Образец заполнения уведомления в Роскомнадзор: поля и пример
Разбор формы уведомления об обработке персональных данных по приказу Роскомнадзора № 180: какие разделы входят, что писать в каждом поле и как выглядит заполнение на примере вымышленной организации.
Коротко: форма уведомления утверждена приказом Роскомнадзора № 180 от 28.10.2022 и состоит из сведений об операторе, блока по каждой цели обработки и общих сведений о мерах защиты, ответственном, сроках и базе данных. Ниже разобран каждый раздел и показан пример заполнения на вымышленной организации. Официальная форма на портале pd.rkn.gov.ru повторяет бумажную: те же сведения, только в виде полей и списков.
Что важно помнить при заполнении
- Цели заполняются по отдельности. Для каждой свои данные, субъекты, основание, действия и способы (часть 3.1 статьи 22).
- Основание обработки берётся из статьи 6 закона. Сам закон № 152-ФЗ основанием не считается.
- Данные ответственного попадают в общедоступный реестр.
- Пример ниже условный: организация вымышленная, значения подставьте свои.
Из чего состоит форма
Приказ № 180 утвердил три формы: о намерении осуществлять обработку (приложение 1), об изменении сведений (приложение 2) и о прекращении обработки (приложение 3). Состав первой формы задают часть 3 и часть 3.1 статьи 22 закона «О персональных данных». Ниже соответствие между разделами формы и нормой.
| Раздел формы | Норма | Что указывают |
|---|---|---|
| Сведения об операторе | Пункт 1 части 3 и форма приказа № 180 | Наименование или ФИО, ИНН и ОГРН (ОГРНИП), адрес |
| Цель обработки | Пункт 2 части 3 | Каждая цель отдельным блоком |
| Категории данных, категории субъектов, основание, действия, способы | Часть 3.1 | Для каждой цели отдельно |
| Меры защиты | Пункт 7 части 3 | Меры по статьям 18.1 и 19, сведения о шифровальных средствах |
| Ответственные лица | Пункт 7.1 части 3 | ФИО или наименование, телефоны, адреса, почта |
| Дата начала обработки | Пункт 8 части 3 | Число, месяц, год |
| Срок или условие прекращения | Пункт 9 части 3 | Дата или событие, после которого обработка прекращается |
| Трансграничная передача | Пункт 10 части 3 | Есть она или нет |
| Место базы данных | Пункт 10.1 части 3 | Страна и адрес базы, где находятся данные граждан России |
| Лица, имеющие доступ к данным в государственных и муниципальных системах | Пункт 10.2 части 3 | Заполняют только владельцы и операторы таких систем |
| Обеспечение безопасности | Пункт 11 части 3 | Меры по требованиям Правительства |
В конце формы стоят ФИО и должность подписывающего лица, подпись и дата. На портале вместо этого указывают сведения об исполнителе: кто заполнил форму, должность, контакты.
Пример заполнения: вымышленная организация
Показываем логику заполнения на условной компании ООО «Пример Сервис». Она продаёт услуги через сайт, принимает заявки в форме и ведёт сотрудников в бухгалтерской программе. Все названия и номера условные, это иллюстрация, а не готовый документ для подачи.
