Уведомление об обработке персональных данных — отдельная обязанность, не связанная с политикой на сайте. Разбираем, что говорит статья 22 и какие исключения в ней остались.
Коротко
- Уведомление подаётся до начала обработки.
- Большинство прежних исключений отменено.
- Сведения указываются по каждой цели.
- Об изменениях нужно уведомлять отдельно.
Когда возникает обязанность
Статья 22 часть 1: «Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи».
| Элемент нормы | Что из него следует |
|---|---|
| «До начала обработки» | Уведомление предшествует сбору |
| «О своём намерении» | Достаточно намерения обрабатывать |
| «За исключением случаев части 2» | Весь вопрос в перечне исключений |
Что осталось в перечне исключений
Главное изменение — в самой части 2. В тексте закона девять пунктов, и шесть из них помечены как утратившие силу по закону от 14.07.2022 № 266-ФЗ. Остались три: данные, включённые в государственные информационные системы, созданные в целях защиты безопасности государства и общественного порядка; случай, когда оператор «осуществляет деятельность по обработке персональных данных исключительно без использования средств автоматизации»; и случаи, предусмотренные законодательством о транспортной безопасности.
| Пункт части 2 | Состояние |
|---|---|
| Пункты 1–6 | Утратили силу в 2022 году |
| Пункт 7, государственные ИС безопасности | Действует |
| Пункт 8, без средств автоматизации | Действует |
| Пункт 9, транспортная безопасность | Действует |
Исключение про «исключительно без использования средств автоматизации» стоит прочитать внимательно. Слово «исключительно» означает, что сочетание бумажной картотеки с любой компьютерной обработкой под него не подходит. Применимо ли оно к вашей ситуации — правовой вывод, и его должен делать юрист.
Что входит в сведения
| Сведение | По части 3 |
|---|---|
| Наименование и адрес оператора | Указывается |
| Цель обработки | Указывается |
| Описание мер по статьям 18.1 и 19 | В том числе о шифровальных средствах |
| Ответственный за организацию обработки | С телефонами и адресами |
| Дата начала обработки | Указывается |
| Срок или условие прекращения | Указывается |
| Трансграничная передача | Наличие или отсутствие |
| Место нахождения базы данных | Для данных граждан России |
| Обеспечение безопасности | По требованиям Правительства |
Часть 3.1 добавляет разрез по целям: при предоставлении этих сведений оператор «для каждой цели обработки персональных данных указывает категории персональных данных, категории субъектов, персональные данные которых обрабатываются, правовое основание обработки персональных данных, перечень действий с персональными данными, способы обработки персональных данных». То есть уведомление опирается на те же цели, что и политика, — удобно готовить оба документа вместе. Про политику — в отдельной статье про политику обработки персональных данных.
Реестр операторов
| Норма | Содержание |
|---|---|
| Часть 4 | Тридцать дней на внесение сведений в реестр |
| Часть 4 | Реестр общедоступен, кроме сведений о средствах безопасности |
| Часть 5 | Расходы на оператора не возлагаются |
| Часть 6 | При неполных сведениях вправе требовать уточнения |
Общедоступность реестра — практическая деталь. Сведения, которые вы подаёте, становятся открытыми, за исключением сведений о средствах обеспечения безопасности персональных данных. Это стоит учитывать, выбирая, какие контактные данные ответственного указывать.
Уведомления об изменениях
Статья 22 часть 7 задаёт два разных срока: «В случае изменения сведений, указанных в части 3 настоящей статьи, оператор не позднее 15-го числа месяца, следующего за месяцем, в котором возникли такие изменения, обязан уведомить уполномоченный орган… обо всех произошедших за указанный период изменениях. В случае прекращения обработки персональных данных оператор обязан уведомить об этом уполномоченный орган… в течение десяти рабочих дней с даты прекращения обработки персональных данных».
| Событие | Срок |
|---|---|
| Изменились поданные сведения | Не позднее 15-го числа следующего месяца |
| Обработка прекращена | Десять рабочих дней |
| Исключение из реестра | Тридцать дней с даты поступления уведомления |
Первая строка означает, что обязанность возвращается при каждом изменении. Сменился ответственный, добавилась новая цель обработки, переехала база данных, появилась рассылка — сведения изменились. Это не однократное действие при запуске, а процесс, который стоит привязать к изменениям в компании.
Форма уведомления
Статья 22 часть 8: «Формы уведомлений, предусмотренных частями 1, 4.1 и 7 настоящей статьи, устанавливаются уполномоченным органом по защите прав субъектов персональных данных». То есть сам закон формы не содержит — они задаются уполномоченным органом, и за актуальной формой нужно идти к нему.
| Что следует из нормы | Практический вывод |
|---|---|
| Форму устанавливает орган | Шаблон из интернета может быть устаревшим |
| Подаётся на бумаге или электронно | Часть 3 допускает оба способа |
| Подписывается уполномоченным лицом | Указано в части 3 |
Поэтому в этой статье нет ни бланка, ни пошаговой инструкции по заполнению: форма задаётся не законом, а актом уполномоченного органа и может меняться. Разумный порядок — взять актуальную форму у органа, а состав сведений подготовить по части 3 и части 3.1, как описано выше. Общая картина обязанностей — в статье про персональные данные на сайте.
Частые вопросы
Когда нужно подавать уведомление об обработке персональных данных?
Статья 22 требует уведомить уполномоченный орган до начала обработки, кроме случаев, перечисленных в части 2 той же статьи.
Какие исключения из обязанности остались?
В части 2 действуют три пункта: государственные информационные системы защиты безопасности, обработка исключительно без средств автоматизации и случаи транспортной безопасности. Шесть других пунктов утратили силу в 2022 году.
Что указывается в уведомлении?
Наименование и адрес оператора, цель обработки, описание мер защиты, сведения об ответственном, дата начала и условие прекращения обработки, сведения о трансграничной передаче и месте нахождения базы данных.
Нужно ли уведомлять об изменениях?
Да. При изменении сведений — не позднее 15-го числа месяца, следующего за месяцем изменений; при прекращении обработки — в течение десяти рабочих дней.
Где взять форму уведомления?
Формы устанавливает уполномоченный орган, а не сам закон, поэтому за актуальной формой нужно обращаться к нему.
Сделаем сайт, который приносит заявки
Спроектируем структуру под запросы, соберём и запустим — с учётом SEO с первого дня.
Обсудить разработку
