Уведомление Роскомнадзора об обработке персональных данных: кому и как подавать

Если сайт собирает имя, телефон, электронную почту или сведения из заявки, бизнес может считаться оператором персональных данных. В таком случае одной политики конфиденциальности и галочки в форме недостаточно: во многих ситуациях нужно заранее подать уведомление в Роскомнадзор, а затем поддерживать сведения в нём актуальными.

Ошибки в уведомлении возникают не только из-за незнания закона. Часто компания указывает одну цель обработки, хотя данные используются ещё для рекламы, работы с обращениями и передачи в CRM, либо забывает обновить сведения после смены подрядчика. Разберём, кому нужно подавать уведомление, какие данные подготовить, как пройти процедуру и что делать после отправки.

Что такое уведомление об обработке персональных данных

Уведомление об обработке персональных данных, это сообщение оператора в Роскомнадзор о том, что компания или предприниматель собирает и использует сведения о физических лицах. В документе указывают не каждую отдельную форму на сайте, а общую организацию обработки: цели, категории людей, виды данных, правовые основания, операции с данными, меры защиты и сведения об информационных системах.

Уведомление не является разрешением на обработку и не заменяет согласие человека. Роскомнадзор принимает сведения в реестр операторов, а ответственность за законность сбора, хранения, использования и передачи информации остаётся у самой организации или у предпринимателя.

Если бизнес сам определяет, зачем и как обрабатывать данные клиентов, сотрудников или посетителей сайта, он, как правило, выступает оператором. Подрядчик, который только обрабатывает данные по поручению бизнеса, обычно имеет другой статус, но это не отменяет требований к договору и мерам защиты.

Кому нужно подавать уведомление в Роскомнадзор

Подавать уведомление должен оператор персональных данных. Им может быть юридическое лицо, индивидуальный предприниматель или другое лицо, которое организует обработку и определяет её цели. Для сайта важен не размер компании, а сам факт работы с персональными данными и способ их использования.

Уведомление обычно требуется, если компания:

• принимает заявки с именем и телефоном через сайт;
• собирает адрес электронной почты для обратной связи или рассылки;
• оформляет заказ, доставку, запись на услугу или консультацию;
• создаёт личные кабинеты и хранит данные зарегистрированных пользователей;
• передаёт заявки в CRM, колл-центр, службу доставки или другой сервис;
• обрабатывает данные сотрудников, соискателей, исполнителей и контрагентов, если такая обработка не попадает под узкое исключение;
• использует данные для продвижения, аналитики, статистики или повторных обращений.

Для сайта особенно важно не считать форму без регистрации безопасным исключением. Даже короткая форма «Оставьте номер, мы перезвоним» создаёт обработку персональных данных, если номер позволяет связаться с конкретным человеком. Аналогично могут оцениваться электронная почта, имя в сочетании с контактами, адрес доставки и сведения, которые пользователь сам вводит в поле сообщения.

Когда уведомление может не потребоваться

Закон предусматривает исключения, но они применяются в ограниченных случаях. Например, отдельные виды обработки без автоматизации или использование данных только для исполнения договора могут подпадать под исключение при соблюдении всех условий. Нельзя автоматически считать, что интернет-магазин освобождён от уведомления только потому, что данные нужны для заказа.

Нужно оценивать весь процесс целиком. Если сведения после оформления заказа попадают в CRM, используются для повторных продаж, передаются подрядчикам, применяются для рассылки или хранятся в личном кабинете, основания для исключения могут отсутствовать. При сомнениях лучше составить карту обработки и проверить её с юристом по персональным данным до подачи формы.

Какие данные сайта нужно учесть перед подачей

До заполнения уведомления составьте перечень всех точек, где компания получает или использует сведения о людях. Не ограничивайтесь только основным сайтом. Данные могут поступать из форм обратной связи, мессенджеров, социальных сетей, телефонии, рекламных кабинетов, CRM, интернет-магазина, системы доставки и программы лояльности.

Удобно пройти по пути заявки от первого контакта до удаления данных:

1. Посетитель вводит имя, телефон или электронную почту на сайте.
2. Форма передаёт сведения на сервер и уведомляет сотрудника по почте или в мессенджере.
3. Менеджер заносит обращение в CRM или таблицу.
4. Заявка передаётся подрядчику, колл-центру, курьерской службе или специалисту по рекламе.
5. Данные используются для договора, консультации, рассылки, аналитики или повторного контакта.
6. По окончании срока хранения сведения удаляются, обезличиваются или остаются в архиве на законном основании.

