РКН Аудит
Если ранее сообщённые Роскомнадзору сведения об обработке персональных данных изменились, оператор обязан уведомить его не позднее 15-го числа следующего месяца — ч. 7 ст. 22 152-ФЗ. Сообщить нужно обо всех изменениях, возникших за месяц, используя форму из приложения № 2 к приказу РКН № 180. Сначала сравните фактическую обработку с прежним уведомлением и записью в реестре. Первоначальное уведомление, прекращение обработки и сообщение об инциденте — отдельные случаи с другими правилами.
Какие изменения нужно сообщить Роскомнадзору?
Сверяйте сведения, перечисленные в частях 3 и 3.1 статьи 22 152-ФЗ. Начните с проверки наличия записи по ИНН, затем откройте копию последнего поданного уведомления и сопоставьте оба документа с действующими процессами. Открытая запись не заменяет копию: сведения о средствах обеспечения безопасности данных не общедоступны.
| Что изменилось | Что проверить и сообщить |
|---|---|
| Наименование или адрес оператора | Актуальные реквизиты организации, ИП или гражданина |
| Цель обработки | Новые, изменённые и прекратившиеся цели |
| Обработка для конкретной цели | Категории данных и субъектов, правовое основание, действия с данными и способы обработки |
| Меры организации обработки и защиты | Описание мер, сведения о криптографических средствах и обеспечении безопасности |
| Ответственный за организацию обработки | ФИО либо наименование, телефон, почтовый и электронный адреса |
| Дата начала, срок или условие прекращения обработки | Совпадают ли ранее сообщённые сведения с фактическими |
| Трансграничная передача и местонахождение базы данных граждан РФ | Соответствуют ли сведения передаче и размещению базы |
| Доступ или договорная обработка данных в государственных и муниципальных информационных системах | Актуальны ли лица, указанные в этом специальном поле; это не общий список всех подрядчиков |
Новая CRM сама по себе не названа отдельным полем уведомления. Проверьте, изменились ли из-за неё способы обработки, состав данных, меры защиты, местонахождение базы или другие сообщённые сведения. Новое поле на сайте может означать изменение категории данных без новой цели. Если процессы трудно сопоставить с уведомлением, проведите пошаговый аудит обработки ПДн.
В какой срок сообщить об изменениях?
Оператор сообщает обо всех изменениях за месяц не позднее 15-го числа следующего месяца — ч. 7 ст. 22 152-ФЗ. Если изменение возникло в сентябре, по этой норме уведомление нужно направить не позднее 15 октября. Срок привязан к месяцу возникновения изменения, а не ко дню, когда его обнаружили при аудите. Это не «15 дней после каждого изменения».
| Ситуация | Что сделать и когда |
|---|---|
| Обработка только начинается, исключения не применяются | Подать первоначальное уведомление до начала обработки — ч. 1–2 ст. 22 |
| Изменились ранее сообщённые сведения | Уведомить об изменениях не позднее 15-го числа следующего месяца — ч. 7 ст. 22 |
| Обработка полностью прекращена | Уведомить о прекращении в течение 10 рабочих дней с его даты — ч. 7 ст. 22 |
Записывайте фактические даты изменений по мере их возникновения. Если срок уже пропущен, не подменяйте дату датой подготовки формы: восстановите её по приказам, договорам и настройкам процессов и сообщите достоверные сведения. Если прежнего уведомления не было, сначала проверьте, возникла ли обязанность уведомить РКН и не действует ли исключение из ч. 2 ст. 22. Только если уведомление обязательно, нужна процедура первоначальной подачи, а не изменение несуществующей записи.
Как заполнить форму об изменении сведений?
Используйте приложение № 2 к приказу Роскомнадзора от 28.10.2022 № 180. Форма предназначена для изменений в ранее поданном уведомлении.
