Регистрация оператора персональных данных в Роскомнадзоре по 152-ФЗ: документы, сроки и наши услуги.
Подать уведомление в Роскомнадзор один раз и забыть — распространённое заблуждение. Уведомление это не разовая формальность, а сведения, которые оператор обязан поддерживать в актуальном состоянии. Сменился адрес, ответственный, добавилась новая цель обработки или зарубежный сервис — всё это нужно отразить, причём в установленный срок. Разберём, какие события требуют актуализации, в какие сроки подавать изменения и чем грозит устаревшее уведомление.
Если коротко, главное удержать три мысли. Первая: уведомление должно соответствовать реальной обработке в любой момент, а не только на дату подачи. Вторая: для изменений и для прекращения обработки закон установил разные сроки. Третья: устаревшие сведения в реестре это не безобидная мелочь, а основание для претензий при проверке.
Когда нужно актуализировать уведомление
Обязанность сообщить об изменениях возникает, когда меняются сведения, которые вы указывали при подаче. На практике это происходит чаще, чем кажется. Основные триггеры:
- смена наименования или юридического адреса организации;
- назначение нового ответственного за организацию обработки;
- изменение целей обработки или категорий обрабатываемых данных;
- начало работы с новыми категориями, например с биометрией;
- подключение новых информационных систем или изменение способа хранения;
- включение в процессы трансграничной передачи данных;
- изменение мест нахождения базы данных;
- прекращение обработки персональных данных.
Логика простая: если изменилось что-то из того, что вы описывали в уведомлении, реестр должен это отразить. Уведомление, в котором указан давно уволившийся ответственный или отсутствует начатая трансграничная передача, считается недостоверным.
Сроки подачи изменений
Здесь важно не перепутать два разных срока, потому что они применяются к разным ситуациям.
| Событие | Срок уведомления Роскомнадзора |
|---|---|
| Изменение ранее поданных сведений | не позднее 15-го числа месяца, следующего за месяцем изменений |
| Прекращение обработки персональных данных | в течение 10 рабочих дней с даты прекращения |
То есть на обычную актуализацию у вас есть время до середины следующего месяца, а вот о прекращении обработки нужно сообщить быстрее, за десять рабочих дней. Затягивание с подачей превращает формально поданное уведомление в недостоверное, что само по себе является нарушением.
Что изменилось в самой форме
С 1 сентября 2022 года статья 22 действует в обновлённой редакции, и форма уведомления стала подробнее. Если ваше первоначальное уведомление подавалось по старой форме, при актуализации придётся заполнить и новые разделы. В расширенную форму добавились, в частности:
- сведения об используемых информационных системах;
- описание мер по обеспечению безопасности данных;
- правовые основания обработки;
- уточнённое описание категорий субъектов и данных.
Поэтому актуализация это часто не косметическая правка одного поля, а приведение всего уведомления к новой форме. Само уведомление и порядок его подачи мы подробно разбирали в материале об уведомлении оператора в Роскомнадзор.
На практике актуализацию чаще всего пропускают именно при смене ответственного и при подключении новых сервисов. Уволился сотрудник, который был указан ответственным, на его место пришёл другой, а уведомление осталось со старой фамилией. Или к сайту подключили зарубежную аналитику, и формально началась трансграничная передача, о которой реестр ничего не знает. Оба случая всплывают на проверке мгновенно, потому что сведения в реестре публичны и сверяются с реальностью за пару минут.
Чем грозит устаревшее уведомление
Неактуальные сведения трактуются как недостоверные, а это уже состав по статье 13.11 КоАП. Отдельно стоит помнить, что несвоевременное уведомление о намерении обрабатывать данные наказывается само по себе: для ИП и юрлиц это 100–300 тыс рублей. На фоне ужесточения санкций с 2025 года поддержание уведомления в актуальном состоянии стало вопросом не аккуратности, а реального риска. Подробно о составах и суммах мы писали в обзоре штрафов и ответственности за персональные данные.