Для каждого этапа зафиксируйте, кто получает доступ к информации, где находится база, какие операции выполняются и на каком основании. Такой перечень пригодится не только для уведомления. Он помогает согласовать политику обработки персональных данных, формы сайта и договоры с подрядчиками. На сайте эти документы обычно размещают в разделе политика обработки персональных данных, но текст политики должен соответствовать реальным процессам, а не быть универсальным шаблоном.

Какие сведения указывают в уведомлении

Форма уведомления состоит из нескольких смысловых блоков. Названия и состав полей могут уточняться в электронной форме, поэтому перед отправкой проверяйте актуальную версию сервиса. К заполнению стоит подготовиться заранее.

Цели нужно формулировать конкретно. «Для любых законных целей» не объясняет, зачем бизнесу данные. Лучше разделить обработку заявок, исполнение договора, отправку рекламных сообщений и внутреннюю аналитику, если это действительно разные процессы.

Не стоит указывать категории данных шире, чем они есть на самом деле. Если сайт собирает только имя и телефон, не нужно добавлять паспортные данные, сведения о здоровье и биометрию «на всякий случай». Избыточное описание создаёт дополнительные обязательства и может не совпадать с формами, политикой и фактической работой компании.

Как подать уведомление: пошаговый порядок

Шаг 1. Определить оператора

Оператором указывают владельца бизнеса, который принимает решения о целях и способах обработки. Если сайт разработала сторонняя студия, это не делает её оператором автоматически. В договоре с подрядчиком важно описать поручение на обработку: какие данные передаются, зачем, какие действия разрешены, как обеспечивается конфиденциальность и что происходит после завершения работ.

Проверьте юридическое наименование, адрес, ИНН, контактное лицо и электронную почту. Несоответствие реквизитов может затруднить поиск записи в реестре и дальнейшее обновление сведений.

Шаг 2. Составить карту обработки

Запишите все категории людей и данных, которые используются в компании. Для сайта это посетители, заказчики, пользователи личного кабинета, подписчики, соискатели и авторы обращений. Для бизнеса с доставкой добавится адрес, для медицинской или образовательной организации могут появиться специальные категории данных с отдельными требованиями.

Отдельно перечислите сервисы, которые получают информацию. Это могут быть хостинг, CRM, сервис рассылок, телефония, платёжный оператор, служба доставки и подрядчик по рекламе. Не включайте сервис только потому, что он установлен на сайте: важно, передаются ли ему персональные данные и в каком объёме.

Шаг 3. Указать правовые основания и цели

Для разных процессов основания могут отличаться. Исполнение договора, соблюдение требований закона, согласие человека и законный интерес применяются в разных ситуациях и требуют отдельной оценки. Согласие на рекламную рассылку не следует смешивать с согласием на обработку заявки, если компания использует разные цели.

Проверьте, что формулировки в уведомлении согласуются с текстом форм. Если в уведомлении заявлена рассылка, но на сайте нет понятного механизма согласия и отказа, проблема не решается одной отправкой уведомления.

Шаг 4. Заполнить электронную форму

Уведомление подают через электронный сервис Роскомнадзора. В зависимости от способа подачи может потребоваться подтверждение личности или электронная подпись. Заполняйте форму от имени оператора, внимательно сверяйте реквизиты и сохраняйте сформированный документ, номер обращения и подтверждение отправки.

До начала обработки уведомление подают заранее. Для нового сайта это означает, что процедуру нужно включить в запуск проекта, а не оставлять на момент первой проверки или рекламной кампании. Если бизнес уже работает и уведомление не подавал, откладывать исправление ситуации не стоит: сначала проведите инвентаризацию процессов, затем направьте актуальные сведения.

Шаг 5. Проверить публикацию и актуальность записи

После рассмотрения сведения должны попасть в реестр операторов. Проверьте, что запись относится именно к вашей организации или предпринимателю и содержит корректные данные. Сам факт нахождения в реестре не подтверждает, что сайт полностью соответствует закону, поэтому отдельно проверьте документы, формы, доступы и договоры.

Когда нужно обновлять уведомление

Уведомление не подают один раз на всю жизнь компании. Если изменились сведения, которые были указаны в реестре, оператор должен сообщить об этом в установленный законом срок. Для многих изменений применяется срок 10 рабочих дней с даты изменения. При прекращении обработки также предусмотрено отдельное уведомление в течение 10 рабочих дней.