- Укажите оператора. Организация вписывает полное и сокращённое наименование при наличии, ИНН и (или) ОГРН и адрес. Гражданин или ИП указывает ФИО, применимые идентификаторы и адрес.
- Укажите регистрационный номер записи в реестре. Не путайте его с ИНН или номером исходящего письма. Сверьте номер с прежними документами и записью.
- Укажите фактическую дату изменения сведений. Это не дата заполнения или отправки бланка. Если исправляете ошибку в ранее сообщённой дате начала обработки, не заменяйте её сегодняшней датой.
- Заполните затронутые сведения. При изменении цели проверьте весь связанный с ней блок: категории данных и субъектов, основания, действия и способы обработки. При смене ответственного проверьте все его контакты.
- Подпишите форму. В ней предусмотрены сведения об операторе или ином уполномоченном лице, подпись, её расшифровка и дата.
В бланке есть одно поле «Дата изменения сведений», хотя закон требует сообщить обо всех изменениях за месяц. Если изменения произошли в разные дни, не сводите их к вымышленной общей дате. Зафиксируйте даты и содержание каждого события и до подачи уточните у РКН, как отразить их в форме. Не откладывайте этот вопрос до последнего дня срока: порядок заполнения такого случая из текста формы не следует.
Если прежнее уведомление готовил подрядчик или бывший руководитель, найдите его копию, номер записи и подтверждение подачи. Новую форму должен подписать человек с действующими полномочиями. Сама смена директора не обязательно меняет сообщённые сведения, но если он был указан ответственным за организацию обработки, соответствующее поле нужно обновить.
Как направить форму и сохранить подтверждение?
Часть 3 статьи 22 описывает бумажный и электронный документ для первоначального уведомления по части 1. Автоматически переносить это правило на уведомление об изменениях по части 7 нельзя. Форма из приложения № 2 предусматривает подпись оператора или другого уполномоченного лица, но сама по себе не устанавливает проверенный маршрут подачи.
Перед отправкой уточните у РКН действующий способ приёма именно уведомления об изменениях, адрес или электронный канал, требования к подписанию и способ получения подтверждения. Проверьте это заблаговременно с учётом срока до 15-го числа. Подготовьте подписанную форму и сохраните её окончательную версию вместе с подтверждением направления и, если предоставляется, приёма. Черновик формы таким подтверждением не служит.
Если поиск по ИНН не показывает запись, проверьте номер и подтверждение прежней подачи и выясните её статус. Отсутствие результата поиска само по себе не доказывает, что уведомление не направляли. После подачи изменений повторно сопоставьте запись с отправленной формой, но не считайте один только результат поиска подтверждением содержания всех ранее сообщённых сведений.
Что делать при смене ответственного за обработку ПДн?
Контакты ответственного входят в сведения уведомления. Поэтому при замене человека, телефона, почтового или электронного адреса сравните новые данные с ранее поданной формой. Оператор — юридическое лицо назначает ответственного за организацию обработки по статье 22.1 152-ФЗ. Он получает указания непосредственно от исполнительного органа и подотчётен ему.
При замене оформите назначение и дату начала обязанностей, передайте новому ответственному документы и текущие обращения, проверьте рабочие контакты. Затем включите изменившиеся сведения в уведомление за соответствующий месяц. Если контакты опубликованы в политике или на сайте, обновите их и там. Разделить задачи поможет материал об обязанностях ответственного за обработку.
Статья 22.1 прямо говорит о назначении ответственного юридическим лицом. Если вы ИП, это не повод оставлять в ранее поданном уведомлении неверные контакты: проверьте, какие сведения были сообщены и что изменилось фактически.
Что обновить помимо записи в реестре?
Обновление записи не делает новый процесс обработки законным. Если появилась цель, проверьте, что она конкретна и законна, а набор данных не избыточен: этого требует статья 5 152-ФЗ. Для каждой цели определите основание по статье 6 152-ФЗ. Согласие требуется не всегда, но основание «исполнение договора» подходит лишь для обработки, необходимой для договора с субъектом. Сопоставить варианты поможет разбор правовых оснований обработки.
