Подали уведомление в Роскомнадзор: как проверить, что вы в реестре, и что делать дальше

Форму заполнили, кнопку нажали, письмо ушло. Выдохнули: вопрос закрыт.

Закрыт он наполовину. В реестр операторов вы попадёте не в ту же секунду, никто не позвонит и не подтвердит, а через год половина сведений в вашем уведомлении устареет — и об этом тоже придётся сообщать самому.

Как заполнять форму, написали уже все: и Контур, и 1С, и юрист на Хабре с шестьюдесятью скриншотами. Я про другое — что происходит после «отправить». Этого не пишет почти никто, а вопросы у собственников именно здесь.

Что происходит после отправки

Механика такая. Ваше уведомление уходит в Роскомнадзор, там его обрабатывают, и сведения включают в реестр операторов — публичную базу, доступную любому желающему.

Важный момент: включение происходит не мгновенно. Сколько именно ждать — в законе и приказах Роскомнадзора срок прямо не назван, поэтому честно скажу: точной цифры дать не могу, и любой, кто называет вам конкретное число дней, скорее всего опирается на опыт. В норме этого срока нет. Практический вывод от этого не меняется: проверять себя нужно самостоятельно.

Как проверить, что вы в реестре — поиск по ИНН

Это самое полезное действие из всей статьи, и делается оно за пару минут.

• Откройте на сайте Роскомнадзора раздел с реестром операторов персональных данных.
• В поиске введите свой ИНН. Именно ИНН, а не название: организацию можно записать десятком способов, с кавычками и без, а ИНН один.
• Если запись есть, вы увидите регистрационный номер оператора, дату включения в реестр, сведения об операторе и цели обработки.
• Сверьте, что там написано, с тем, что вы подавали. Особенно цели обработки и ответственного.

Запись публичная — это значит, что ваши цели обработки и контакты ответственного видит любой: клиент, конкурент, журналист, проверяющий. Ничего страшного в этом нет, так устроен реестр у всех. Но писать в уведомлении «на всякий случай» лишнее не стоит: увидят все.

Не нашли себя в реестре: три причины

Уведомление ещё в работе. Самый частый случай, особенно если подали недавно. Подождите и проверьте снова.

В форме была ошибка. Уведомление могли вернуть на доработку. Смотрите личный кабинет и почту, которую указывали при подаче: ответ приходит туда. Звонка не будет.

Ищете не по тому реквизиту. По названию можно промахнуться из-за кавычек, сокращений и организационной формы. Пробуйте ИНН.

Когда нужно подавать изменение сведений

Тут кроется самая частая ошибка после подачи. Приказом Роскомнадзора от 28 октября 2022 года № 180 (Минюст 71532) утверждены три формы уведомлений:

• о намерении осуществлять обработку персональных данных — та самая первичная;
• об изменении сведений, которые вы подавали ранее;
• о прекращении обработки персональных данных.

Большинство знает только про первую. А вторая нужна каждый раз, когда меняется то, что вы указывали: адрес оператора, цели обработки, состав данных, меры защиты, ответственный за организацию обработки и его контакты.

Живой пример, который я вижу постоянно. Ответственным за обработку данных был назначен сотрудник, он уволился, обязанность передали юристу. Приказ внутри компании переписали, а уведомление в Роскомнадзор не обновили. Формально в реестре теперь недостоверные сведения, и фраза «мы же подавали» в этой ситуации не помогает.

Третья форма — про прекращение обработки — почти не встречается в статьях, а она замыкает весь цикл: перестали обрабатывать данные, уничтожили их и сообщили об этом регулятору. Как правильно уничтожать и чем подтверждать, разобрал в статье про уничтожение персональных данных.

Что меняется после записи в реестре

Отвечу трезво, без драмы. Вы стали публично видимым оператором: ваша запись открыта, по ней понятно, какие цели обработки вы заявили и кто у вас отвечает за данные. Всё.

Рынок любит пугать: «попадёте в реестр — к вам придут». Это работает ровно наоборот. В реестре сотни тысяч операторов, и сам факт записи никого не привлекает. А вот отсутствие в реестре при том, что вы реально собираете данные клиентов, — это уже самостоятельное нарушение с отдельным штрафом. Прятаться дороже, чем числиться.

Уведомление о регистрации и уведомление об утечке — разные вещи

Два уведомления, которые постоянно путают, хотя между ними нет ничего общего, кроме слова.

