Как обновить сведения в реестре операторов персональных данных
Компания расширила обработку персональных данных, добавила новую категорию, цель или подрядчика, но не обновила сведения в реестре Роскомнадзора. Разбираем, какие изменения обязывают подать новое уведомление по 152-ФЗ, как это оформить и что грозит, если сведения устарели.
Компания подала уведомление в Роскомнадзор, когда только начала работать с персональными данными, и на этом успокоилась. Через полгода на складе поставили видеонаблюдение, а в отделе доставки начали собирать геолокацию курьеров. Сведения в реестре операторов остались прежними. Это нарушение 152-ФЗ, и обнаруживает его инспектор при первой же проверке.
Реестр должен отражать реальную обработку
Закон о персональных данных требует не только сообщить Роскомнадзору о начале обработки, но и держать эти сведения актуальными. Статья 22 152-ФЗ обязывает оператора уведомить регулятора об изменениях в течение десяти рабочих дней с момента, когда они произошли. Уведомить об изменениях нужно отдельно, и это компании обычно забывают.
Какие изменения обязывают уведомить Роскомнадзор
В реестре операторов хранятся конкретные сведения из уведомления: цели обработки, категории персональных данных, категории субъектов, правовое основание, сроки хранения, сведения о трансграничной передаче и данные ответственного за организацию обработки. Если изменилось хотя бы одно из этого, подавайте новое уведомление.
- Добавили новую цель обработки, например запустили программу лояльности или таргетированную рекламу по базе клиентов.
- Стали обрабатывать новую категорию данных, например биометрию на проходной, геолокацию сотрудников или данные о здоровье клиентов.
- Расширили круг субъектов персональных данных, например включили в базу не только клиентов, но и их представителей.
- Начали передавать данные за рубеж или сменили иностранного подрядчика.
- Сменили ответственного за организацию обработки персональных данных или его контакты.
- Изменили адрес, юридическое название компании или место хранения баз данных.
Как подать уведомление об изменениях
Форма та же, что и для первичного уведомления. Заявление подают через личный кабинет на сайте Роскомнадзора или на бумаге в территориальный орган, и в самой форме отмечают, что это уведомление об изменении ранее поданных сведений, а не новое обращение. Подтверждающие документы прикладывать не требуют, но инспектор вправе запросить их при проверке.
Прежде чем подавать уведомление, пересмотрите документы, которые опираются на те же сведения. Если добавилась новая категория данных, скорее всего понадобится обновить политику обработки персональных данных и форму согласия. Если изменения серьёзные, например компания начала обрабатывать биометрию, разумно заранее проверить, готовы ли документы и процессы к возможной проверке. Понять, какие сведения нужно обновить в вашей ситуации, поможет
Нужно ли уведомлять РКН? — пройти тест
.Что будет, если не обновить сведения
Отдельного крупного штрафа именно за устаревшие сведения в реестре закон не устанавливает, но на практике проблема всплывает иначе. Инспектор Роскомнадзора при проверке сверяет, что компания заявила в уведомлении, с тем, что она делает на самом деле. Расхождение — повод для дополнительных вопросов и часто для отдельного протокола за нарушение порядка уведомления по статье 13.11 КоАП. Хуже, если за устаревшими сведениями скрывается более серьёзная проблема. Например, компания собирает биометрию без надлежащего согласия, потому что документы просто не обновляли вместе с процессами. Если проверка уже назначена или ожидается, оцените готовность через
Чек-лист готовности к проверке Роскомнадзора
.Возьмите за правило проверять, нужно ли обновить уведомление, при любом новом виде обработки персональных данных, и только потом запускать процесс. Так быстрее, чем потом объяснять инспектору расхождение между заявленным и фактическим.
Частые вопросы
Нужно ли уведомлять Роскомнадзор, если поменялось только название компании?
Да, наименование и адрес оператора входят в сведения из уведомления, поэтому их изменение тоже подпадает под десятидневный срок.
Что будет, если подать уведомление об изменениях с опозданием?
Формально нарушение возникает с момента истечения десяти рабочих дней. На практике риск проверки зависит не от разового опоздания, а от того, замечает ли Роскомнадзор расхождение между реестром и реальной обработкой при плановой или внеплановой проверке.
Нужно ли подавать уведомление, если данные обрабатывает подрядчик по договору поручения?
Нет, если подрядчик обрабатывает данные строго в рамках договора поручения и в интересах компании-оператора. Уведомление в Роскомнадзор подаёт оператор, а не подрядчик, и обновлять сведения нужно, только если у самого оператора поменялись цели или категории данных.
Можно ли отозвать уже поданное уведомление, если обработка данных прекратилась полностью?
Да, для этого случая тоже есть отдельная процедура уведомления Роскомнадзора о прекращении обработки персональных данных, и её тоже нужно подать в установленный срок.