Реестр операторов персональных данных: как проверить себя и контрагента по ИНН

Что такое реестр операторов и кто в него попадает

Реестр операторов, осуществляющих обработку персональных данных (ПДн), ведёт Роскомнадзор (РКН). Сведения в него попадают из уведомления о намерении обрабатывать ПДн, которое оператор подаёт до начала обработки по ст. 22 152‑ФЗ. Оператор — компания или индивидуальный предприниматель, которые сами решают, зачем и как обрабатывать данные.

С 1 сентября 2022 года исключений почти не осталось. Обойтись без уведомления можно, только если данные обрабатываются исключительно без средств автоматизации, включены в государственные информационные системы для защиты безопасности государства или обрабатываются по законодательству о транспортной безопасности. Если у бизнеса есть сайт с формой, CRM, бухгалтерская программа с данными сотрудников или таблица с клиентами, уведомление нужно, и запись в реестре должна быть.

Реестр открытый. По ч. 4 ст. 22 152‑ФЗ общедоступны все его сведения, кроме информации о средствах обеспечения безопасности ПДн. Роскомнадзор вносит запись в течение 30 дней со дня поступления уведомления.

Как найти компанию в реестре

1. Откройте реестр операторов на портале персональных данных Роскомнадзора. Вход через Госуслуги для поиска не нужен.
2. Введите ИНН. Это самый точный способ: ИНН у организации один, а похожих названий бывают десятки.
3. Если ИНН неизвестен, ищите по наименованию. Вводите только отличительную часть названия — без организационно-правовой формы, кавычек и сокращений. Из многословного названия достаточно одного редкого слова: общие слова вроде «Российский» или «Общество» дают сотни совпадений. Индивидуальных предпринимателей ищут по фамилии.
4. Сверьте ИНН в строке выдачи. Выдача по одному запросу ограничена, поэтому при большом числе совпадений уточните запрос.
5. Откройте карточку: наименование оператора в выдаче ведёт на подробные сведения.
6. Сохраните результат — скриншот или PDF карточки с датой проверки. Он пригодится в досье контрагента и при ответе на вопросы регулятора.

Если поиск ничего не нашёл

Пустая выдача приходит без пояснений. Прежде чем делать выводы, проверьте три вещи: правильно ли введён ИНН, не ищете ли вы по бренду или названию сайта вместо юридического наименования и не оформлена ли запись на другое юрлицо группы, например на управляющую компанию. У филиалов отдельных записей нет: оператором выступает юридическое лицо.

Какие сведения показывает карточка оператора

Состав сведений задают ч. 3 и 3.1 ст. 22 152‑ФЗ: в реестр переносится то, что оператор указал в уведомлении. Названия полей в интерфейсе портала могут немного отличаться.

Запись в реестре показывает только то, что оператор заявил о себе. Есть ли у компании политика, правильно ли она собирает согласия и как защищает базы, реестр не отражает. Поля заполняются в свободной форме, поэтому в них встречаются опечатки и устаревшие контакты.

Как проверить свою компанию

Найдите компанию по ИНН и положите рядом три вещи: свой сайт, политику обработки ПДн и список сервисов, через которые проходят данные клиентов. Многие подавали уведомление много лет назад и с тех пор его не меняли, хотя бизнес изменился. Сверьте:

• цели — появились ли после подачи уведомления рассылки, реклама, личный кабинет, приём резюме через сайт;
• категории данных — учтены ли все поля форм, данные заказов, записи звонков, cookie и данные аналитики;
• категории субъектов — указаны ли посетители сайта, клиенты, соискатели, представители контрагентов;
• трансграничную передачу — если на сайте работают Google Analytics, reCAPTCHA или зарубежный чат, отметка «нет» не соответствует действительности;
• место хранения баз — актуален ли адрес после смены хостинга или перехода в облачную CRM;
• ответственного — работает ли ещё указанный сотрудник;
• политику — цели и категории в ней и в уведомлении должны описывать одну и ту же обработку.