• Уведомление о намерении обрабатывать — подаётся один раз, до начала обработки (статья 22 152-ФЗ). Это регистрация в реестре, о ней вся эта статья.
• Уведомление об утечке — подаётся при инциденте: 24 часа на сообщение о самом факте и 72 часа на результаты внутреннего расследования (часть 3.1 статьи 21 152-ФЗ).

Санкции у них тоже разные, и разница ощутимая. За неподачу первичного уведомления компания заплатит 100–300 тысяч. За молчание об утечке — от 1 до 3 миллионов. Что делать в первые сутки после инцидента и сколько вообще стоит утечка, разбирал в отдельной статье про штрафы.

Штрафы с нюансом, которого почти нигде нет

Здесь самое интересное, и на этом ошибаются даже консультанты. Штраф за неподачу уведомления установлен частью 10 статьи 13.11 КоАП. В таблице кодекса три графы: граждане 5–10 тысяч, должностные лица 30–50 тысяч, юридические лица 100–300 тысяч.

А теперь читаем примечания к статье, которые меняют картину для частей 10–18:

• Примечание 1: по частям 1.1 и 8–18 индивидуальные предприниматели отвечают как юридические лица. То есть ИП платит не 5–10 тысяч, как гражданин, а 100–300 тысяч.
• Примечание 2: в частях 10–18 под должностным лицом понимается должностное лицо государственного или муниципального органа либо некоммерческой организации. Для директора обычного коммерческого ООО эта графа не работает.
• Примечание 3: под юридическим лицом в этих частях понимается оператор, который не является госорганом, муниципалитетом или НКО. То есть обычная компания.

Что это значит на практике. Коммерческая компания и ИП платят по одной и той же графе — 100–300 тысяч рублей. Директора коммерческого ООО по этому составу отдельно на 30–50 тысяч не оштрафуют, потому что графа должностных лиц здесь про госсектор и НКО.

Проверьте, кстати, любую статью в выдаче по этому запросу: почти везде написано «компании 100–300 тысяч, должностным лицам 30–50 тысяч», и адресовано это предпринимателям. Формально это верно переписано из таблицы. По факту — мимо.

Кому уведомление не нужно

Блок для тех, кто надеется, что их пронесёт. Исключения перечислены в части 2 статьи 22 152-ФЗ, и их осталось всего три: государственные системы безопасности, транспортная безопасность и обработка исключительно без средств автоматизации.

Для обычного бизнеса реально работает только третье. И работает редко: слово «исключительно» означает, что у вас вообще нет ни CRM, ни 1С, ни таблицы Excel, ни формы на сайте — только бумажный журнал. Как только появляется любая программа, исключение отваливается.

Прежние широкие послабления — их было шесть — утратили силу ещё 1 сентября 2022 года. Если вы ориентируетесь на статью или совет старше этой даты, они устарели. Кто вообще считается оператором и какие ещё обязанности с этим приходят, разобрал в статье про оператора персональных данных.

Что сделать на этой неделе

• Найдите себя в реестре по ИНН. Пять минут, и вы точно знаете своё положение.
• Сверьте сведения с реальностью: цели обработки, адрес, ответственный. Что-то разошлось — готовьте уведомление об изменении.
• Проверьте, кто у вас ответственный за обработку и работает ли этот человек в компании до сих пор.
• Поставьте себе напоминание сверять реестр раз в год и при каждом переезде, смене ответственного или запуске нового сервиса со сбором данных.

Заодно имеет смысл пройти сайт по чек-листу аудита на 152-ФЗ: запись в реестре и порядок на сайте должны совпадать по смыслу.

Короткий вывод

Подача уведомления — это начало отношений с регулятором. Разовым действием дело не заканчивается. Проверьте себя в реестре по ИНН, сверьте сведения с тем, как вы работаете в реальности, и не забывайте про вторую форму, когда что-то меняется. Всё это бесплатно и занимает вечер.

И держите в голове главный нюанс: для ИП штраф здесь такой же, как для компании. Знание одного примечания к статье кодекса иногда стоит трёхсот тысяч — вот вам и светлая сторона: спокойствие тут достигается вниманием к деталям, и бюджет для этого не нужен.

Свежие разборы 152-ФЗ на языке бизнеса выкладываю в телеграм-канале.

Частые вопросы