На практике поводом для обновления становятся:

• смена юридического адреса или контактных данных оператора;
• появление новых категорий субъектов, например пользователей личного кабинета;
• добавление паспортных данных, адресов, сведений о здоровье или иных категорий;
• новая цель обработки, например запуск рассылки или программы лояльности;
• подключение CRM, колл-центра или другого обработчика;
• изменение места хранения баз данных или используемых информационных систем;
• начало трансграничной передачи данных;
• прекращение отдельного процесса обработки.

Изменение дизайна страницы само по себе обычно не требует нового уведомления. Но если при редизайне появились новые поля, квиз, личный кабинет или интеграция с сервисом заявок, нужно сравнить фактическую обработку с ранее поданными сведениями. При разработке нового сайта это удобно делать на этапе проектирования. Студия RDMN учитывает формы, интеграции и роли подрядчиков при подготовке требований к сайту, но юридическую оценку процессов должен подтвердить сам владелец бизнеса.

Что уведомление не заменяет

Одна запись в реестре не делает обработку законной автоматически. У бизнеса остаются другие задачи, и каждая закрывает свою часть требований.

• Политика обработки персональных данных. В ней описывают цели, категории данных, права субъектов, порядок обработки и сведения об ответственных лицах.
• Согласия. Их получают в тех случаях, когда правовым основанием является согласие. Текст, способ подтверждения и возможность отзыва должны соответствовать конкретному процессу.
• Договоры с обработчиками. Если подрядчик действует по поручению бизнеса, в договоре фиксируют состав данных, операции, конфиденциальность, защиту и порядок удаления.
• Локальные документы и доступы. Нужно определить, кто имеет доступ к заявкам, как выдаются права, как меняются пароли и что делать при инциденте.
• Требования к размещению баз данных. При сборе данных граждан России через интернет необходимо учитывать требования о первичной записи, систематизации, накоплении, хранении, уточнении и извлечении данных с использованием баз на территории России.
• Порядок удаления. Данные нельзя хранить бесконечно без цели. Нужны сроки или понятные условия прекращения обработки, если специальный закон не устанавливает иное.

Если на сайте есть личный кабинет, проверьте отдельно регистрацию, восстановление доступа, историю заказов и удаление профиля. Практические требования к таким функциям разобраны в материале про личный кабинет на сайте. Это помогает не свести проверку к одной форме обратной связи, когда основные данные хранятся уже внутри закрытой части сайта.

Типичные ошибки при подаче уведомления

Указан разработчик сайта вместо владельца обработки

Компания заказывает сайт у подрядчика и просит его подать уведомление от своего имени. Это неверный подход, если подрядчик не определяет цели обработки. В заявке должен быть указан оператор, а отношения с разработчиком оформляются договором и поручением на обработку при необходимости.

Все цели объединены в одну формулировку

Фраза «обеспечение деятельности организации» не показывает, зачем собирается номер телефона и что происходит с ним дальше. Разделяйте обработку заявок, договоров, доставки, рассылки и аналитики. Чем точнее описание, тем проще сопоставить уведомление с сайтом и внутренними процессами.

Забыты подрядчики и интеграции

Заявка может пройти через форму, сервер сайта, CRM, почтовый сервис и телефонию. Если компания указала только сайт, но не учла фактическую передачу информации, документы не отражают реальную схему. Составьте список интеграций и уточните у каждого поставщика, какие данные он получает и где их хранит.

В уведомлении указаны данные, которых компания не собирает

Шаблон заполняют слишком широко, чтобы не возвращаться к нему в будущем. В результате появляются лишние категории, а политика и формы с ними не совпадают. Указывайте фактический состав и обновляйте сведения при запуске нового процесса.

Обновление откладывают после запуска нового сайта

Редизайн часто сопровождается квизом, чатом, регистрацией, оплатой или новой рекламной аналитикой. Эти изменения нужно проверить до публикации или сразу после запуска. В проектном плане стоит назначить ответственного за юридическую проверку, а не считать её задачей только разработчика.

Уведомление считают заменой согласия

Уведомление сообщает государству об организации обработки, а согласие фиксирует волю конкретного человека в соответствующей ситуации. Эти документы имеют разное назначение. На форме заявки должно быть понятно, какие данные вводятся, для какой цели и где пользователь может ознакомиться с политикой.

Как подготовить сайт к проверке без лишней переделки

Начните с таблицы, в которой для каждой формы указаны поля, цель, получатели, срок хранения и основание обработки. Например, форма консультации может собирать имя и телефон для ответа на обращение, интернет-магазин дополнительно получает адрес доставки, а подписка на новости требует отдельной рекламной цели.

