Обработка персональных данных: как уведомить Роскомнадзор, кто и когда должен это сделать

Роскомнадзор утвердил новые Методические рекомендации, которыми следует руководствоваться при оформлении уведомления о начале обработки персональных данных (Приказ Роскомнадзора от 30.05.2017 N 94). Действовавшие до сих пор Рекомендации по заполнению формы уведомления, утратили силу.
Новые рекомендации содержат не только перечень сведений, которые нужно включить в уведомление: правовое основание обработки персональных данных, сведения о месте нахождения базы данных, содержащей персональные данные граждан РФ, и т.д. Установлены последствия неправильного заполнения уведомления: в случае представления оператором неполных или недостоверных сведений, оператору будет направляться запрос об их уточнении. На это оператору отводится 30 дней. Если оператор запрос не выполнит, уведомление будет возвращено оператору без внесения сведений о нем в Реестр.
Новые рекомендации содержат также порядок уведомления об изменении ранее предоставленных сведений и о прекращении обработки персональных. Об изменении оператор должен сообщить в Информационном письме по установленной форме в течение 10 рабочих дней с момента возникновения таких изменений. В случае прекращения обработки персональных данных, оператор должен в течение 10 рабочих дней направить специальное Заявление.
Наконец, рекомендации предусматривают порядок получения выписки из Реестра. При этом сведения об Операторе, содержащиеся в Реестре, по-прежнему являются общедоступными и размещаются для ознакомления на официальном сайте и Портале персональных данных Роскомнадзора.
На заметку: если уведомление в Роскомнадзор не подано, подано уже после начала обработки персональных данных, либо уведомление содержало неполные или недостоверные сведения, оператор может быть привлечен к административной ответственности по ст. 19.7 КоАП РФ.
При этом Федеральным законом от 27.07.2006 N 152-ФЗ предусмотрен перечень исключений, когда представление уведомления не требуется. В частности, такой обязанности нет у работодателя, если основанием обработки являются трудовые отношения. Уведомление не требуется, когда обработка персональных данных производится без использования средств автоматизации – то есть при непосредственном участии человека (в том числе, например, при обработке данных в таблице Excel). Уведомление не нужно и при обработке данных контрагентов по договорам, если они необходимы для их исполнения.