Уведомление об изменении сведений в реестре операторов персональных данных
Форма, которой оператор приводит свою запись в реестре Роскомнадзора в соответствие с тем, что он делает на самом деле: цели, категории, ответственный, места хранения.
Зачем нужен документ
Организация подаёт уведомление об обработке один раз, попадает в реестр и выдыхает. Дальше начинается обычная жизнь: появляется рассылка, ставят видеонаблюдение, переезжает офис, меняется ответственный, часть базы уезжает к подрядчику. Запись в реестре при этом остаётся такой, какой была в день подачи.
Проблема в том, что запись публичная. Реестр операторов открыт, поиск идёт по ИНН, доступ бесплатный — туда смотрят субъекты перед жалобой, контрагенты перед заключением договора и любой желающий из любопытства. Устаревшая запись — это не забытая формальность, а расхождение между публичным заявлением и фактом, которое каждый может увидеть сам.
Уведомление об изменении сведений и существует для того, чтобы этого расхождения не возникало. Оно не переоформляет регистрацию и не начинает её заново — оно вносит правки в уже имеющуюся запись.
Чем грозит отсутствие
Здесь нужно сказать прямо то, о чём обычно умалчивают: отдельного наказания именно за неподачу уведомления об изменении сведений законодатель не установил. Применяется общий состав о непредставлении сведений государственному органу.
Настоящая цена устаревшей записи лежит вне КоАП, и она выше пяти тысяч. Расхождение работает как готовый повод: субъект пишет жалобу, ссылаясь на то, что оператор обрабатывает данные, которых не заявлял; проверяющий начинает разговор не с вопроса, а с распечатки; контрагент на комплаенс-проверке видит несовпадение и просит объяснений.
Как ещё называют этот документ
Что должно быть в документе
Форма утверждена приложением № 2 к приказу Роскомнадзора № 180, и заполняется в ней не всё подряд, а изменившееся — с указанием, что было и что стало.
Требования законодательства
Как связан с другими документами
Изменение сведений почти никогда не бывает одиноким: то, что меняется в реестре, уже изменилось в документах — или должно измениться следом.
Когда обновлять документ
Здесь раздел работает наоборот: не документ обновляют по событию, а событие само требует документа. Ниже — то, что чаще всего проходит незамеченным.
Что спросит проверяющий
Проверка этой темы начинается не с документов организации, а с распечатки её собственной записи из реестра — она доступна проверяющему до всякого визита.
Разбор эксперта
Мы проверили больше четырёх тысяч организаций и можем сказать про реестр одну вещь уверенно: устаревшая запись встречается чаще, чем отсутствие записи. Отсутствие ещё как-то тревожит — про него пишут, им пугают, за него с прошлого года штрафуют всерьёз. А расхождение никого не беспокоит, потому что оно накапливается по чуть-чуть: сначала уволился ответственный, потом добавили рассылку, потом поставили камеры на входе. Каждое событие по отдельности выглядит мелочью, а вместе они образуют публичный документ, не имеющий отношения к реальности.
Второе, что стоит понимать: эту запись читают не только проверяющие. Она открыта по ИНН, и в неё смотрят перед тем, как написать жалобу, — чтобы сослаться на несоответствие; смотрят контрагенты, у которых есть комплаенс; смотрят кандидаты и клиенты, если тема их задела. Мы регулярно видим обращения, которые начинаются словами «в реестре у вас указано другое». Ответить на такое нечего: расхождение зафиксировано самим оператором.
И третье, практическое. Срок здесь календарный, а не событийный: всё, что изменилось в течение месяца, подаётся до пятнадцатого числа следующего. Значит, самый надёжный режим — раз в месяц потратить десять минут: открыть свою запись в реестре и сверить её с четырьмя вещами — приказом об ответственном, перечнем целей из политики, списком подрядчиков и адресами. Изменений в большинстве месяцев не будет вовсе, а когда будут, вы узнаете о них вовремя, а не через год.
Заведите ежемесячную проверку записи в реестре и закрепите её за тем же человеком, который отвечает за организацию обработки. Подавайте изменение именно по форме приложения № 2, а не первичное уведомление второй раз — иначе появится дубль. Указывайте старое и новое значение по каждой графе. Отдельно проверяйте графы, о которых забывают: обработка по поручению, место нахождения баз данных, категории субъектов при видеонаблюдении. И не считайте эту обязанность формальной из-за размера штрафа: цена здесь не в штрафе, а в публичности.
Александр КеллерманнГенеральный директор, ведущий аудитор ISO/IEC 27001, Комитет по информационной и правовой безопасностиПодробнее об экспертеЧастые вопросы
Не позднее 15-го числа месяца, следующего за месяцем, в котором изменения возникли. Изменения нескольких недель можно подать одним уведомлением.
Нет. Для организаций, уже включённых в реестр, применяется форма уведомления об изменении сведений — приложение № 2 к приказу № 180.
Нет. Крупный штраф установлен за неуведомление о намерении обрабатывать данные. Здесь применяется общий состав о непредставлении сведений.
Да, это одно из заявленных сведений и самое заметное при сверке с приказами.
Да. Сведения о лице, обрабатывающем данные по поручению оператора, входят в состав заявляемых.
Роскомнадзор вносит сведения в течение тридцати дней с даты поступления уведомления.
Подать одно уведомление, отразив актуальное состояние. Это лучше, чем оставлять расхождение: оно видно публично и работает против оператора.
Да, адрес входит в состав сведений реестра, и по нему же приходят запросы регулятора.