Роскомнадзор и реестр операторов персональных данных

Оператор персональных данных в ряде случаев обязан уведомить Роскомнадзор о начале обработки. Наличие сайта с формами само по себе не всегда означает обязанность уведомления, но и отсутствие записи в реестре не доказывает, что уведомление не требуется. Нужна проверка применимости к вашим целям, категориям данных и исключениям, которые предусмотрены законом и разъясняются регулятором. Ниже — как подойти к вопросу практически.

Когда это применяется

Тема актуальна, если организация или ИП обрабатывает персональные данные и выступает оператором. Для сайта это часто связано с:

• обработкой заявок и клиентских баз;
• кадровым и иным учётом (шире, чем только сайт);
• использованием CRM, рассылок, аналитики в связке с идентификаторами.

Закон предусматривает случаи, когда уведомление может не направляться. Перечень исключений и условия их применения нужно сверять с актуальной редакцией 152-ФЗ и официальными материалами Роскомнадзора — не полагайтесь на пересказы «из интернета» и не используйте устаревшие чек-листы как окончательный ответ.

Связанные документы: политика ПДн, формы, общий комплект документов сайта.

Что должно быть на сайте

С точки зрения публичного сайта уведомление Роскомнадзора — в первую очередь регуляторная обязанность оператора, а не «страница в меню». Тем не менее на сайте обычно ожидают:

• корректную политику с указанием оператора;
• понятные контакты для субъектов ПДн;
• согласованность описания обработки с фактическими процессами.

Если уведомление подано, сведения в реестре должны соответствовать реальности: цели, категории, меры, адреса баз и иные поля, которые вы указывали. При изменении процессов может потребоваться актуализация сведений — зависит от характера изменений.

Не стоит публиковать на сайте вымышленные «номера писем» или утверждать факт уведомления без проверки реестра и внутренних документов.

Типичные ошибки

Не опирайтесь на разовые ответы в соцсетях или устаревшие статьи. Статус обязанности уведомления нужно сверять с актуальной редакцией закона и материалами Роскомнадзора на дату проверки.

1. Считать, что «маленький сайт = не нужно уведомлять» без правовой оценки.
2. Путать отсутствие в реестре с отсутствием обязанности.
3. Искать только по домену. Реестр оперирует данными оператора (организация/ИП), а не URL сайта как единственным ключом. Поиск «только по домену» ограничен и может ничего не показать даже при наличии записи.
4. Устаревшие сведения после смены юрлица, целей или категорий данных.
5. Политика описывает одно, уведомление — другое.
6. Полагаться на подрядчика («хостинг сам уведомит») без понимания, кто оператор.
7. Игнорировать исключения или, наоборот, расширительно их трактовать без оснований.

Как проверить самостоятельно

Проверку удобно делать совместно юристу и владельцу продукта: первый сверяет норму и исключения, второй подтверждает фактические цели и системы.

1. Определите, кто оператор: юрлицо/ИП, от имени которого идёт обработка.
2. Опишите цели и категории данных по сайту и связанным системам.
3. Сверьте обязанность уведомления с актуальной редакцией закона и официальными разъяснениями на rkn.gov.ru.
4. Проверьте реестр операторов персональных данных на сайте Роскомнадзора по реквизитам оператора (не ограничиваясь доменом).
5. Если запись есть — сверьте ключевые поля с текущей практикой.
6. Если записи нет — зафиксируйте вывод юридической оценки: «не требуется по исключению» или «требуется подать/актуализировать».
7. Сохраните дату проверки и скрин/выписку для внутреннего комплаенса.

Отсутствие сайта в выдаче по домену не означает автоматически нарушение или его отсутствие — это лишь результат ограниченного поиска.

Не публикуйте на сайте заявления вроде «мы внесены в реестр» без возможности подтвердить запись. Если обработка ведётся несколькими компаниями группы, отдельно определите, кто оператор для каждой цели: сайт, кадры, партнёрская программа. Ошибка в субъекте оператора приводит к путанице и в политике, и в реестре.

Как это проверяет LegalScan

На Free и Express LegalScan может показать индикаторы, связанные с необходимостью учитывать статус оператора и признаки обработки ПДн на сайте, а также сигналы по реестру в доступном автоматическому анализу объёме. Полноценная оценка «нужно ли уведомлять» и сверка содержания уведомления относятся к уровню Basic с участием юриста.

Автопроверка не заменяет подачу уведомления и не является официальным ответом Роскомнадзора. Находки — индикаторы для дальнейшей работы.

Официальные источники

• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» — consultant.ru, официальное опубликование — publication.pravo.gov.ru.
• Роскомнадзор: персональные данные, реестр операторов и материалы для операторов — rkn.gov.ru.