Сведения об операторе
| Поле | Значение в примере |
|---|---|
| Тип оператора | Юридическое лицо |
| Наименование | Общество с ограниченной ответственностью «Пример Сервис» |
| Сокращённое наименование | ООО «Пример Сервис» |
| ИНН, ОГРН | Условные значения, вносятся по выписке из ЕГРЮЛ |
| Адрес | Выбирается из справочника ФИАС, с почтовым индексом |
| Регионы обработки | Один регион или «Все субъекты Российской Федерации» |
Цель 1. Ведение кадрового и бухгалтерского учёта
| Поле | Значение в примере |
|---|---|
| Категории данных | Фамилия, имя, отчество, дата рождения, адрес регистрации, номер телефона, СНИЛС, ИНН, данные документа, удостоверяющего личность, сведения о трудовой деятельности, номер расчётного счёта |
| Категории субъектов | Работники, уволенные работники |
| Правовое основание | Обработка необходима для выполнения возложенных на оператора законом обязанностей (пункт 2 части 1 статьи 6) |
| Действия | Сбор, запись, систематизация, накопление, хранение, уточнение, использование, передача, удаление, уничтожение |
| Способ | Смешанная обработка, без передачи по внутренней сети, с передачей по сети Интернет |
Цель 2. Подготовка, заключение и исполнение гражданско-правового договора
| Поле | Значение в примере |
|---|---|
| Категории данных | Фамилия, имя, отчество, номер телефона, адрес электронной почты |
| Категории субъектов | Клиенты, представители контрагентов |
| Правовое основание | Обработка необходима для исполнения договора или заключения договора по инициативе субъекта (пункт 5 части 1 статьи 6) |
| Действия | Сбор, запись, хранение, использование, передача, удаление |
| Способ | Автоматизированная обработка, с передачей по сети Интернет |
Цель 3. Продвижение товаров, работ, услуг на рынке
| Поле | Значение в примере |
|---|---|
| Категории данных | Адрес электронной почты, номер телефона, сведения, собираемые посредством метрических программ |
| Категории субъектов | Посетители сайта, клиенты |
| Правовое основание | Согласие субъекта на обработку (пункт 1 части 1 статьи 6) |
| Действия | Сбор, запись, хранение, использование, удаление |
| Способ | Автоматизированная обработка, с передачей по сети Интернет |
Названия целей, категорий данных, субъектов и оснований в примере взяты из списков, которые есть в онлайн-форме. Выбирайте только то, что у вас действительно происходит. Лишние категории данных и субъектов — такой же недочёт, как пропущенные: сведения должны совпадать с реальностью и с политикой на сайте.
Общие сведения
| Поле | Значение в примере |
|---|---|
| Меры по статьям 18.1 и 19 | Краткое описание: назначен ответственный, принята политика, ограничен доступ сотрудников, используется антивирусная защита, настроены резервные копии |
| Шифровальные средства | «Не используются» или «используются» с классом и названием средства |
| Ответственный | Физическое лицо: ФИО, телефон не менее 11 цифр, почтовый адрес, адрес электронной почты |
| Дата начала обработки | Фактическая дата начала, может совпадать с датой регистрации организации |
| Срок или условие прекращения | Условие: ликвидация организации или достижение целей обработки |
| Трансграничная передача | «Не осуществляется» или «осуществляется» |
| База данных | Страна Россия, адрес ЦОДа. Если ЦОД не собственный, организация-хранитель |
| Блок о государственных и муниципальных системах | Удаляется, если вы не владелец и не оператор таких систем |
| Безопасность по требованиям Правительства | Перечень мер по постановлению № 1119 |
Какие подсказки даёт сам Роскомнадзор
В форме на портале у многих полей есть подсказки. Вот те, которые чаще всего пригождаются:
- Цель обработки — это и цели из учредительных документов, и цели фактической деятельности, при которой обрабатываются данные.
- Категории субъектов — не только «работники», но и виды отношений: заказчик, абонент, пассажир, заёмщик и подобные.
- Правовое основание — согласие, договор, требование закона. Сам закон № 152-ФЗ основанием не является.
- Меры защиты — это и описание мер по статьям 18.1 и 19, и организационные и технические меры от неправомерного доступа, уничтожения, изменения, блокирования, копирования.
- Дата начала обработки — фактическая, может совпадать с датой регистрации оператора.
- Сведения о средствах обеспечения безопасности не являются общедоступными, а данные ответственного лица — являются.
Типичные ошибки при заполнении
- Одна цель на все случаи. «Работа с клиентами» не заменит цели «Исполнение договора» и «Продвижение услуг». У них разные основания и разные данные.
- Согласие везде. Для кадрового учёта основанием может служить закон (пункт 2 части 1 статьи 6). Выбирайте основания по тому, как данные обрабатываются на деле. Для рассылки — согласие.
- Данные на сайте шире, чем в уведомлении. Если политика на сайте и уведомление описывают разные цели и данные, возникает расхождение. Три и более таких расхождения Минцифры считает индикатором риска (приказ № 720).
- Не указана зарубежная база. Данные граждан России по общему правилу хранят в базах на территории России (часть 5 статьи 18), поэтому страну и адрес базы указывают точно.
- Пропущен ответственный или указаны контакты, которые не работают.
