Кто обязан подавать уведомление в Роскомнадзор
Регистрация в Роскомнадзоре обязательна для всех юридических лиц, обрабатывающих персональные данные: организаций, ИП, самозанятых и юридических лиц без наемных сотрудников (например, только с директором) и даже если работодатель обрабатывает только данные своих сотрудников или соискателей.
Исключение составляют те случаи, когда вся обработка ведется на бумаге без применения любых средств автоматизации.
Форма уведомления официально утверждена приказом Роскомнадзора №180 от 28 октября 2022 года.
Процедура выполнения требований РКН
- Разработать и утвердить Политику обработки персональных данных.
- Принять локальные акты и иные внутренние документы.
- Сформировать и подать уведомление о начале обработки персональных данных в Роскомнадзор.
- Пройти регистрацию.
- Организовать систему постоянного контроля актуальности внедренных документов и соответствия всем требованиям.
- Обеспечить обучение сотрудников требованиям по работе с персональными данными — в каждом подразделении (бухгалтерия, кадры, ИТ, маркетинг и т.д.).
Важно: первым шагом является не отправка уведомления в Роскомнадзор. Оно подается последним, когда уже подготовлен и утвержден пакет соответствующих документов: локальные нормативные акты, журналы, приказы по работе с персональными данными. В зависимости от специфики компании в этот пакет могут входить от 30 до 60 документов.
Какие документы размещать на сайте, чтобы успешно пройти проверку РКН
На сайте должна быть опубликована актуальная политика по обработке персональных данных и конфиденциальности, все формы на нем обязаны содержать корректные согласия пользователей. Также необходимо информировать посетителей о наличии файлов cookie, публиковать данные владельца сайта, а услуги и товары должны соответствовать видам деятельности по ОКВЭД.
Для всех коммерческих сайтов обязательна публикация:
- политики обработки персональных данных и политики конфиденциальности;
- формы-согласия на обработку данных и файлов cookies при любой коммуникации через сайт;
- контактных данных владельца сайта.
Штрафы за неподачу уведомления о персональных данных
- для физлиц — от 5 тыс. до 10 тыс. рублей;
- для должностных лиц — от 30 тыс. до 50 тыс. рублей;
- для юрлиц и ИП — от 100 тыс. до 300 тыс. рублей.
Штрафы за отсутствие на сайте политики обработки персональных данных
- для физлиц — от 1,5 тыс. до 3 тыс. рублей;
- для должностных лиц — от 6 тыс. до 12 тыс. рублей;
- для ИП — от 10 тыс. до 20 тыс. рублей;
- для юрлиц — от 30 тыс. до 60 тыс. рублей.
Организациям необходимо регулярно проводить аудит своих ресурсов — юридический и технический. С 30 мая у компаний, попавших в поле зрения надзорного органа, будет всего 10 дней с момента получения предписания на то, чтобы предоставить документы или внести исправления.
Как соблюсти все требования и избежать штрафов
Необходимо регулярно поддерживать документы в актуальном состоянии. Любые изменения — смена направления деятельности, появление нового сайта — должны быть своевременно отражены в локальных актах и уведомлении в Роскомнадзор.
- Нельзя указывать неверные или неполные цели и категории персональных данных.
- В уведомлении обязательно должны быть отражены все меры по обеспечению безопасности данных.
- Изменения на сайте организации (открытие нового сайта, подключение новых сервисов и т.п.) требуют внесения изменений в уведомление. Если информация устарела, это повод для наложения штрафа.
Реестр операторов персональных данных доступен онлайн. Если организация или ИП не отображается в поиске по ИНН/наименованию — она не зарегистрирована. Это же правило действует и для самозанятых.