Уведомление в Роскомнадзор о прекращении обработки

Предмет уведомления и срок подачи. Уведомление подаётся до начала обработки персональных данных (ст. 22 152-ФЗ) независимо от числа субъектов и от того, ведётся ли обработка с использованием средств автоматизации. Прежние освобождения (данные работников, сторон договора) из закона исключены – подавать уведомление обязано подавляющее большинство операторов.

Специальные категории и биометрические данные обрабатываются только при наличии основания, предусмотренного законом; если вы их обрабатываете, укажите это в уведомлении отдельно.

Иностранные сервисы допустимы, только если первичная база данных остаётся на территории России.

Подайте уведомление до начала обработки: начало обработки до подачи – нарушение, даже если остальные требования закона соблюдены. После рассмотрения сведения об операторе вносятся в открытый реестр операторов.

Смена адреса, названия, ответственного лица и появление новой цели обработки – всё это отдельные поводы уведомить в десятидневный срок.

Уведомление об изменении сведений подаётся не позднее десяти рабочих дней с даты изменений (ст. 22 152-ФЗ), по тем же правилам, что и первичное, с указанием регистрационного номера оператора.

Уведомление о прекращении обработки подаётся в течение десяти рабочих дней с даты прекращения (ст. 22 152-ФЗ). По достижении целей обработки данные нужно уничтожить и подтвердить уничтожение (ст. 21 152-ФЗ).

Резервная копия на зарубежном сервере и рассылка через иностранный сервис – это уже трансграничная передача, даже если данные никому не «передаются» по смыслу договора.

Уведомление о трансграничной передаче подаётся до её начала и отдельно от уведомления об обработке (ст. 12 152-ФЗ). До передачи получите от иностранных получателей сведения о мерах защиты и условиях прекращения обработки и оцените уровень защиты в стране получателя. Роскомнадзор вправе запросить дополнительные сведения и запретить или ограничить передачу.

Сутки считаются от момента выявления, а не от момента, когда закончили разбираться. Первое уведомление подаётся с той информацией, что есть.

Первичное уведомление об инциденте – в течение 24 часов с момента выявления, результаты внутреннего расследования и сведения о виновных – в течение 72 часов (ч. 3.1 ст. 21 152-ФЗ). Уведомление об инциденте не заменяет уведомление об обработке.

Реестр операторов открыт: расхождение между заявленными целями и политикой обработки на сайте легко обнаруживается при проверке – сверьте их перед подачей.

Соотношение с другими обязанностями оператора. Уведомление не заменяет других обязанностей оператора: публикации политики обработки, получения согласий, назначения ответственного, определения уровня защищённости ИСПДн (ст. 18.1 152-ФЗ). Уведомление об инциденте подаётся отдельно в сроки 24 и 72 часа. Подача уведомления не подтверждает законность обработки по существу.

Последствия непредставления уведомления. Непредставление уведомления, нарушение срока или неполные и недостоверные сведения влекут административную ответственность (ст. 13.11 КоАП РФ). Отсутствие в реестре при фактической обработке – частый повод для внеплановой проверки; ответственность наступает независимо от утечки и нарушения прав конкретных субъектов.

При изменении сведений подайте новое уведомление с указанием регистрационного номера оператора.

При подаче в электронной форме подпишите уведомление усиленной квалифицированной электронной подписью.