Согласно ст.22 Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных», представлять уведомление в Роскомнадзор должны организации, предприниматели и самозанятые, собирающие и обрабатывающие персональные данные:
- сотрудников и кандидатов на работу;
- контрагентов;
- членов общественных объединений и религиозных организаций;
- посетителей для однократного пропуска на территорию компании;
- ФИО любого лица, полученное организацией.
Подача уведомления является основанием для внесения компании в реестр операторов персональных данных (ОПД) и легализует всю ее дальнейшую работу по сбору и обработке таких данных. Поэтому подавать уведомление должны даже те компании, которые непосредственно не работают с Роскомнадзором. Если компания собирает такие данные, как ФИО, электронная почта или место работы, то она является оператором персональных данных, а следовательно, должна взаимодействовать с РКН.
То же самое касается ситуаций, когда у компании есть хотя бы один клиент или сотрудник, чьи личные сведения обрабатываются. Кроме того, если компания сдает в аренду программы, облачные хранилища и прочие места хранения персональных данных, она также является оператором персональных данных и должна подавать в РКН соответствующее уведомление.
Подавая уведомление в Роскомнадзор, компания не только исполняет законное требование, но и поддерживает свою репутацию как ответственного контрагента в деловом сообществе. Сейчас любой желающий может посмотреть в реестре операторов, как конкретная организация обеспечивает защиту персональных данных.
Подача уведомления не приводит к возникновению в компании каких-либо дополнительных обязанностей. Компания в любом случае должна выполнять требования Федерального закона №152-ФЗ. Отсутствие в реестре Роскомнадзора сведений об операторе не освобождает организацию от обязанности разработать локальные акты, принять организационные и технические меры по защите персональных данных, а также не снимает ответственность за нарушение законодательства о защите персональных данных. Не приводит подача уведомления и к повышенному вниманию и проверкам со стороны Роскомнадзора.
Роскомнадзор может проверить любую организацию, предпринимателя или самозанятого – даже тех, кто забыл о себе заявить. Избежать исполнения требований Федерального закона №152-ФЗ, не регистрируясь в реестре операторов персональных данных, не удастся. Основанием для назначения проверки не всегда является наличие организации в реестре. Существуют и другие критерии, которые служат поводом для дальнейшей проверки.