Затем сравните таблицу с четырьмя источниками: уведомлением, политикой, текстами форм и настройками сервисов. Любое расхождение нужно объяснить и устранить. Если политика говорит только о заявках, а менеджеры используют контакты для рекламных звонков, потребуется изменить процесс или документы и получить необходимое согласие.

Проверьте техническую часть: данные должны передаваться по защищённому соединению, доступ к заявкам получают только сотрудники, а административные учётные записи не используются совместно. На сайт также не следует устанавливать интеграции без понимания того, какие сведения они отправляют. Для оценки влияния технических настроек на заявки и качество посещений полезно разделять аналитику и юридическую проверку, а не считать любой счётчик обязательной частью сайта.

Если одновременно меняются структура, формы и источники трафика, заранее определите порядок работ. В практике RDMN такие задачи обычно раскладывают на карту данных, требования к сайту и отдельную проверку после публикации. Точную смету по разработке или доработке можно определить только после брифа и состава интеграций, потому что юридическая часть зависит от реального количества процессов.

Частые вопросы

Нужно ли уведомление индивидуальному предпринимателю с простой формой заявки?

Чаще всего да, если форма собирает телефон, имя или электронную почту и данные обрабатываются с помощью сайта, CRM, почты или другого сервиса. Статус индивидуального предпринимателя и небольшой объём заявок сами по себе не освобождают от требований. Исключение нужно подтверждать по конкретным условиям обработки.

Нужно ли подавать отдельное уведомление на каждый сайт?

Обычно уведомление подают оператору, а не каждому домену. В одном уведомлении можно описать несколько процессов и сайтов, если они принадлежат одному оператору и корректно отражены цели, категории данных, системы и места обработки. Если владельцы разные или процессы существенно отличаются, сведения нужно разграничить.

Кто отвечает за уведомление, владелец сайта или веб-студия?

Как правило, отвечает владелец бизнеса, который определяет цели и способы обработки. Веб-студия может помочь собрать сведения, настроить формы и подготовить техническое описание, но это не переносит ответственность за достоверность уведомления. Роли и обязанности подрядчика нужно зафиксировать в договоре.

Нужно ли обновлять уведомление после добавления квиза?

Нужно проверить, изменились ли цели, категории данных, способы обработки или состав получателей. Квиз часто собирает больше сведений, чем обычная форма, и передаёт их в новые сервисы. Если изменения затрагивают сведения из уведомления, их следует внести в установленный срок.

Можно ли подать уведомление после того, как сайт уже работает?

Формально уведомление подают до начала соответствующей обработки, поэтому запуск без него создаёт риск. Если сайт уже работает, не стоит ждать проверки: проведите инвентаризацию, устраните очевидные несоответствия и подайте актуальные сведения. Параллельно проверьте формы, политику, договоры и доступы.

Нужно ли указывать cookie и данные аналитики?

Нужно оценить, позволяют ли используемые данные связать сведения с конкретным посетителем и передаются ли они сторонним сервисам. Сам термин cookie не всегда означает персональные данные, но идентификаторы, сведения о действиях пользователя и связка с аккаунтом могут иметь значение. Настройки аналитики и юридические документы должны соответствовать фактической конфигурации сайта.

Что делать: короткий план

1. Назначьте оператора и ответственного за сбор информации по обработке.
2. Составьте список форм, личных кабинетов, CRM, телефонии, рассылок и других каналов, где появляются данные.
3. Опишите цели, категории людей, состав данных, операции, получателей и сроки хранения.
4. Проверьте, нужна ли уведомительная процедура и не применяется ли узкое исключение.
5. Сверьте сведения с политикой, текстами форм, согласиями и договорами с подрядчиками.
6. Подайте уведомление через электронный сервис Роскомнадзора до начала обработки либо без промедления, если процесс уже запущен.
7. Сохраните подтверждение отправки и проверьте запись оператора в реестре.
8. Поставьте ежегодную или проектную проверку при запуске новых форм, интеграций, сайтов и рекламных каналов.
9. При изменении сведений обновите уведомление в установленный законом срок, а при прекращении обработки сообщите об этом отдельно.

Для владельца сайта главный ориентир прост: уведомление должно описывать не абстрактную компанию, а реальный путь данных от формы до удаления. Если сайт, документы, договоры и внутренние процессы говорят одно и то же, риск случайных нарушений заметно ниже, а запуск новых функций проходит предсказуемее.

Полезные страницы по теме

• Создание сайтов под ключ