Топ-10 ошибок при подаче заявления в реестр операторов персональных данных
В связи с недавним увеличением штрафов при нарушении законодательства о персональных данных (ПДн), для многих компаний, индивидуальных предпринимателей и прочих представителей бизнеса, вопрос соблюдения законодательства о ПДн стал весьма актуален.
Одной из главных обязанностей практически любого лица, осуществляющего обработку персональных данных, является регистрация в Реестре операторов персональных данных Роскомнадзора. Пройти такую регистрацию можно путем подачи соответствующего уведомления на официальном сайте Роскомнадзора.
Неуведомление Роскомнадзора, согласно п. 10 ст. 13.11 КоАП РФ, может повлечь наложение административного штрафа:
- на граждан в размере от 5 000 до 10 000 рублей;
- на должностных лиц - от 30 000 до 50 000 рублей;
- на юридических лиц - от 100 000 до 300 000 рублей.
При этом согласно п.1 ст.22 ФЗ 152 «О персональных данных» (далее «ФЗ-152») подать в Роскомнадзор уведомление о намерении осуществлять обработку ПДн необходимо еще до начала фактической обработки персональных данных.
При изучении формы заявления становится очевидно, что до подачи уведомления в Роскомнадзор потенциальному оператору необходимо совершить ряд подготовительных действий. Также некоторые термины в заявлении могут вызвать вопросы, а по некоторым не ясен объем информации, который необходимо отразить.
В данной статье мы разберем основные ошибки, которые допускают компании и индивидуальные предприниматели при самостоятельной подаче уведомления в Роскомнадзор.
1. Ошибка №1 - Отсутствие подготовительных мероприятий
Законодательство о персональных данных накладывает на оператора ряд обязательных для применения мер, предварительно не выполнив которые, вы не сможете правильно и достоверно заполнить уведомление. Указанные меры, в первую очередь, касаются компаний, которые в обязательном порядке должны:
- назначить лицо, ответственное за обработку ПДн;
- принять внутренние локальные акты, регламентирующие вопросы обработки ПДн и ознакомить с ними сотрудников;
- разместить политику конфиденциальности на сайтах, с использованием которых собираются персональные данные;
- провести оценку вреда, который может быть причинен субъектам в случае нарушения законодательства о персональных данных;
- и др.
Более подробно с перечнем мер, которые обязан принимать оператор, можно ознакомиться в ст. 18.1 и ст. 19 ФЗ-152. Применяемые меры непосредственно отражаются в форме уведомления в Роскомнадзор и обязательны к заполнению.
Ошибкой является копирование мер из указанных статей или образцов Роскомнадзора, без их фактического принятия.
Впоследствии, при проведении проверок Роскомнадзор запросит у вас соответствующие локальные акты, документы по оценке вреда, проверит ваш сайт и пр. В связи с чем, простым декларированием применения мер вы не обойдетесь. Также учитывая повсеместное использование ЭДО, ознакомить сотрудников «задним числом» с данными документами уже не выйдет.
Рекомендация: перед тем как подавать уведомление в Роскомнадзор проведите ревизию локальных актов, проверьте, все ли необходимые меры вами исполняются. Если нет, то примите незамедлительные действия по устранению недочетов, чтобы в уведомлении в Роскомнадзор вами предоставлялась полная и достоверная информация о применяемых мерах.
2. Ошибка №2 - Отсутствие локализации баз данных в России
По общему правилу, при сборе персональных данных, в т.ч. посредством сети Интернет, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан РФ с использованием баз данных, находящихся за пределами территории РФ, не допускаются (ч. 5 ст. 18 ФЗ «О персональных данных»).
Таким образом, базы данных с персональными данными граждан РФ должны быть локализованы в России. Невыполнение данной обязанности влечет существенные административные последствия в виде штрафа:
- на граждан в размере от 30 000 до 50 000 рублей;
- на должностных лиц - от 100 000 до 200 000 рублей;
- на юридических лиц - от 1 млн до 6 млн рублей.
Один из пунктов уведомления как раз предусматривает указание сведений о местонахождении баз данных, содержащих персональные данные граждан РФ. В уведомлении вам необходимо будет указать адрес ЦОД (специально оборудованного здания/помещения с серверами, на которых хранятся соответствующие базы данных), а также, если это не ваш собственный ЦОД, то указать ответственное за хранение лицо и привести о нем информацию.
Зачастую, для кадрового и бухгалтерского учета используются облачные сервисы 1С, для ведения баз данных, с персональными данными клиентов – различные облачные CRM-системы. В таких случаях используются сторонние ЦОД. При этом непосредственно в самих договорах/публичных офертах на аренду ЦОД, как правило, информация об адресе отсутствует. Узнать его можно по запросу в соответствующей организации, либо на ее сайте.
