Как мы уже сообщали, с 1 сентября 2022 года новые фирмы, собирающие и обрабатывающие персональные данные (ПД), должны уведомить Роскомнадзор о том, что они выступают операторами ПД. Соответствующая информация содержится в ч. 1 ст. 22 закона № 152-ФЗ.
Ранее, до 1 сентября 2022 года, предприниматели могли не уведомлять госорган об обработке данных сотрудников в случаях, если:
- Обработка велась согласно трудовому законодательству;
- Работодатель получил личную информацию о сотруднике с его согласия и только для исполнения заключённого с работником договора;
- Личная информация распространялась с согласия субъекта ПД;
- Обрабатывались сведения, состоящие только из ФИО;
- Работодатель получил информацию для оформления разового пропуска;
- Обрабатывались данные участников религиозных организаций или общественных объединений.
Теперь этих исключений нет. С 1 сентября все новые операторы персональных данных обязаны направлять уведомления в Роскомнадзор до начала работы со сведениями. Согласно Федеральному закону от 14.07.2022 № 266-ФЗ, уведомлять госорган не потребуется только в трёх случаях:
- Организация обрабатывает ПД без систем автоматизации;
- Информация о сотрудниках включена в государственные информационные системы, созданные в целях защиты безопасности государства и общественного порядка;
- Данные обрабатываются для обеспечения транспортной безопасности.
Также в документе уточняется, что уведомление направляется в Роскомнадзор в бумажном виде (в территориальный орган по месту регистрации) и подписывается уполномоченным лицом или в электронном формате, который заверяется электронной подписью ответственного сотрудника. Сделать это можно через Портал персональных данных, который курирует Роскомнадзор, или через «Госуслуги».
Оформите электронную подпись для физлиц (сотрудников) в удостоверяющем центре «Такском»
В уведомлении указывается:
- Наименование юрлица (или ФИО физлица) и адрес оператора персональных данных,
- Дата и номер уведомления обработки ПД;
- Наименование (ФИО) лица, ответственного за обработку, и контакты для связи — телефон, электронная почта, почтовый адрес;
- Правовое основание и цель передачи и обработки ПД;
- Категории и перечень персональных данных;
- Категории субъектов, ПД которых обрабатываются;
- Перечень иностранных государств, куда передаются данные;
- Дата оценки условий конфиденциальности и безопасности персональных данных в иностранных государствах, которую проводит оператор обработки ПД.
Снизьте риски при получении в налоговой ЭП на первое лицо — воспользуйтесь услугой «Подготовка к получению ЭП в ФНС»
Уведомить Роскомнадзор о начале работы с персональными данными требуется всего раз. Если компания уже есть в реестре госоргана, повторно отправлять заявку не нужно.
Напомним, с 1 сентября операторы персональных данных также обязаны взаимодействовать с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации и информировать о компьютерных инцидентах, повлекших неправомерную передачу (предоставление, распространение, доступ) ПД.
До какой даты требуется направить уведомления
Согласно изменениям в Федеральный закон № 152-ФЗ, действующие операторы уже должны были направить уведомление в Роскомнадзор. Те, кто этого не сделал до назначенной даты, с 1 сентября формально считаются нарушителями, поскольку хранить и обрабатывать данные без уведомления запрещено. Работодателям может грозит административная ответственность по ст. 19.7 КоАП РФ о непредставлении сведений.
При этом Роскомнадзор разъяснил, предельный срок подачи уведомлений не определён.
«После вступления в силу приказа Роскомнадзора, устанавливающего новую форму уведомления, оператор может направить уведомление о внесении изменений в ранее представленные сведения в Реестр операторов, осуществляющих обработку персональных данных. Таким образом, 1 сентября 2022 года не является крайним сроком подачи уведомления об обработке персональных данных», — говорится в сообщении на сайте госоргана.
