Реестр нарушителей прав субъектов персональных данных
Что такое реестр нарушителей прав субъектов персональных данных по ст. 15.5 закона № 149-ФЗ: как сайт в него попадает, какие сроки у владельца, как исключить и чем он отличается от реестра операторов.
Коротко: реестр нарушителей прав субъектов персональных данных — автоматизированная информационная система, которую создали по ст. 15.5 закона № 149-ФЗ. В неё вносят домены, страницы и сетевые адреса сайтов, где информация обрабатывается с нарушением закона о персональных данных, и только на основании вступившего в законную силу решения суда (ч. 5). Последствие — ограничение доступа к сайту: сначала через хостинг-провайдера, затем через операторов связи. Из реестра исключают в течение трёх дней после обращения, когда нарушение устранено (ч. 11). Это не реестр операторов, в который вносят после уведомления.
Главное о реестре нарушителей
- Реестр про сайты, а не про всех операторов: в нём домены, страницы и сетевые адреса (ч. 2 ст. 15.5).
- Основание одно: вступивший в законную силу судебный акт (ч. 5). Размер бизнеса значения не имеет.
- Сроки короткие: 1 рабочий день на меры после уведомления, ограничение доступа не позднее 3 рабочих дней (ч. 8 и 9).
- Выход есть: устранили нарушение, обратились, и сайт исключают в течение трёх дней (ч. 11).
- Проверить свой сайт можно в форме «Просмотр реестра» на портале pd.rkn.gov.ru.
Что это за реестр и кто его ведёт
Статья 15.5 закона № 149-ФЗ называется «Порядок ограничения доступа к информации, обрабатываемой с нарушением законодательства Российской Федерации в области персональных данных». Она введена законом № 242-ФЗ от 21.07.2014. Реестр создан, чтобы ограничивать доступ к такой информации в интернете (ч. 1). Создание, формирование и ведение реестра осуществляет федеральный орган, который контролирует связь и информационные технологии, то есть Роскомнадзор (ч. 3). Он может привлечь оператора реестра — организацию, зарегистрированную в России (ч. 4). Полномочие ограничивать доступ закреплено и в п. 3.1 ч. 3 ст. 23 закона № 152-ФЗ «в порядке, установленном законодательством».
В реестр включают (ч. 2 ст. 15.5): доменные имена и указатели страниц сайтов; сетевые адреса сайтов; указание на судебный акт; информацию об устранении нарушения; дату направления операторам связи данных для ограничения доступа. Штрафов в самой статье 15.5 нет: ответственность за нарушение закона о персональных данных устанавливает КоАП, см. штрафы за персональные данные.
Не путайте три реестра
| Реестр | Норма | Что в нём | Как попадают |
|---|---|---|---|
| Реестр операторов персональных данных | ст. 22 закона № 152-ФЗ, ч. 4 | Сведения из уведомления оператора, они общедоступны | Оператор сам подаёт уведомление. Подробнее: реестр операторов |
| Реестр нарушителей прав субъектов персональных данных | ст. 15.5 закона № 149-ФЗ | Домены, страницы и адреса сайтов с информацией, обрабатываемой с нарушением закона о персональных данных | Вступивший в законную силу судебный акт (ч. 5) |
| Единый реестр доменных имён, страниц сайтов и сетевых адресов с информацией, распространение которой в России запрещено | ст. 15.1 закона № 149-ФЗ | Сайты с запрещённой информацией | По основаниям ст. 15.1, их мы здесь не разбираем |
Как сайт попадает в реестр: шаги и сроки
| Шаг | Что происходит | Срок | Основание |
|---|---|---|---|
| 1 | Человек требует от владельца сайта удалить незаконно размещённую информацию. Этот шаг Роскомнадзор рекомендует на портале как первый, в ст. 15.5 он не назван обязательным | — | Портал pd.rkn.gov.ru |
| 2 | Суд устанавливает нарушение, решение вступает в силу. Иск вправе подать и сам Роскомнадзор в защиту прав субъектов, в том числе неопределённого круга лиц | Определяет процессуальный закон, здесь не разбирали | ч. 5 ст. 15.5; п. 5 ч. 3 ст. 23 закона № 152-ФЗ |
| 3 | Субъект подаёт заявление в Роскомнадзор с судебным актом. Форму утверждает Роскомнадзор, на портале вход через Госуслуги | В ч. 6 срок не указан | ч. 6 ст. 15.5 |
| 4 | Роскомнадзор определяет хостинг-провайдера и направляет ему уведомление на русском и английском языках | 3 рабочих дня со дня получения судебного акта | ч. 7 ст. 15.5 |
| 5 | Провайдер информирует владельца сайта и требует незамедлительно устранить нарушение или ограничить доступ к информации | 1 рабочий день с получения уведомления | ч. 8 ст. 15.5 |
| 6 | Владелец обязан принять меры по устранению. При отказе или бездействии провайдер ограничивает доступ к ресурсу | Меры: 1 рабочий день; ограничение: не позднее 3 рабочих дней с получения провайдером уведомления Роскомнадзора | ч. 9 ст. 15.5 |
| 7 | Если меры не приняты, данные о сайте уходят операторам связи, и те обязаны незамедлительно ограничить доступ | Незамедлительно | ч. 10 и 10.1 ст. 15.5 |
Исключение в ч. 10.1 отсылает к п. 5.1 ст. 46 закона «О связи», этот пункт мы не разбирали.