Привести сведения о местонахождении нужно в отношении всех баз, с персональными данными граждан РФ. Если баз данных несколько (а в большинстве случаев так оно и есть), то информация о местонахождении приводится по каждой такой базе отдельно.
Например, персональные данные с сайта оператора также собираются в отдельную базу данных, которая может располагаться как на собственных серверах, по адресу компании-оператора, либо же на сторонних – арендуемых.
При проведении проверок, в случае спора, обязанность доказать местонахождение таких баз данных на территории России ложится на оператора, поэтому следует иметь документальное подтверждение расположения/аренды ЦОД по соответствующему адресу.
3. Ошибка №3 - Неполное или некорректное заполнение данных об операторе
Например, в поле с полным наименованием указывается сокращенное наименование компании. Либо адрес компании не совпадает с тем, что указан в ЕГРЮЛ.
Указание неактуального телефона, адреса электронной почты и/или почтового адреса оператора также может впоследствии привести к невозможности оперативной коммуникации с Роскомнадзором (неполучение или несвоевременное получение писем, запросов, уведомлений и, как следствие, невозможность в установленный срок ответить на них и/или принять соответствующие меры для защиты своих интересов).
Рекомендации: перед подачей уведомления скачайте выписку из ЕГРЮЛ и сверьте наименование и адрес.
4. Ошибка №4 - Неправильное заполнение поля «Цели обработки персональных данных»
Нередко те, кто сталкиваются с формой впервые, как правило, ограничиваются одной целью по типу «обеспечение соблюдения трудового законодательства РФ» (т.е. ограничиваются указанием на обработку ПДн работников), либо же формулируют общую цель, включая в нее все направления и каналы обработки ПДн разом, например: «оказание услуг, осуществление уставной деятельности, ведение кадрового учета, заключение договоров с контрагентами».
И тот, и другой вариант ошибочны. Необходимо указывать цели (1) по всем каналам обработки ПДн, т.е. не только работников, но и контрагентов, клиентов, пользователей и др., (2) необходимо указывать каждую цель отдельно, поскольку перечень персональных данных, категории субъектов (работники, контрагенты и пр.), способы, основания обработки и прочие сведения будут различаться.
Так, на сайте оператора у пользователей могут собираться только ФИО и адрес электронной почты (и этого будет достаточно для взаимодействия сторон), в то время как по работнику оператор-работодатель должен иметь значительно более подробную персональную информацию, включая паспортные данные, ИНН, СНИЛС, адрес, сведения о трудовой деятельности и пр. В связи с чем, указывать их вместе недопустимо, поскольку создается представление о сборе ПДн в избыточном объеме для некоторых целей.
5. Ошибка №5 - Отсутствие конкретизации при перечислении категорий персональных данных
Различают такие категории персональных данных как:
- общие (например: ФИО, адрес, дата, место рождения, номер телефона),
- специальные (о состоянии здоровья, национальной принадлежности, политических взглядах, религиозных или философских убеждениях, судимости),
- биометрические (сведения, которые характеризуют физиологические особенности человека и на основе которых можно установить его личность, например, изображения отпечатка пальца, изображения лица, данные голоса),
- иные (не охватываемые категориями, перечисленными выше).
Стоит отметить, что по общему правилу, оператор-работодатель не осуществляет обработку специальных категорий ПДн (ст. 86 Трудового кодекса РФ). Также для обработки биометрических данных потребуется получить у субъекта отдельное согласие, а сам оператор должен пройти государственную аккредитацию, регистрировать все полученные биометрические ПДн в Единой биометрической системе и выполнить ряд иных требований (ст. 17 ФЗ №572).
В большинстве организаций, категории персональных данных ограничены общими и иными. В Уведомлении необходимо выбрать и указать данные по соответствующим категориям.
При заполнении уведомления распространенной ошибкой является указание фраз типа «и пр.», «и др.», «и т.п.», «другая информация». В таком случае отсутствует конкретизация.
Перечень персональных данных должен быть полным и исчерпывающим.
Также является ошибкой перечисление вместо данных самих документов, например: паспорт, водительские права, военный билет, диплом об образовании и т.п. Это материальные носители персональных данных, а не сами данные. Сами персональные данные могут указываться, например, следующим образом: данные документа, удостоверяющего личность; данные водительского удостоверения; отношение к воинской обязанности, сведения о воинском учете; сведения об образовании.
6. Ошибка № 6 - Ошибки в заполнении поля «Перечень действий» с персональными данными
В п. 3 ст. 3 ФЗ «О персональных данных» перечислены возможные действия с персональными данными, к которым относятся: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.
Зачастую, операторы просто указывают все возможные действия, хотя фактически осуществляют лишь часть из них.