Пример расхождения

Компания подала уведомление в 2016 году для кадрового учёта. В 2023 году она запустила интернет-магазин с личным кабинетом, подпиской на рассылку и Google Analytics. В реестре по-прежнему одна цель — исполнение трудовых договоров, трансграничной передачи нет. По отдельности каждое расхождение кажется мелочью. Вместе они показывают регулятору, что оператор не контролирует собственную обработку, и при разборе жалобы вопросы часто начинаются именно с них.

Как и в какой срок внести изменения

Изменения подают через тот же портал информационным письмом о внесении изменений в сведения об операторе. По ч. 7 ст. 22 152‑ФЗ сообщить о них нужно не позднее 15‑го числа месяца, следующего за месяцем, в котором сведения изменились. Если обработка прекращена, уведомление о прекращении направляют в течение 10 рабочих дней, и Роскомнадзор исключает запись в течение 30 дней.

Сверку удобно привязать к событиям: запуск сайта или нового раздела, подключение сервиса, переезд на другой хостинг, смена ответственного.

Если вашей компании нет в реестре

Уведомление подают на портале pd.rkn.gov.ru в электронном виде с усиленной квалифицированной электронной подписью, через подтверждённую учётную запись Госуслуг или на бумаге в территориальное управление. Рассмотрение бесплатное.

Неподача или несвоевременная подача уведомления — самостоятельное нарушение по ч. 10 ст. 13.11 Кодекса об административных правонарушениях (КоАП). Юрлицу грозит штраф от 100 до 300 тыс. рублей.

Как проверить контрагента

Подрядчик, которому вы передаёте данные клиентов, обрабатывает их либо по вашему поручению (ч. 3 ст. 6 152‑ФЗ), либо как самостоятельный оператор. От роли зависит, что искать в реестре и что прописывать в договоре. За действия обработчика перед субъектом отвечаете вы как оператор (ч. 5 ст. 6), поэтому проверка подрядчика защищает прежде всего вас.

Почти у любой компании с сотрудниками есть автоматизированная обработка кадровых данных, поэтому собственная запись в реестре обычно должна быть и у обработчика. Её отсутствие у подрядчика, который профессионально работает с чужими базами, — повод задать вопросы до подписания договора.

Что запросить у подрядчика помимо записи в реестре

• в каком качестве он будет обрабатывать данные — как обработчик или как самостоятельный оператор;
• где физически стоят серверы и резервные копии, кому принадлежит дата-центр;
• передаёт ли он данные за рубеж или субподрядчикам;
• какие меры защиты применяет и готов ли закрепить их в договоре;
• в какой срок сообщит вам об инциденте: оператор обязан уведомить Роскомнадзор об утечке в течение 24 часов, поэтому срок для подрядчика должен быть короче;
• как удаляются данные после окончания договора и чем это подтверждается.

В договор поручения включают перечень ПДн, действия с ними и цели обработки, обязанность соблюдать конфиденциальность, требования к защите по ст. 19 152‑ФЗ и обязанность записывать и хранить данные граждан РФ в базах на территории России.

Чего реестр не покажет

Реестр — удобная первая проверка, но у него есть пределы. Сведения вносит сам оператор, свежие изменения отражаются с задержкой до 30 дней, а соблюдение закона на практике при внесении записи никто не проверяет.

Внешнюю сторону — опубликована ли политика, есть ли согласие у форм, какие иностранные сервисы работают на страницах — показывает бесплатная проверка сайта. Если она находит зарубежные счётчики, а в реестре значится, что трансграничной передачи нет, это расхождение стоит устранить в первую очередь.

Пользуйтесь только официальным порталом pd.rkn.gov.ru. В сети встречаются сайты, похожие на реестр, которые предлагают платную «регистрацию оператора». Подача уведомления в Роскомнадзор бесплатна.