Проверьте поля форм, доступы, сроки хранения и договоры с подрядчиками. Приведите локальные документы и опубликованную политику в соответствие с фактической практикой. При сборе данных через сайт оператор обязан разместить политику и сведения о реализуемых требованиях к защите на страницах сбора — ч. 2 ст. 18.1 152-ФЗ. Для публичных страниц доступна бесплатная первичная проверка сайта в пределах бесплатной квоты; внутренние базы и документы проверяйте отдельно.
Если возникла трансграничная передача, обновления сведений по статье 22 недостаточно. Оператор направляет отдельное уведомление о намерении передавать данные за рубеж до начала такой деятельности — ч. 3 ст. 12 152-ФЗ. Проверьте применимость этой процедуры до передачи, не ожидая 15-го числа следующего месяца.
Когда нужна другая форма или отдельное сообщение?
Полное прекращение обработки — не обычное изменение записи. Подайте форму из приложения № 3 к приказу № 180 в течение 10 рабочих дней с даты прекращения обработки — ч. 7 ст. 22 152-ФЗ. Укажите оператора, номер записи, основание и дату прекращения, подпись уполномоченного лица. РКН исключает сведения из реестра в течение 30 дней с даты получения такого уведомления — ч. 4.1 ст. 22. Это срок регулятора, а не дополнительное время для оператора.
Закрытие сайта ещё не означает прекращения всей обработки: могут оставаться кадровые документы и иные данные с действующими основаниями хранения. Если прекратилась только одна цель, а остальные сохранились, сверяйте изменение сообщённых сведений, а не исключение оператора из реестра. Если данные уничтожаются, сохраните подтверждение; порядок разобран в материале о том, как оформить акт уничтожения ПДн.
Инцидент с данными тоже не закрывается формой об изменениях. Если установлена неправомерная или случайная передача, предоставление, распространение либо доступ к ПДн, повлёкшие нарушение прав субъектов, оператор уведомляет РКН по ч. 3.1 ст. 21 152-ФЗ:
| Срок с момента выявления инцидента | Что сообщить |
|---|---|
| 24 часа | Об инциденте, предполагаемых причинах и вреде, принятых мерах; сведения о лице для взаимодействия с РКН |
| 72 часа | О результатах внутреннего расследования и лицах, действия которых стали причиной инцидента, при наличии |
Оба срока отсчитываются от выявления инцидента, а не второй — от первого сообщения. Зафиксируйте время выявления, направьте первое сообщение и организуйте расследование для второго сообщения.
Как проверить результат и что делать при просрочке?
Сопоставьте отправленную форму с фактической обработкой, документами и обновлённой записью. РКН ОК проверяет наличие записи по ИНН и публичные страницы сайта на признаки нарушений. Он не подаёт уведомления, не проверяет CRM и внутренние базы, исполнение уничтожения или юридическую корректность рекламной кампании. Проверка сайта не подтверждает соответствие всей организации 152-ФЗ.
Не назначайте автоматически штраф за неподачу первоначального уведомления за одну лишь просрочку обновления записи. Часть 10 статьи 13.11 КоАП касается уведомления о намерении обрабатывать данные, часть 11 — уведомления об инциденте. Квалификацию просрочки изменений нужно устанавливать отдельно. При этом расхождение с записью может указывать на самостоятельную проблему, например обработку без правового основания; проверяйте действия, а не только формулировки карточки.
Перед закрытием задачи убедитесь, что каждому изменению сопоставлены поле формы и фактическая дата, цели и основания согласованы с практикой, а подписанная версия и подтверждения подачи сохранены. Если запись не обновилась, уточните статус в РКН с номером записи и подтверждением направления. Назначьте сотрудника, который доведёт сверку до результата и будет собирать новые изменения каждый месяц.