Также напомним, что согласие на обработку ПДн, разрешенных субъектом для распространения, оформляется отдельно от иных согласий (ст. 10.1 ФЗ-152). Соответственно, если распространение указано в перечне действий, подразумевается, что у вас должно быть оформлено отдельное согласие от субъекта на это.
Резюме: перечень действий указывается для каждой цели обработки ПДн и должен содержать лишь те действия, которые совершаются с данными ПДн именно в рамках указанной цели.
7. Ошибка №7 - Неверное указание способов обработки и порядка передачи персональных данных
Как правило, ошибки в способах обработки и порядке передачи персональных данных вызваны непониманием терминологии:
Автоматизированная обработка – та, что осуществляется с помощью средств вычислительной техники (п. 4 ст. 3 ФЗ «О персональных данных»).
Неавтоматизированная обработка – осуществляется без использования таковых средств (т.е. на материальных носителях, на бумаге).
Смешанная обработка – когда вы задействуете оба способа (наиболее распространенный способ обработки).
Автоматизированная и смешанная обработка также могут происходить с передачей полученной информации по сети или без таковой. В уведомлении выделяются два типа сети: внутренняя сеть юридического лица (так называемый «интранет») и сеть Интернет.
Указать способы обработки и порядок передачи полученных ПДн нужно по каждой цели. Так, например, зачастую передача ПДн сотрудников и контрагентов в рамках кадрового и бухгалтерского учета, осуществляется в различные государственные организации по сети Интернет, а сама обработка является смешанной (т.е. осуществляется как с использованием компьютеров, так и на бумаге).
8. Ошибка №8 - Указание на трансграничную передачу персональных данных без подачи отдельного уведомления в Роскомнадзор
Под трансграничной передачей персональных данных понимается передача ПДн на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу (пп.11 ст.3 ФЗ-152). При этом под передачей закон понимает только распространение, предоставление или доступа к ПДн. То есть речь идет о том, что получатель ПДн будет далее осуществлять их обработку. С учетом этого хранение ПДн на оборудовании или в информационной сети за рубежом не всегда можно признать трансграничной передачей.
До начала трансграничной передачи необходимо уведомить Роскомнадзор, а также принять ряд иных мер, указанных в ч. 3 ст. 12 ФЗ 152.
При этом уведомление о намерении осуществлять трансграничную передачу подается отдельно от рассматриваемого уведомления о намерении осуществлять обработку ПДн, в результате которого осуществляется включение в реестр операторов ПДн, и должно ему предшествовать.
С учетом текущей ситуации в мире и особой обеспокоенностью вопросом возможной утечки персональных данных граждан РФ за пределы России, следует ожидать повышенного внимания к операторам, осуществляющим трансграничную передачу ПДн.
В связи с чем, к проставлению отметки «осуществляется» в данном пункте уведомления следует подходить с особой серьезностью, предварительно оценив, действительно ли вы осуществляете трансграничную передачу, а также предприняли ли вы все требуемые от вас действия.
9. Ошибка №9 - Неправильное определение даты начала и окончания обработки персональных данных
Типичные ошибки – неуказание даты, указание только года, а также неверное определение даты в целом.
В поле «Дата начала обработки персональных данных» необходимо указать конкретную фактическую дату (в формате число, месяц, год) начала совершения действий с персональными данными. Как правило, указанная дата совпадает с датой регистрации компании-оператора, т.к. с этого дня обрабатываются данные работника – директора компании.
Также необходимо заполнить сведения о дате или основании (условии), при наступлении которого прекращается обработка ПДн, например: ликвидация юридического лица, прекращение деятельности индивидуальным предпринимателем, аннулирование лицензии на осуществление соответствующего вида деятельности. Основания (условия) также должны быть сформулированы исчерпывающим образом.
10. Ошибка №10 - Оформление уведомления не на фирменном бланке или подписание неуполномоченным лицом
Подать уведомление можно как на бумаге, так и в электронной форме (через Госуслуги или на сайте Роскомнадзора, подписав УКЭП).
В случае оформления на бумаге, само уведомление формируется на сайте Роскомнадзора, потом его необходимо распечатать на фирменном бланке, подписать уполномоченным лицом (и поставить печать, если используется), зарегистрировать письмо в журнале исходящих документов (если таковой ведется) и направить в соответствующее территориальное подразделение Роскомнадзора.
Распространенной ошибкой в таком случае является подписание неуполномоченным лицом, например, кадровиком или секретарем, и без оформления и приложения соответствующей доверенности.
Такое уведомление принято не будет и придется заполнять и подавать уведомление заново.
Аналогично, в случае электронной подачи, нельзя использовать личную учетную запись кадровика, бухгалтера, учредителя или даже директора, подавать уведомление следует через учетную запись самой компании на Госуслугах.
Юридическая компания АйТи-Лекс, 2025
