Как правильно подать уведомление об обработке ПДн в Роскомнадзор (РКН)

Разрабатываете SaaS, мобильное приложение, CRM, маркетплейс или просто собираете данные через сайт? Если ваша IT-компания или проект обрабатывают персональные данные (ПДн) пользователей или клиентов в России, подача уведомления в Роскомнадзор — не бюрократия, а обязательное требование закона (152-ФЗ). Игнорирование грозит штрафами и репутационными рисками. Разберем пошагово, как IT-специалистам и компаниям пройти этот процесс без ошибок.

Согласие на обработку персональных данных

Почему это КРИТИЧНО важно для IT?

• Автоматизация = Обязанность: Практически любая автоматизированная обработка ПДн (сбор через формы, хранение в БД, аналитика) требует уведомления РКН. Ваши сайты, приложения и сервисы — это "средства автоматизации" по закону.
• Широкий охват ПДн: Для IT операторов ПДн — это не только ФИО и телефон, но и Email, логины, хеши паролей, IP-адреса, Cookie, данные User-Agent (если позволяют идентифицировать лицо), Данные аккаунтов (история действий, платежей, предпочтений), Данные для аналитики (при связке с идентификатором пользователя).
• Трансграничность: Использование зарубежных хостингов (AWS, Google Cloud и т.д.), сервисов аналитики (Google Analytics) или CRM (Hubspot) — это трансграничная передача ПДн, которую обязательно нужно указывать в уведомлении и иметь законные основания.
• Обработчики: Если вы используете внешние сервисы для хостинга, рассылок, поддержки (даже если это Mailchimp, Zendesk, Yandex.Cloud) — они ваши "Обработчики", их данные тоже вносятся в уведомление.
• Проверки РКН: IT-сектор — под пристальным вниманием регулятора. Неправильное уведомление или его отсутствие — частый повод для проверок и штрафов.

Инструкция для IT-компаний и проектов:

Шаг 1: Оцениваем необходимость (IT-фокус)

• Вам НЕ нужно уведомлять РКН, ТОЛЬКО если:
  Вы обрабатываете исключительно ФИО (очень редкий случай в IT).
  Обработка ведется полностью вручную на бумаге (практически нереально для IT). Данные строго для исполнения конкретного договора с пользователем и не выходят за эти рамки (например, данные только для входа в ваш личный кабинет SaaS, без аналитики и рассылок).
• Вам ОБЯЗАТЕЛЬНО нужно уведомлять, если:
  У вас есть регистрация/авторизация пользователей (логин/пароль/email/телефон).
  Вы собираете данные форм (обратная связь, заказы).
  Используете веб-аналитику, связывающую данные с пользователем.
  Ведёте базу клиентов (CRM).
  Отправляете email/SMS уведомления или маркетинговые рассылки.
  Храните данные на серверах (любых, включая облачные).
  Интегрируетесь со сторонними сервисами, передавая им ПДн (платежки, доставка, аналитика).

Шаг 2: Готовим сведения (IT-специфика)

Собираем информацию, уделяя особое внимание цифровым аспектам:

1. Оператор: Реквизиты вашей IT-компании (ЮЛ/ИП).
2. Цели обработки (Примеры для IT):
   "Обеспечение функционирования и безопасности онлайн-сервиса [Название]".
   "Регистрация и авторизация пользователей в системе".
   "Исполнение договоров оказания IT-услуг (SaaS/PaaS/IaaS)".
   "Обработка заказов и оплат в интернет-магазине/маркетплейсе".
   "Проведение маркетинговых и рекламных кампаний".
   "Анализ поведения пользователей для улучшения сервиса" (указывайте, если используется).
   "Техническая поддержка пользователей".
3. Категории субъектов: Пользователи сайта/приложения, клиенты (физические лица), подписчики рассылки, соискатели вакансий.
4. Категории ПДн (Типичные для IT):
   Идентификационные данные (логин, email, телефон, ID аккаунта).
   Данные для входа (хеши паролей).
   Данные профиля (ФИО, аватар - если есть).
   Данные устройства и соединения (IP-адрес, Cookie, User-Agent - если используются для идентификации или профилирования).
   Данные заказов/транзакций.
   Данные обращений в поддержку.
   Данные для рассылок.
5. Правовое основание: Чаще всего для IT это:
   Согласие субъекта ПДн (особенно для маркетинга, необязательных данных, аналитики за пределами функционала сервиса). Крайне важно иметь правильно оформленное согласие в интерфейсе!
   Заключение/исполнение договора (данные, необходимые для работы сервиса: регистрация, оплата, доступ).
   Законные интересы оператора (с осторожностью, например, безопасность сервиса, предотвращение мошенничества). Требует балансировки интересов и оценки рисков.
6. Действия с ПДн: Сбор, запись, хранение, систематизация, использование, передача (обработчикам), обезличивание, удаление.
7. Меры безопасности (Ключевое для IT!):
   Укажите соответствие требованиям Приказа ФСТЭК № 21 (угрозы 1-3 типов) и Приказа ФСБ № 378 (шифрование при передаче по открытым сетям).
   Кратко опишите ключевые техмеры: использование СКЗИ (SSL/TLS), межсетевые экраны (Firewall), антивирусы, системы обнаружения вторжений (IDS/IPS), разграничение прав доступа, резервное копирование, политики паролей, шифрование дисков/БД (если используется).
   Упомяните Политику обработки ПДн, размещенную на сайте.
8. Местонахождение БД: Адрес размещения серверов (ваш офис, дата-центр в России, или облачный провайдер + его юр. адрес в РФ, если есть). Если БД за границей - это трансграничка!
9. Трансграничная передача (Очень важно для IT!):
   ЕСТЬ, если данные хранятся/обрабатываются на серверах за пределами РФ (даже в "безопасных" юрисдикциях) или передаются иностранным сервисам (аналитика, рассылки, CDN, хостинг).
   Укажите страну(-ы) передачи и правовое основание (чаще всего - письменное согласие субъекта, явно информирующее о такой передаче!). Без согласия - трансграничная передача запрещена!
10. Обработчики (Обязательно для IT!):
    Хостинг-провайдеры (российские и иностранные).
    Сервисы email/SMS рассылок (SendGrid, Mailchimp, UniSender и т.д.).
    CRM-системы (Hubspot, Salesforce, amoCRM и т.д.).
    Системы аналитики (Google Analytics 4, Яндекс.Метрика - если передаются ПДн или псевдонимизированные данные, позволяющие идентифицировать пользователя).
    Платежные агрегаторы (CloudPayments, ЮKassa и т.д. - при передаче ПДн).
    Сервисы поддержки (Zendesk, HelpDesk и т.д.).
    Укажите для каждого: Наименование, ИНН/ОГРН (если есть у иностранца), страну, предмет поручения (например, "Хранение данных БД", "Организация email-рассылок", "Обработка обращений в техническую поддержку").
11. Дата начала обработки: Дата запуска сервиса/сайта или начала сбора данных.
12. Срок обработки: Обычно "До достижения целей обработки или до отзыва согласия субъектом ПДн".