Что это значит для владельца сайта
- Без судебного акта в этот реестр не вносят. Основание в ч. 5 одно. По нашему прочтению, жалоба в Роскомнадзор сама по себе не ведёт к внесению сайта в реестр, нужен суд. Что бывает после жалобы, мы разбирали в статье о жалобе на оператора.
- После решения суда времени мало: один рабочий день на меры после уведомления провайдера и три рабочих дня до ограничения доступа. Поэтому исполнять решение суда лучше заранее, не дожидаясь письма от хостинга.
- Исключение из реестра происходит по обращению владельца сайта, хостинг-провайдера или оператора связи не позднее чем в течение трёх дней со дня обращения, после того как нарушение устранено, либо на основании решения суда об отмене ранее принятого акта (ч. 11). По описанию на портале Роскомнадзора, об устранении сообщают через форму обратной связи и прикладывают подтверждающие документы.
Что мы не открывали. На портале Роскомнадзора как нормативную базу реестра указаны постановление Правительства № 857 от 19.08.2015 и приказы Роскомнадзора № 84 и № 85 от 22.07.2015. Тексты этих документов мы не разбирали, поэтому форму заявления и порядок взаимодействия с хостингом не пересказываем.
Как проверить свой сайт в реестре
На портале персональных данных есть форма «Просмотр реестра». В неё вводят IP-адрес, доменное имя или адрес страницы и защитный код. Форма показывает, приняты ли меры по ограничению доступа к ресурсу. Если сайта в реестре нет, это не значит, что на нём всё в порядке: реестр отвечает на вопрос о судебных решениях, а не об общем соответствии закону.
Как не оказаться в реестре
Закон не даёт «списка мер против реестра». Ниже наша рекомендация: причина всегда в нарушении, которое дошло до суда, поэтому важны привычные вещи.
- Политика и сведения о защите опубликованы на сайте (ч. 2 ст. 18.1 закона № 152-ФЗ): где разместить политику на сайте.
- Формы собирают данные с понятным основанием, согласие оформлено отдельно (ч. 1 ст. 9): согласие на обработку на сайте и персональные данные на сайте.
- Чужие данные не публикуются без согласия на распространение: распространение персональных данных.
- Требования людей не остаются без ответа: ответ на запрос субъекта и прекращение обработки. Если человека попросили удалить данные, а ответа нет, он может обратиться в Роскомнадзор или в суд (ч. 1 ст. 17); для реестра нужен судебный акт.
- Решение суда исполняется в срок: по ч. 9 ст. 15.5 у владельца сайта на это один рабочий день после уведомления.
Общую картину обязанностей оператора даёт главный материал кластера: что такое персональные данные. Как проходят проверки, написано в статье о проверке Роскомнадзора.
Как мы помогаем
Чтобы найти и убрать причины для иска на сайте, аудит сайта на 152-ФЗ за 4 900 ₽ проверяет формы, согласия, опубликована ли политика, какие сервисы получают данные и где лежит база, и сверяет сайт с уведомлением. Отчёт с нормой и приоритетом по каждому пункту — за 3 рабочих дня, доступ в админку не нужен. Если политики и согласий нет, документы для сайта стоят 3 900 ₽, исправление на вашем сайте — от 9 900 ₽ (цену называем после аудита, до начала работ). Пакет «Старт» (уведомление, документы по 152-ФЗ и документы для сайта) — 14 900 ₽ вместо 18 700 ₽ на странице услуг ФТИ.
