Уведомление Роскомнадзора об обработке персональных данных: порядок для владельца сайта
Заявка с сайта — часть обработки данных в бизнесе. Уведомление описывает оператора и его процессы, а не просто регистрирует домен. Чтобы заполнить его осмысленно, сначала разберитесь с формами, CRM, подрядчиками и местами хранения.
- По общему правилу уведомление подают до начала обработки; исключения перечислены в статье 22.
- Оператором обычно выступает бизнес, определяющий цели обработки, а не автоматически разработчик сайта.
- Подача не заменяет политику, правовые основания и защиту данных. Сведения нужно поддерживать в актуальном состоянии.
Кому нужно уведомлять Роскомнадзор
Оператор определяет, зачем и какие персональные данные обрабатывать. Если организация или предприниматель принимает заявки, ведёт базу клиентов и использует контакты для своих задач, нужно оценить обязанности именно этого лица. Договор с веб-студией сам по себе не переносит на неё все обязанности владельца бизнеса.
Общее правило статьи 22 — уведомление до начала обработки. Среди исключений остались специальные случаи, включая обработку исключительно без средств автоматизации. Сайт с формой, электронной почтой и CRM нельзя автоматически отнести к этому исключению только потому, что менеджер отвечает вручную.
Что проверить, если вы уже есть в реестре
Найдите запись по данным оператора, а не только по домену. Сопоставьте её с действующим бизнесом: кто указан, какие цели отражены, где находятся базы и что изменилось после первой подачи.
| Вопрос | Какой результат нужен |
|---|---|
| Совпадает ли оператор? | Запись относится к вашему ИП или юридическому лицу, а не к подрядчику или прежнему владельцу |
| Отражены ли текущие цели? | Сайт, продажи, поддержка, рассылки и другие реальные процессы разобраны по применимости |
| Актуальны ли сведения о базах и контактах? | Изменение CRM, хостинга или ответственного не осталось незамеченным |
| Сохранены ли документы подачи? | Можно восстановить, что и когда было направлено |
| Требуются ли изменения? | Есть конкретный список корректируемых сведений, а не случайная повторная первичная подача |
Какие сведения собрать перед заполнением
Подготовьте один рабочий файл. Данные в нём должны согласовываться с политикой, условиями обработки и настройками систем. Копирование формулировок чужой компании особенно опасно для описания целей и мер безопасности.
- Реквизиты и адрес оператора, контакты и сведения об ответственном лице.
- Цели обработки отдельно друг от друга и категории субъектов для каждой цели.
- Категории и фактический перечень данных, правовые основания и операции.
- Способы обработки: автоматизированная, без автоматизации или смешанная — по реальному процессу.
- Дата начала обработки, срок или условие её прекращения.
- Сведения о местах нахождения баз данных и применимых мерах защиты.
- Наличие трансграничной передачи, её участники и фактическая схема.
- Сведения об организационных документах и технических мерах, которые действительно внедрены.
Как описать цели на примере небольшого интернет-магазина
Разделите обработку по результату, ради которого собираете сведения. Таблица ниже — рабочая заготовка для обсуждения, а не готовое заполнение государственной формы.
Обработка персональных данных в организации может выходить за пределы сайта: сотрудники, соискатели, представители контрагентов. Уведомление оператора нужно готовить по полному применимому объёму его деятельности. Этот материал подробнее рассматривает интернет-процессы.
| Процесс | Субъекты и данные | Что уточнить перед подачей |
|---|---|---|
| Ответ на вопрос о товаре | Посетитель; контакт и содержание обращения | Основание, системы, получатели, срок |
| Оформление и доставка заказа | Покупатель/получатель; сведения, необходимые для заказа | Какие данные нужны продавцу и перевозчику, их роли |
| Поддержка личного кабинета | Зарегистрированный пользователь; учётные данные | Порядок доступа, восстановления, удаления |
| Рекламная рассылка | Подписчик; контакт и подтверждённый выбор | Отдельные согласия, отписка и прекращение рассылки |
Где выяснить сведения о базах и подрядчиках
Запросите у хостинга, CRM и других обработчиков фактические условия размещения и обработки. Домен .ru или российский номер телефона на сайте поставщика не подтверждают расположение всех баз данных. IP-геолокация тоже не показывает всю цепочку.
Отдельно проверьте копии заявок: email, таблицы, экспорт менеджера, резервные копии и мессенджеры. Документируйте роль каждого участника и основание передачи. Если сведений не хватает, сначала уточните архитектуру; не заполняйте адреса серверов предположениями.
Порядок подготовки и подачи уведомления
- Определить оператора и проверить, есть ли запись в реестре.
- Собрать фактические процессы и сведения по каждой цели.
- Сверить данные с политикой, договорами, согласиями и настройками систем.
- Открыть официальный портал персональных данных Роскомнадзора и выбрать подходящий вид уведомления.
- Заполнить действующую форму и проверить реквизиты, цели, базы и контакты.
