружения вторжений, подсистема криптографической защиты, подсистема анализа защищенности, подсистема защиты от несанкционированного доступа и др.).
3. Если вы подаете уведомление с целью регистрации в реестре как оператор персональных данных «клиентов», то не забудьте указать, что вы обрабатываете и персональные данные сотрудников, так как они есть в любой организации. Это обязательно!
4. При описании правового основания обработки персональных данных нельзя ссылаться только на 152-ФЗ, так как закон описывает требования к обработке и защите персональных данных, но не описывает правовые основания обработки для тех или иных типов организаций.
5. При описании правового основания обработки не забудьте базовые документы, которые нужно указывать любому оператору: Конституция РФ, Трудовой кодекс РФ, Гражданский кодекс РФ.

Регистрация в реестре Роскомнадзора: цена вопроса

Госпошлина за внесение в реестр Роскомнадзора не взимается. Оператор может подать уведомление самостоятельно или обратиться за помощью к компетентной организации, которая не только подготовит уведомление, но и поможет выполнить подготовку по требованиям закона.

Помощь коммерческих организаций в регистрации в реестре стоит от 10 до 50 тысяч рублей, а с предоставлением базового набора организационно-распорядительной документации — от 50 до 150 тысяч рублей.

Какие сведения указываются в уведомлении?

В уведомлении указываются следующие сведения:

• наименование (фамилия, имя, отчество), адрес оператора;
• цель обработки персональных данных;
• категории персональных данных;
• категории субъектов, персональные данные которых обрабатываются;
• правовое основание обработки;
• перечень действий с персональными данными, описание используемых способов обработки персональных данных;
• описание реализации мер, предусмотренных статьями 18.1 и 19 закона;
• фамилия, имя, отчество лица ответственного за организацию обработки персональных данных;
• дата начала обработки персональных данных;
• срок или условие прекращения обработки персональных данных;
• сведения о наличии или об отсутствии трансграничной передачи персональных данных;
• сведения о месте нахождения базы данных;
• сведения об обеспечении безопасности персональных данных.

Что предлагаем мы?

Мы занесем вашу организацию в реестр операторов персональных данных и предоставим типовой набор организационно-распорядительной документации, необходимый для соответствия требованиям ФЗ-152 и прохождения проверки Роскомнадзора, за 45 тысяч рублей с гарантией по договору.