Чего на странице услуг нет: работы с судом и с хостинг-провайдером. Если сайт уже внесён в реестр, это судебное решение, и мы такую работу не обещаем. Аудит и устранение причин нарушения на сайте мы делаем.
Нормативные документы
На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.
- Федеральный закон № 149-ФЗ, статья 15.5 — порядок ограничения доступа к информации, обрабатываемой с нарушением законодательства о персональных данных
- Федеральный закон № 149-ФЗ, статья 15.1 — единый реестр доменных имён, указателей страниц сайтов и сетевых адресов с запрещённой информацией
- Федеральный закон № 152-ФЗ, статья 23 — уполномоченный орган по защите прав субъектов персональных данных, п. 3.1 и 5 части 3
- Федеральный закон № 152-ФЗ, статья 22 — уведомление об обработке данных и реестр операторов
- Федеральный закон № 152-ФЗ, статья 18.1, часть 2 — публикация политики оператора
- Портал персональных данных Роскомнадзора — реестр нарушителей: схема защиты прав и нормативная база
- Портал персональных данных Роскомнадзора — форма просмотра реестра нарушителей
Частые вопросы
Что такое реестр нарушителей прав субъектов персональных данных?
Это автоматизированная информационная система, созданная по ст. 15.5 закона № 149-ФЗ, чтобы ограничивать доступ к информации в интернете, обрабатываемой с нарушением закона о персональных данных. В неё вносят домены, страницы и сетевые адреса сайтов (ч. 1 и 2).
Кто ведёт реестр нарушителей?
Создание, формирование и ведение осуществляет федеральный орган, который контролирует связь, информационные технологии и массовые коммуникации, то есть Роскомнадзор (ч. 3 ст. 15.5). Он может привлечь оператора реестра — организацию, зарегистрированную в России (ч. 4).
За что сайт попадает в реестр нарушителей?
За обработку информации с нарушением законодательства о персональных данных, если это установлено вступившим в законную силу решением суда. Судебный акт — единственное основание, названное в ч. 5 ст. 15.5.
Могут ли заблокировать сайт по ст. 15.5 без решения суда?
Нет. По ч. 5 основанием для включения в реестр нарушителей является вступивший в законную силу судебный акт. Другие реестры, например по ст. 15.1, работают по своим основаниям, их мы не разбирали.
Сколько времени на устранение нарушения после уведомления?
Владелец сайта обязан принять меры в течение одного рабочего дня с момента получения уведомления от хостинг-провайдера. При отказе или бездействии провайдер ограничивает доступ не позднее трёх рабочих дней с получения им уведомления Роскомнадзора (ч. 9 ст. 15.5).
Как исключить сайт из реестра нарушителей?
После устранения нарушения владелец сайта, провайдер или оператор связи обращаются в Роскомнадзор, и сведения исключают не позднее чем в течение трёх дней со дня обращения (ч. 11 ст. 15.5). Исключение возможно и по решению суда об отмене прежнего акта.
Как проверить, есть ли мой сайт в реестре нарушителей?
На портале pd.rkn.gov.ru есть форма «Просмотр реестра»: вводят IP-адрес, домен или адрес страницы и защитный код.
Это то же самое, что реестр операторов персональных данных?
Нет. В реестр операторов сведения вносят после уведомления оператора (ст. 22 закона № 152-ФЗ). В реестр нарушителей сайты попадают по решению суда (ст. 15.5 закона № 149-ФЗ).
Есть ли штраф за внесение в реестр нарушителей?
Штрафов в самой ст. 15.5 нет. Ответственность за нарушение закона о персональных данных устанавливает КоАП, в первую очередь ст. 13.11.
Сколько стоит проверить сайт на риски по персональным данным?
Аудит сайта на 152-ФЗ в ФТИ — 4 900 ₽, отчёт за 3 рабочих дня с нормой и приоритетом по каждому пункту. Если нарушений нет, так и напишем, цена та же. Работу с судом и хостинг-провайдером мы не берём.