РКН Аудит
Квалифицированная электронная подпись для уведомления в Роскомнадзор не обязательна. Статья 22 152-ФЗ требует лишь, чтобы уведомление — на бумаге или в электронной форме — подписало уполномоченное лицо, и вид подписи не называет. Портал персональных данных Роскомнадзора принимает уведомление тремя способами: с усиленной квалифицированной электронной подписью, через подтверждённую учётную запись на Госуслугах без подписи и на бумаге — распечатать заполненную на портале форму, подписать и направить в территориальное управление. Ниже — кому какой способ подходит и чья именно подпись нужна.
Что говорит закон о форме уведомления?
Норма короткая. Статья 22 152-ФЗ устанавливает, что уведомление направляется в виде документа на бумажном носителе или в форме электронного документа и подписывается уполномоченным лицом. Всё. Ни «квалифицированной», ни «усиленной» в тексте нет: вид электронной подписи закон не называет. Регулятору та же статья (часть 8) делегирует только формы уведомлений — их утверждает приказ Роскомнадзора №180, и вида подписи он тоже не устанавливает.
Из этого следуют три практических вывода.
- Вид электронной подписи задаёт не закон, а портал. Какие способы подачи доступны, определяется тем, что принимает информационная система Роскомнадзора.
- Подпись должна принадлежать уполномоченному лицу. Это требование общее для бумаги и электроники: подписывает тот, кто вправе действовать от имени оператора.
- Бумажная форма равноправна. Уведомление, отправленное почтой, — не «запасной вариант для тех, у кого нет подписи», а прямо предусмотренный законом способ.
Форма самого уведомления и его состав утверждены приказом Роскомнадзора №180; какие сведения в него входят, разобрано в статье «Как уведомить Роскомнадзор об обработке ПДн».
Какие способы подачи есть на портале Роскомнадзора?
| Способ | Что нужно | Кому подходит | Где смотреть результат |
|---|---|---|---|
| Электронный документ с усиленной квалифицированной электронной подписью | Действующий квалифицированный сертификат руководителя, ИП или уполномоченного сотрудника | Компаниям и ИП, у которых подпись уже есть для отчётности | Квитанция портала с номером и ключом, затем реестр |
| Электронная форма с подтверждением через Госуслуги | Подтверждённая учётная запись; для организации — учётная запись сотрудника, привязанная к организации | Малому бизнесу, ИП и самозанятым без подписи | Квитанция портала, личный кабинет на Госуслугах, затем реестр |
| Бумажный документ | Заполненная на портале и распечатанная форма, подпись уполномоченного лица, печать при наличии | Тем, у кого нет ни подписи, ни учётной записи организации | Территориальное управление по месту регистрации, затем реестр |
Для всех трёх способов форма одна и та же и заполняется на портале. Разница — в том, как документ попадает к регулятору. По статье 22 152-ФЗ у регулятора на внесение сведений в реестр есть 30 дней с даты поступления уведомления: при электронной подаче оно поступает в день отправки, при бумажной — когда письмо дойдёт до территориального управления.
Если после подачи подтверждения долго нет, порядок проверки статуса разобран в статье «Подали уведомление в Роскомнадзор, а подтверждения нет».
Чья подпись нужна: руководителя или любого сотрудника?
Закон говорит об уполномоченном лице, и здесь важно не перепутать два разных полномочия.
Полномочие подписать уведомление — это право действовать от имени оператора перед регулятором. У руководителя организации оно есть по должности. У сотрудника — только если передано: доверенностью или приказом, а для электронной подписи — ещё и машиночитаемой доверенностью. С 1 сентября 2023 года сертификаты сотрудников с реквизитами организации не выдаются: сотрудник подписывает личной квалифицированной подписью физического лица, а полномочие прикладывается к документу отдельным электронным файлом — это правило установлено законом об электронной подписи №63-ФЗ.
Ответственный за организацию обработки персональных данных по статье 22.1 152-ФЗ — другая роль. Это лицо, которое внутри компании отвечает за обработку и чьи контакты указываются в уведомлении. Оно может подписывать уведомление, только если у него есть и первое полномочие. Назначить сотрудника ответственным и считать, что он автоматически вправе подавать уведомление, — распространённая ошибка.
Для трёх типов операторов картина такая:
- Организация. Подписывает руководитель либо уполномоченный сотрудник. Через Госуслуги — учётная запись сотрудника, привязанная к организации; отправка с личной учётной записи, не связанной с компанией, даст уведомление от физического лица.
- Индивидуальный предприниматель. Подписывает сам ИП своей подписью или подаёт через свою подтверждённую учётную запись на Госуслугах. Подпись бухгалтера или помощника без доверенности не подходит.
- Самозанятый и физическое лицо. Подаёт от своего имени как физическое лицо. Когда самозанятому вообще нужно уведомление, разобрано в статье «Репетитор и 152-ФЗ: нужно ли согласие на данные учеников».
Где взять квалифицированную подпись, если решили подавать с ней?
