Web-Sight Проверка сайта на требования Роскомнадзора

Уведомление в Роскомнадзор об обработке персональных данных

Обновлено

Почти каждый бизнес, который собирает данные клиентов, в том числе через форму на сайте, обязан уведомить Роскомнадзор до начала обработки. Подача бесплатная: через портал pd.rkn.gov.ru со входом через Госуслуги или с электронной подписью либо на бумаге.

Кто обязан подавать уведомление

Уведомлением организация, ИП или гражданин сообщает Роскомнадзору, что собирается обрабатывать персональные данные. Подать его нужно до начала обработки (ч. 1 ст. 22 152-ФЗ). По уведомлению оператора вносят в открытый реестр операторов персональных данных на портале pd.rkn.gov.ru.

По разъяснению управления Роскомнадзора по Сибирскому федеральному округу, оператором становится организация, ИП или самозанятый, если они совершают любые действия с персональными данными людей: клиентов, сотрудников и других. Прежних послаблений для малого бизнеса нет: с 1 сентября 2022 года отменены исключения для данных работников и для данных клиентов, полученных по договору (Федеральный закон от 14.07.2022 № 266-ФЗ). Без уведомления теперь можно обрабатывать данные только в трёх случаях (ч. 2 ст. 22 152-ФЗ):

  • данные включены в государственные информационные системы, созданные для защиты безопасности государства и общественного порядка;
  • обработка предусмотрена законодательством о транспортной безопасности;
  • оператор обрабатывает данные исключительно без средств автоматизации, то есть без компьютера.

Последнее исключение бизнесу с сайтом почти никогда не подходит. Роскомнадзор считает сайт, который собирает персональные данные, информационной системой персональных данных, а заявки из формы обрабатываются на компьютере. К тому же без автоматизации должна идти вся обработка у оператора, а не один её канал.

Что указывают в уведомлении

Формы уведомлений утверждены приказом Роскомнадзора от 28.10.2022 № 180. Состав сведений задаёт закон (ч. 3 и 3.1 ст. 22 152-ФЗ):

  • наименование или ФИО оператора и его адрес;
  • цели обработки и для каждой из них: какие данные и чьи (например, клиентов или сотрудников), на каком основании, что с ними делают и каким способом;
  • меры по защите данных, в том числе есть ли шифровальные средства;
  • кто отвечает за организацию обработки данных и его контакты;
  • дата начала обработки и срок или условие её прекращения;
  • есть ли передача данных за границу и где находится база данных.

Перед подачей стоит сверить уведомление с тем, что сайт собирает на самом деле, и с политикой обработки персональных данных: как Роскомнадзор сравнивает их, разобрано ниже. Что должно быть в политике, разобрано в статье о политике для сайта.

Как и когда подать уведомление

Срок в законе один: до начала обработки (ч. 1 ст. 22 152-ФЗ). Для нового сайта это значит, что уведомление подают до того, как форма начнёт принимать заявки.

Уведомление заполняют на портале персональных данных Роскомнадзора: там есть электронная форма и памятка по её заполнению. В территориальное управление Роскомнадзора уведомление отправляют в электронном виде со входом через Госуслуги (ЕСИА) или с усиленной квалифицированной электронной подписью. Можно и на бумаге, за подписью уполномоченного лица (ч. 3 ст. 22 152-ФЗ).

Платить за рассмотрение уведомления и внесение в реестр не нужно (ч. 5 ст. 22 152-ФЗ). Роскомнадзор вносит сведения в реестр в течение 30 дней со дня поступления уведомления (ч. 4 ст. 22 152-ФЗ). Если сведения неполные или недостоверные, он вправе потребовать их уточнить до внесения в реестр (ч. 6 ст. 22 152-ФЗ).

Если сайт уже принимает заявки, а уведомления нет, подать его стоит без промедления. Какую дату начала обработки указать в этом случае, лучше решить с юристом.

Изменения и прекращение обработки

Если сведения из уведомления изменились, Роскомнадзор извещают не позднее 15-го числа следующего месяца, сразу обо всех изменениях за этот период (ч. 7 ст. 22 152-ФЗ). У владельца сайта поводы обычно такие:

  • появилась новая цель обработки, например рассылка или онлайн-запись;
  • форма стала собирать новые данные;
  • данные начали уходить в зарубежный сервис. Это меняет сведения о передаче данных за границу, а до начала такой передачи нужно ещё отдельное уведомление (ч. 3 ст. 12 152-ФЗ); об этом подробнее в статье о трансграничной передаче;
  • сменились адрес, ответственный за обработку данных или место хранения базы.

