Нужно ли переделывать уведомление в Роскомнадзор

Уведомление об обработке персональных данных подавали давно, и с тех пор изменились и цели, и люди, и сайт. Подавать новое уведомление не нужно, и вот почему.

Короткий ответ

Переподавать уведомление не нужно. Действующее остаётся действующим, а изменения вносятся информационным письмом об уточнении сведений через тот же личный кабинет. Срок — десять рабочих дней с даты, когда сведения изменились.

Что говорит закон

Часть 7 статьи 22 Федерального закона № 152-ФЗ: при изменении сведений, указанных в уведомлении, а также при прекращении обработки персональных данных оператор обязан уведомить об этом Роскомнадзор в течение десяти рабочих дней.

Обратите внимание на формулировку. Закон требует сообщить об изменении, а не подать новое уведомление. Второе уведомление по той же организации создаёт в реестре путаницу, и его придётся отзывать.

Что чаще всего расходится с реальностью

Уведомление подавали много лет назад, а организация с тех пор изменилась. Вот что обычно устаревает.

• Категории субъектов. Указали работников и клиентов, а на деле обрабатываете данные и других людей. У экспертной организации это лица, в отношении которых проводится исследование. У клиники — пациенты и их представители. У школы — родители и законные представители несовершеннолетних.
• Посетители сайта. Если на сайте появилась форма обратной связи или веб-аналитика, вы обрабатываете данные посетителей, а такой категории в старом уведомлении обычно нет.
• Ответственное лицо. Человек уволился, а в реестре он числится до сих пор.
• Описание принятых мер. Самая частая беда: в уведомлении написано, что политика размещена на сайте оператора, а на сайте её нет.

Отдельно про дату начала обработки

Дату начала обработки менять не нужно. Она относится к моменту, с которого организация начала работать с персональными данными, и обычно совпадает с датой регистрации. На даты внутренних документов она не влияет никак.

Устаревшая формулировка про класс системы

В старых уведомлениях встречается описание мер со словами про класс информационной системы. Классы отменены в 2012 году, сейчас определяются уровни защищённости по постановлению Правительства № 1119. Нарушением это не является, формулировка пришла из шаблона портала, но при ближайшем уточнении сведений её стоит заменить на актуальную.

Порядок действий

• Откройте свою карточку в реестре операторов и прочитайте её целиком.
• Выпишите всё, что разошлось с действительностью.
• Часть расхождений закрывается не правкой уведомления, а действием. Если написано, что политика на сайте, проще опубликовать политику, чем переписывать уведомление.
• Остальное отправьте информационным письмом об уточнении сведений через личный кабинет.

Ещё по теме