Как сверять уведомление и сайт, подробно в статье о персональных данных на сайте. Что менять, когда вы запустили новую цель или сервис, — в статье об изменении уведомления. Как подать готовую форму, описано в инструкции как подать уведомление в Роскомнадзор. Общие требования к уведомлению собраны в основной статье, а проверить свою запись после подачи поможет статья о реестре операторов.
Как мы помогаем
Составить уведомление по каждой цели и не получить запрос уточнений — задача, которую ФТИ берёт на себя. Услуги по персональным данным у нас ведёт юрист, мы работаем удалённо по всей России.
- Разбираем ваши процессы: цели, данные, системы, зарубежные сервисы.
- Заполняем уведомление по каждой цели и показываем вам до подачи.
- Подаём вместе: вход делает ваш руководитель, пароли и ключи нам не передаются.
- Отвечаем на запрос уточнений без доплаты.
Цена 4 900 ₽, один-два рабочих дня на подготовку и подачу после получения данных. Подробности: уведомление в Роскомнадзор под ключ. Чтобы сайт и уведомление не расходились, можно заказать аудит сайта на 152-ФЗ, 4 900 ₽, а политику и согласия подготовить как документы по 152-ФЗ.
Нормативные документы
На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.
- Приказ Роскомнадзора от 28.10.2022 № 180 — формы уведомлений о начале, изменении и прекращении обработки
- Статья 22 Федерального закона № 152-ФЗ — состав сведений уведомления, части 3 и 3.1
- Статья 6 Федерального закона № 152-ФЗ — условия обработки персональных данных, правовые основания
- Статья 18.1 Федерального закона № 152-ФЗ — меры, обеспечивающие выполнение обязанностей оператора
- Статья 19 Федерального закона № 152-ФЗ — меры по обеспечению безопасности персональных данных
- Портал персональных данных Роскомнадзора — электронные формы уведомлений и инструкция по заполнению
Частые вопросы
Где взять образец уведомления в Роскомнадзор?
Утверждённая форма опубликована в приказе Роскомнадзора № 180 от 28.10.2022. Заполнять её удобнее онлайн на портале pd.rkn.gov.ru: поля и списки повторяют бумажную форму. Пример логики заполнения мы разобрали выше на вымышленной организации.
Из каких частей состоит уведомление?
Из сведений об операторе, блока по каждой цели обработки, описания мер защиты, сведений об ответственном, даты начала и срока прекращения, данных о трансграничной передаче, месте базы данных и обеспечении безопасности. Состав задают часть 3 и часть 3.1 статьи 22 закона № 152-ФЗ.
Что писать в правовом основании обработки?
Одно из оснований статьи 6 закона: согласие, закон, договор и другие. Например, для кадровых обязанностей это может быть закон, для исполнения договора с клиентом договор, для рассылки согласие. Сам ФЗ № 152 основанием не является.
Сколько целей обработки нужно указывать?
Столько, сколько их реально. По каждой цели указывают категории данных, категории субъектов, основание, действия и способы. Общая цель на всё не подходит.
Что такое «метрические программы» в списке данных?
Это категория «сведения, собираемые посредством метрических программ». Её отмечают, если на сайте установлены счётчики или аналитика, которые собирают данные посетителей.
Нужно ли описывать меры защиты подробно?
Нужно описать меры по статьям 18.1 и 19 закона и указать, используются ли шифровальные средства. Сведения о средствах обеспечения безопасности в реестре не публикуются. Отдельно заполняют сведения по требованиям постановления Правительства № 1119.
Какие данные ответственного лица видны всем?
Сведения об ответственном за организацию обработки данных, указанные в уведомлении, попадают в общедоступный реестр. Роскомнадзор прямо предупреждает об этом на странице подачи.
Что делать с блоком о государственных информационных системах?
Его заполняют только владельцы и операторы государственных и муниципальных информационных систем. Если вы к ним не относитесь, набор полей нужно удалить кнопкой «Удалить».
Сколько стоит заполнить уведомление у ФТИ?
Уведомление в Роскомнадзор под ключ стоит 4 900 ₽. Мы разбираем ваши цели, заполняем форму по каждой цели, подаём вместе с вашим руководителем и отвечаем на запрос уточнений без доплаты.