Если обработка прекращена, например бизнес закрыт, Роскомнадзору сообщают об этом в течение 10 рабочих дней с даты прекращения (ч. 7 ст. 22 152-ФЗ).

Как уведомление сверяют с сайтом

Сведения из уведомления видны всем в карточке оператора в реестре: цели обработки, категории данных и людей, способы обработки, есть ли трансграничная передача, в каких странах находятся базы данных. Три и более расхождения между уведомлениями оператора и сведениями, которые он публикует на сайте по ч. 2 ст. 18.1 152-ФЗ (прежде всего с политикой), приказ Минцифры называет индикатором риска нарушения (п. 3 перечня, утверждённого приказом Минцифры России от 15.11.2021 № 1187, в ред. приказа от 17.08.2023 № 720). Выявленный индикатор риска может стать основанием для внеплановой проверки по согласованию с прокуратурой (п. 7 ч. 1 ст. 57 248-ФЗ; п. 39 Положения о контроле за обработкой персональных данных, утв. постановлением Правительства РФ от 29.06.2021 № 1046).

Расхождения у сайтов бывают такие:

  • в уведомлении «трансграничная передача: нет», а на сайте работает Google Analytics или другой зарубежный сервис, который получает данные посетителей;
  • местом хранения баз данных названа только Россия, а заявки из формы уходят в Google Forms или другой зарубежный сервис;
  • в уведомлении только кадровые цели, например учёт работников, а сайт собирает заявки клиентов;
  • обработка указана как неавтоматизированная или без передачи по сети Интернет, а данные приходят через форму сайта.

Если сведения изменились, изменения подают не позднее 15-го числа следующего месяца (ч. 7 ст. 22 152-ФЗ). На портале для этого есть отдельная форма уведомления о внесении изменений.

Что грозит, если уведомление не подано

С 30 мая 2025 года за неподачу или несвоевременную подачу уведомления действует отдельный штраф (ч. 10 ст. 13.11 КоАП):

  • коммерческие организации и ИП: от 100 до 300 тыс. ₽, ИП здесь отвечают как юридические лица (примечание 1 к ст. 13.11 КоАП);
  • граждане: от 5 до 10 тыс. ₽;
  • должностные лица государственных органов и некоммерческих организаций: от 30 до 50 тыс. ₽.

До этой даты за неподачу применялась ст. 19.7 КоАП со штрафом до 5 тыс. ₽, поэтому о норме многие не слышали. За первое нарушение, выявленное при государственном контроле, штраф может быть заменён предупреждением (ст. 4.1.1 КоАП). Подача бесплатна, и исправить это нарушение несложно.

Как проверить себя в реестре операторов

Сведения реестра, кроме сведений о средствах защиты данных, общедоступны (ч. 4 ст. 22 152-ФЗ). Проверить себя или контрагента может любой:

  1. Открыть реестр операторов на портале pd.rkn.gov.ru.
  2. В блоке «Поиск оператора» ввести ИНН. Искать можно и по названию организации или регистрационному номеру.
  3. Если запись есть, в карточке видны регистрационный номер, дата регистрации уведомления, цели обработки, категории данных и другие сведения из уведомления. Ответ «Записей не найдено» значит, что оператора с таким ИНН в реестре нет.

Запись в реестре закрывает только эту обязанность. Остальные обязанности, например политику на сайте и согласие на обработку данных, оператор выполняет независимо от того, внесён ли он в реестр. Роскомнадзор пишет об этом прямо.

Сайт с формой заявки собирает персональные данные: имя, телефон, e-mail. По позиции ряда управлений Роскомнадзора данные обрабатывают и счётчики посещений вроде Яндекс Метрики (об этом подробнее в статье о cookie-баннере). Бесплатная проверка сайта находит ИНН владельца в подвале, контактах или политике и ищет его в реестре на pd.rkn.gov.ru. Если ИНН есть, записи в реестре нет, а на сайте работает форма с персональными данными или счётчик, проверка отмечает нарушение. Если ИНН на сайте не указан, раздел помечается «не удалось проверить». Для найденной записи полный отчёт показывает её номер и дату регистрации уведомления. Проверка открывает карточку этой записи и сравнивает её с сайтом: указана ли в ней трансграничная передача, когда на сайте работают зарубежные сервисы, и где хранятся базы данных. Расхождения проверка отмечает как риск: решение о нарушении принимает Роскомнадзор. Заодно проверка смотрит политику, согласие в формах, cookie-баннер, зарубежные сервисы и другие требования к сайту.

Источники