- Выбрать предусмотренный порталом способ подачи. Закон допускает бумажный документ и электронный документ с подписью уполномоченного лица; конкретные электронные способы и требования уточняйте в форме.
- Завершить отправку, сохранить подтверждение, номер и копию направленного документа.
- Следить за результатом и запросами об уточнении; проверить внесённые сведения.
Какие сроки держать под контролем
Сроки не следует трактовать как разрешение начать обработку без основания или документов. Запись в реестре не является сертификатом соответствия сайта. Рассмотрение уведомления и внесение сведений в реестр не предполагают расходов оператора на эти действия по части 5 статьи 22; услуги внешнего консультанта — отдельный вопрос.
| Событие | Обязанность или срок |
|---|---|
| Начало обработки при отсутствии исключения | Уведомить до начала обработки |
| Поступление уведомления в орган | Внесение сведений предусмотрено в течение 30 дней; неполные или недостоверные сведения могут потребовать уточнения |
| Изменение сведений из уведомления | Сообщить не позднее 15-го числа месяца, следующего за месяцем изменения |
| Прекращение обработки | Сообщить в течение 10 рабочих дней с даты прекращения |
Трансграничная передача — отдельный вопрос
Уведомление о намерении осуществлять трансграничную передачу предусмотрено статьёй 12 отдельно от общего уведомления по статье 22. Галочка о наличии передачи в основной форме не должна восприниматься как замена самостоятельной процедуры.
Разберите получателя, государство, состав данных, цель и основания, сведения о защите и применимые условия начала передачи. Эти требования меняются; сверяйте действующую редакцию и актуальные решения Роскомнадзора. Простое обнаружение зарубежного домена сканером не устанавливает ни состав передачи, ни нарушение.
Что делать, если сайт уже работает, а уведомление не подавали
Сначала зафиксируйте реальную ситуацию: кто оператор, когда началась обработка, какие цели и системы используются. Не указывайте заведомо неверную дату и не создавайте документы задним числом, чтобы скрыть фактический процесс.
- Проверить реестр: возможно, уведомление подавалось ранее по другим процессам.
- Определить обязанность и выявить неполные сведения.
- Подготовить достоверное уведомление или изменения и оценить дальнейшие действия с профильным специалистом.
- Параллельно устранить проблемы в формах, документах и обработке — подача не исправляет их автоматически.
- Сохранить хронологию выполненных действий и подтверждения.
Как организовать обновление сведений без аврала
Добавьте проверку уведомления в процесс изменения сайта. Новую интеграцию, цель, категорию данных или место хранения должен оценить ответственный до запуска. Для каждой корректировки полезно хранить дату изменения, причину, документ подачи и результат.
Вопросы и ответы
Это регистрация сайта в Роскомнадзоре?
В данном контексте речь об уведомлении оператора персональных данных. Домен — часть его интернет-процессов. Регистрация СМИ и другие процедуры имеют отдельные основания и к этому уведомлению автоматически не приравниваются.
Если сайт на Tilda или WordPress, уведомляет платформа?
Платформа может обрабатывать данные по поручению, но цели вашего бизнеса обычно определяете вы. Её собственные обязанности не означают, что уведомление вашего оператора подано за вас.
ИП без сотрудников может быть оператором?
Да, наличие работников не является единственным критерием. Обработка контактов клиентов и посетителей тоже требует оценки обязанностей оператора.
Если собираю только телефон, уведомление не нужно?
Малое количество полей само по себе не создаёт исключения. Нужно оценить характер обработки и исключения статьи 22, а не только длину формы.
Нужно ли подавать отдельное уведомление на каждый домен?
Сначала определите операторов и процессы. Один бизнес с несколькими сайтами и несколько юридических лиц под общим брендом — разные ситуации. Описание должно охватывать реальную обработку соответствующего оператора.
Можно ли отправить уведомление за клиента?
Действовать должен оператор или надлежащим образом уполномоченное лицо. Веб-студия может подготовить сведения, но полномочия на подписание и подачу нужно проверить отдельно.
Нужно ли ждать записи в реестре, чтобы считать сайт соответствующим закону?
Запись в реестре не подтверждает полное соответствие. Подачу, результат рассмотрения и основания обработки нужно оценивать отдельно; документы и технические меры остаются обязанностью оператора.
Если данные в реестре устарели, подавать всё заново?
Сначала установите характер изменения и используйте подходящий вид уведомления на портале. Случайная повторная первичная подача может затруднить учёт сведений.
Сколько стоит внесение в реестр?
Часть 5 статьи 22 не допускает возложения на оператора расходов за рассмотрение уведомления и внесение сведений. Платная помощь консультанта или студии не является государственной платой за реестр.
Himedia сам подаёт уведомление?
Нет. Сканер помогает найти технические признаки на сайте. Он не подписывает уведомления, не направляет их в Роскомнадзор и не видит внутренние процессы организации.
Источники и границы материала
Материал помогает подготовить документы и организовать проверку. Примеры требуют адаптации к вашему оператору и процессам. Для конкретного решения учитывайте применимые нормы и обстоятельства обработки.