Как обновить документы по персональным данным при реорганизации

Компания меняет название или проходит реорганизацию, а документы по персональным данным остаются на прежнее юрлицо. Разбираем, что обновить в реестре Роскомнадзора, во внутренних документах и в договорах с подрядчиками, чтобы не подставиться на проверке.

Компания меняет название, переезжает на новый юридический адрес или проходит присоединение к другому юрлицу. Новое название есть в ЕГРЮЛ уже на следующий день, а политика обработки персональных данных, реестр Роскомнадзора и договоры с подрядчиками ещё долго ссылаются на компанию, которой формально не существует.

По 152-ФЗ обязанности оператора персональных данных не исчезают при реорганизации. Они переходят к правопреемнику вместе с активами и обязательствами, но переходят автоматически только по закону, а не в документах. Реестр операторов, политику, согласия и договоры поручения нужно обновить руками и в конкретные сроки.

Что меняется при реорганизации

Форма реорганизации определяет, кто становится новым оператором персональных данных.

• При присоединении обязанности присоединённой компании переходят к той, к которой присоединяются.
• При слиянии образуется новое юрлицо, и оно становится оператором для данных обеих компаний.
• При разделении и выделении обязанности распределяются между новыми юрлицами по передаточному акту.
• При преобразовании меняется организационно-правовая форма, а компания остаётся тем же юридическим лицом.

Определить свою форму реорганизации несложно, она указана в выписке из ЕГРЮЛ и в решении учредителей. От неё зависит, нужно ли получать новые согласия субъектов персональных данных или достаточно обновить реквизиты в документах.

Реестр операторов Роскомнадзора

Компания обязана сообщить Роскомнадзору об изменении сведений, которые указаны в уведомлении о начале обработки персональных данных: название, адрес, реквизиты, контакты ответственного за обработку. Закон отводит на это десять рабочих дней с даты изменений.

Если реквизиты в реестре расходятся с текущими данными компании, при проверке это выглядит как признак того, что оператор не следит за собственными процессами обработки персональных данных. Проверить актуальность записи можно через сервис

Проверка компании в реестре операторов РКН

Нужно ли уведомлять РКН? — пройти тест

Какие документы переоформить

Внутренние документы компании обычно называют оператора персональных данных по имени и указывают его реквизиты. После реорганизации их нужно перевыпустить с новыми данными, а не просто исправить название в старом файле задним числом.

• Политика обработки персональных данных и положение о защите персональных данных.
• Приказ о назначении ответственного за организацию обработки персональных данных.
• Формы согласий на сайте, в анкетах и в CRM.
• Договоры поручения обработки персональных данных с подрядчиками: бухгалтерией, call-центром, сервисами рассылок.
• Уведомления работников и клиентов об изменении условий обработки их данных.

Каждый документ подписывает уже новое юрлицо, с новой датой и новыми реквизитами. Старые версии не выбрасывают, их хранят как архив, чтобы показать историю обработки на случай проверки.

Нужно ли новое согласие субъектов персональных данных

При слиянии, разделении и выделении оператором становится новое юридическое лицо, которого не было на момент, когда субъект давал согласие. Формально согласие продолжает действовать в силу правопреемства, но на практике безопаснее уведомить субъектов о смене оператора и дать им возможность отозвать согласие, если они не хотят передавать данные новой компании.

При присоединении и преобразовании отдельное согласие обычно не нужно. Компания, к которой присоединяются, и компания после смены формы остаются тем же оператором с теми же основаниями обработки, только с обновлёнными реквизитами.

Что будет, если не переоформить документы вовремя

При плановой или внеплановой проверке инспектор Роскомнадзора сверяет название и реквизиты оператора в документах с данными из ЕГРЮЛ и реестра операторов. Расхождение само по себе не нарушение статьи о защите персональных данных, но оно указывает инспектору, куда смотреть внимательнее: скорее всего, компания не обновляла и другие процессы после реорганизации. Оценить размер возможных санкций по итогам проверки помогает

Калькулятор штрафов по 152-ФЗ

Частые вопросы

С какого момента отсчитывать десять рабочих дней на уведомление Роскомнадзора?

С даты внесения записи о реорганизации в ЕГРЮЛ, а не с даты решения учредителей или подписания передаточного акта.

Нужно ли переоформлять согласия сотрудников при смене названия компании без реорганизации?

Да, если название или реквизиты оператора указаны в самом согласии. Проще выпустить дополнительное соглашение или уведомление о смене реквизитов, чем собирать новые подписи.

Что делать с договорами поручения, если подрядчик работал со старым юрлицом?

Подписать дополнительное соглашение с новыми реквизитами оператора или заключить новый договор поручения, если объём и цели обработки тоже изменились.

Может ли новая компания продолжать обработку персональных данных, пока документы не переоформлены?

Фактически обработка не останавливается, но до обновления реестра и внутренних документов компания работает с формальными нарушениями, которые видны при первой же проверке.