Шаг 3: Подаем через Портал РКН (Электронно + КЭП)

1. Ссылка: https://pd.rkn.gov.ru/operators-registry/notification/form/
2. КЭП - Ваш ключ: Подача возможна только с усиленной квалифицированной электронной подписью (КЭП) руководителя компании или ИП. Получите ее в аккредитованном УЦ (например, Контур, Такском, КРИПТО-ПРО). Без КЭП - вход закрыт.
3. Заполняем форму: Внимательно вносим все подготовленные данные. Поля для IT-специфики (обработчики, трансграничка, меры безопасности) заполняем особо тщательно.
4. Подписываем и отправляем: Заверяем форму КЭП и отправляем.

Шаг 4: Мониторим статус и актуализируем

• Получаем электронную квитанцию с номером.
• Отслеживаем статус в реестре: https://pd.rkn.gov.ru/operators-registry/ (должен смениться на "Внесено в реестр").
• Актуализация ОБЯЗАТЕЛЬНА при любых изменениях в IT-инфраструктуре:
  Сменили хостинг/облако (в т.ч. регион серверов!).
  Подключили новый сервис-обработчик (новый CDN, аналитику, CRM).
  Изменили состав собираемых данных или цели их использования.
  Обновили меры безопасности.
  Сменили юр. адрес/руководителя.
• Срок: 10 рабочих дней с момента изменения.
• Как: В личном кабинете на портале РКН найти свое уведомление -> "Внести изменения".

IT-специфичные риски и советы:

• "Забытые" обработчики: Самый частый промах. Каждый SaaS, который видит ваши данные (хостинг, аналитика, рассылки, поддержка, CDN) - обработчик. Составьте полный список.
• "Невидимая" трансграничка: Использование зарубежных сервисов или облаков (даже если серверы "условно в РФ") = трансграничная передача. Требует согласия пользователя!
• Некорректные меры безопасности: Указать "Применяем ФСТЭК-21" недостаточно. Опишите ключевые реальные меры (шифрование, MFA, брандмауэр). Будьте готовы подтвердить это документами (Политика безопасности, настройки).
• Цели обработки: Разделяйте "необходимые для работы сервиса" (договор) и "маркетинг/аналитику" (согласие). Не пишите размыто.
• Согласие для трансгранички и обработчиков: Если передаете данные за рубеж или обработчику, это должно быть явно прописано в согласии пользователя, которое он подтверждает (галочка, кнопка).
• Аналитика ≠ Анонимность: Если данные из Google Analytics/Яндекс.Метрики можно связать с конкретным пользователем (через User ID, сохраненные логины и т.д.) - это ПДн, требующие уведомления и законного основания.
• Мобильные приложения: Требования те же + особенности политики конфиденциальности в App Store/Google Play.

Подача уведомления в РКН — не просто формальность, а базовый элемент легальности вашего IT-проекта в части работы с персональными данными. Понимание IT-специфики при его подготовке критически важно. Не надейтесь на "авось" или "мы маленькие". РКН активно мониторит цифровую среду. Потратьте время на корректное оформление уведомления и его актуализацию — это сэкономит вам нервы, деньги и репутацию в будущем. Убедитесь, что ваша Политика конфиденциальности на сайте полностью соответствует данным, указанным в уведомлении!