Подпись нужна не для одного уведомления — она пригодится для отчётности, электронных торгов и переписки с ведомствами. Но если цель только уведомление, дешевле обойтись подачей через Госуслуги.
| Кому | Где выдают | Что учесть |
|---|---|---|
| Руководителю организации, действующему без доверенности | Удостоверяющий центр ФНС России и его доверенные лица | Сертификат выдаётся лично руководителю; носитель для ключа покупается отдельно. Для кредитных и иных финансовых организаций — удостоверяющий центр Банка России, для государственных органов и органов местного самоуправления — Федерального казначейства |
| Индивидуальному предпринимателю | Удостоверяющий центр ФНС России и его доверенные лица | Те же правила, что для руководителя |
| Сотруднику, подписывающему от имени организации | Аккредитованный удостоверяющий центр — сертификат физического лица | Полномочие подтверждается машиночитаемой доверенностью от организации; сертификатов сотрудников с реквизитами компании с 1 сентября 2023 года не выдают |
| Физическому лицу, самозанятому | Аккредитованный удостоверяющий центр или приложение «Госключ» | «Госключ» оформляет сертификат дистанционно при подтверждённой учётной записи на Госуслугах и дополнительной проверке личности |
Проверьте срок действия сертификата до отправки: с просроченным ключом портал уведомление не примет.
Как подать уведомление, если подписи нет и не планируется?
Два рабочих пути.
Через Госуслуги. Нужна подтверждённая учётная запись. Для организации — учётная запись сотрудника, которого руководитель добавил в профиль организации на Госуслугах. Порядок: заполнить форму на портале персональных данных, проверить её, выбрать подтверждение через Госуслуги, войти в учётную запись и подтвердить отправку. После отправки портал выдаёт номер и ключ уведомления — сохраните их, они нужны для проверки состояния.
На бумаге. Заполнить ту же форму на портале, распечатать, подписать у руководителя или уполномоченного лица, поставить печать, если она есть, и направить в территориальное управление Роскомнадзора по месту регистрации оператора — почтой с описью вложения или нарочно. Опись и чек храните: это доказательство даты подачи.
Ошибки, из-за которых уведомление возвращается, как правило, не связаны с подписью: незаполненные обязательные поля, цели обработки, не стыкующиеся с категориями данных, правовое основание не по норме. Как заполнять цели и категории, разобрано в статье «Цели обработки ПДн в уведомлении РКН: что писать».
Что ещё подписывается тем же способом?
Уведомление о намерении обрабатывать данные — не единственный документ, который оператор направляет в реестр. Формы уведомлений об изменении сведений и о прекращении обработки утверждены тем же приказом Роскомнадзора №180, и подписывает их то же уполномоченное лицо. А вот набор способов подачи у каждой формы свой: он определяется тем, что предлагает сама форма на портале, — проверьте это перед заполнением, не считая по умолчанию, что доступны все три варианта.
| Документ | Срок по статье 22 152-ФЗ | Когда нужен |
|---|---|---|
| Уведомление об изменении сведений | Не позднее 15-го числа месяца, следующего за месяцем изменения | Сменился ответственный, адрес, появились новые цели или категории данных, изменилось место базы данных |
| Уведомление о прекращении обработки | В течение 10 рабочих дней с даты прекращения | Оператор перестал обрабатывать данные |
Ситуация, с которой сталкиваются чаще всего: компания подала уведомление годы назад, а сайт с формами, онлайн-оплатой и рассылкой появился потом. Здесь нужно не новое уведомление, а уведомление об изменении; подробности — в статье «Уведомление об изменении сведений в реестре операторов».
Что проверить после подачи?
Подпись — формальность, которую регулятор проверит один раз. Дальше он смотрит на сайт. Регламент автоматизированного мониторинга (АС МПДн) не опубликован, но по открытым данным система смотрит на то, что видно снаружи: запись в реестре, политику обработки, формы и согласие там, где оно требуется, — подробнее в статье «Бот РКН: как работает автоматизированный мониторинг сайтов». Бесплатный скан на rkn-ok.ru показывает эту часть так, как её видит посторонний, — до того, как то же самое увидит инспектор.
Что читать дальше
- Как уведомить Роскомнадзор об обработке ПДн: пошаговая инструкция — заполнение формы по шагам
- Подали уведомление, а подтверждения нет — где проверить статус и куда писать
- Уведомление в РКН для сайта-визитки — нужно ли оно, если на сайте одна форма
- Политика, согласие, уведомление: в чём разница — три документа, которые путают
Источники: статья 22 Федерального закона №152-ФЗ «О персональных данных» — форма уведомления, подписание уполномоченным лицом, сроки; приказ Роскомнадзора от 28.10.2022 №180 — формы уведомлений в реестр операторов; Федеральный закон №63-ФЗ «Об электронной подписи» — подписание документа представителем юридического лица и доверенность в электронной форме в машиночитаемом виде; электронные формы уведомлений на портале персональных данных Роскомнадзора — способы подачи.