Мы советуем привязать актуализацию уведомления к внутренним процессам, а не вспоминать о ней раз в год. Любое значимое организационное изменение — приказ о новом ответственном, договор с новым ИТ-подрядчиком, запуск рассылки через иностранный сервис — должно тянуть за собой проверку: а не затронуло ли это сведения в уведомлении. Так актуализация перестаёт быть авральной задачей перед проверкой и становится частью обычного документооборота.
Как подать изменения
Изменения подаются тем же способом, что и первичное уведомление: через портал Роскомнадзора или Госуслуги, с подписанием уполномоченным лицом. Удобнее не переписывать уведомление с нуля, а внести правки в актуальные сведения, заполнив новые разделы формы. Перед подачей стоит сверить уведомление с реальными процессами и с остальными документами, чтобы цели и категории данных совпадали везде.
Частые сценарии на практике
Чтобы абстрактные «изменения сведений» стали понятнее, разберём несколько типичных ситуаций и то, что в каждой нужно сделать.
Сменился ответственный за обработку. Издаётся приказ о назначении нового лица, и одновременно нужно отразить его в уведомлении. Это одно из самых частых упущений: приказ внутри компании оформили, а реестр остался со старой фамилией. Срок — до 15-го числа следующего месяца.
Подключили иностранный сервис. Запустили рассылку через зарубежную платформу или аналитику с серверами за рубежом — началась трансграничная передача. Её нужно отразить в уведомлении и дополнительно подать отдельное уведомление о трансграничной передаче, без которого передача за рубеж неправомерна.
Добавили новую цель или категорию данных. Например, начали собирать данные для программы лояльности или внедрили распознавание лиц. Появляются новые цели обработки, а в случае с биометрией — и новая категория данных, которые в прежнем уведомлении не значились.
Компания прекращает обработку. Здесь действует ускоренный срок: уведомить Роскомнадзор нужно в течение 10 рабочих дней с даты прекращения, а не до середины следующего месяца. Этот случай чаще всего забывают при закрытии направления или ликвидации.
Вопросы и ответы
Короткие ответы на вопросы, которые чаще всего возникают при подготовке документов и подаче заявки.
В какой срок нужно сообщить об изменениях в Роскомнадзор?
Об изменении ранее поданных сведений — не позднее 15-го числа месяца, следующего за месяцем, в котором они произошли. О прекращении обработки — в течение 10 рабочих дней.
Какие изменения нужно отражать в уведомлении?
Смену наименования и адреса, нового ответственного, изменение целей и категорий данных, подключение новых систем, начало трансграничной передачи, изменение места хранения базы и прекращение обработки.
Нужно ли переподавать уведомление по новой форме?
При актуализации, как правило, да: с 1 сентября 2022 года форма расширена, и старое уведомление приводят к ней, заполняя новые разделы об информационных системах, мерах защиты и правовых основаниях.
Что будет, если не обновить уведомление?
Сведения станут недостоверными, что является нарушением по статье 13.11 КоАП. На проверке расхождение между реестром и реальной обработкой выявляется быстро, поскольку данные реестра публичны.
Как подать изменения в уведомление?
Через портал Роскомнадзора или Госуслуги, с подписанием уполномоченным лицом. Удобно вносить правки в действующие сведения и заполнять недостающие разделы новой формы.
Считается ли подключение зарубежного сервиса изменением?
Да. Если появляется трансграничная передача, это нужно отразить в уведомлении, а для самой передачи дополнительно подать отдельное уведомление о трансграничной передаче.
Источники
- Статья 22 ФЗ №152-ФЗ (КонсультантПлюс) — уведомление об обработке, сроки внесения изменений и прекращения.
- Портал Роскомнадзора: формы уведомлений — актуальные электронные формы уведомления и изменений.
- Статья 13.11 КоАП РФ (КонсультантПлюс) — ответственность за нарушения в области персональных данных.
