Уведомление в Роскомнадзор: полгода страха, два часа работы

Полгода я обходил эту задачу стороной. Слова «оператор персональных данных» звучат как что-то, для чего нужен юрист, папка документов и месяц переписки с ведомством. Плюс где-то на фоне маячили штрафы в сотни тысяч, что бодрости не добавляло.

Потом все-таки собрался, решился и подал. Продукт, да и лендинг под него, уже надо было запускать и тянуть не было больше времени. Пара часов на форму, неделя ожидания, номер в реестре. Ниже как это выглядело на самом деле, включая те места, где я всё-таки немного подзастрял.

Сразу оговорка, и она не для галочки: я не юрист, не претендую, и это не юридическая консультация. В форме есть несколько правда каверзных вопросов, и по трём из них я уточнял отдельно. Если по вашему случаю нет уверенности, это как раз тот момент, когда юрист экономит деньги, а не тратит их. Тем более ответы будут немного отличаться от продукта к продукту в зависимости от того, что продукт делает и как использует персональные данные. Короче, нюансы есть.

Если продукт собирает почту, телефон, имя, ИНН, что угодно, по чему можно опознать человека, то он обрабатывает персональные данные. Само определение короткое и лежит в статье 3 152-ФЗ: любая информация, относящаяся к прямо или косвенно определённому человеку. Полный список категорий, из которых потом придётся выбирать, виден прямо в форме уведомления на портале РКН. А значит его владелец это оператор, и он обязан подать уведомление.

Раньше существовало исключение для случаев, когда данные обрабатываются в рамках договора с самим человеком, и под него попадала половина небольших сервисов. Исключение убрали, и теперь подавать нужно практически всем, кто работает с людьми. ИП подаёт сам за себя, отдельное юрлицо для этого не требуется.

Порог тут ниже, чем кажется. Одной формы обратной связи с полем «ваша почта» и тем более имя или телефон, или какой-то из этих комбинаций уже достаточно: почта это идентификатор конкретного человека. То есть под определение попадает практически любой сервис, у которого есть регистрация, рассылка или хотя бы форма заявки.

Это, кстати, первое, что стоит вычеркнуть из списка страхов: тут нет ситуации «вы уже нарушили, теперь разбирайтесь». Есть форма, которую надо заполнить.

Отдельно про то, откуда вообще берётся ощущение сложности. Почти весь контент по этой теме написан теми, кто продаёт сопровождение: юрфирмами и сервисами «подадим за вас». У такого текста своя задача, и она не в том, чтобы вы справились сами. Отсюда и тональность, в которой любая ошибка звучит как катастрофа.

Подача бесплатная. По сути способов два: старый дедовский, распечатать форму и отнести её ножками и ручками в территориальный орган, и электронный, подписав квалифицированной электронной подписью. Формально портал предлагает ещё и вход через Госуслуги, но подпись всё равно понадобится, так что развилка ровно одна: бумага или УКЭП.

Я подавал электронно, и вот деталь, которую стоит знать заранее: электронный путь упирается в квалифицированную электронную подпись. Если её нет, остаётся бумага, и это уже совсем другая история по срокам.

Дальше единственная по-настоящему трудоёмкая часть, которая вызывает страх и ужас у многих: форма длинная. Не сложная, а именно длинная. Реквизиты, адреса, категории данных, цели обработки, кто ещё имеет к ним доступ, какие меры защиты приняты. Ощущение примерно как от анкеты на визу: вопросов много, каждый по отдельности понятный, но сесть и пройти всё разом надо.

У меня на это ушла пара часов (не считая того, что один раз я зафакапил форму при сохранении и пришлось перезаполнить заново, благо свои ответы я сохранял отдельно в заметках). Не неделя подготовки, не сбор документов заранее, просто пара часов вечером за ноутбуком.

Механика при этом в целом спокойная. Черновик сохраняется, из формы можно выйти и вернуться, ничего не сгорает по таймеру. Никакой оплаты, никакой очереди, никакого «приходите с оригиналами». По ощущению это ближе к заполнению профиля в сервисе, чем к походу в ведомство, и именно этого я почему-то не ожидал.

Полезно понимать логику вопросов, тогда они перестают выглядеть как ловушка. Ведомство спрашивает три вещи: чьи данные, зачем и что вы с ними делаете, чтобы они не утекли. Почти любое поле раскладывается в одну из этих трёх, и если держать это в голове, заполнение идёт быстрее.

Три места, на которых пришлось остановиться и уточнять.

Адрес. Какой именно указывать, если у ИП нет офиса. Вопрос выглядит формальным ровно до момента, когда его надо заполнить.

Где физически лежат данные. Не «в облаке», а конкретный адрес дата-центра. Это выясняется у хостинг-провайдера, и лучше выяснить заранее, чтобы не бросать форму на середине.

Дата начала обработки. Звучит просто, но если сервис уже какое-то время работал, то дата, которую вы поставите, это утверждение о прошлом, а не о будущем.

Вот здесь и проходит граница, за которой начинается юрист. Не потому что форма непроходимая, а потому что пара ответов в ней это юридически значимые утверждения, а не описание намерений.

Отдельно стоит вынести то, на чём я потерял больше всего времени внутри самой формы. Там есть вопрос про то, кто ещё имеет доступ к данным, и почти ни у кого этот список не готов заранее (я не исключение здесь).

Ловушка в том, что список длиннее, чем кажется на первый взгляд. Инстинктивно вспоминается хостинг, потому что он очевиден. А дальше выясняется, что в цепочке стоит ещё половина инфраструктуры продукта.

У меня получилось пять позиций (опять же в рамках моего продукта и того, как он работает), и каждая попала не только в форму, но и в политику обработки данных:

Резервные копии, кстати, тоже считаются, и про них забывают чаще всего.

Полезно понимать, зачем этот список нужен помимо формы. Каждый, кто по вашему поручению обрабатывает данные, по 152-ФЗ требует отдельного договора поручения, а не просто галочки в пользовательском соглашении. Насколько строго это применяется к соло-ИП, вопрос к юристу, но сам список нужен в любом случае: без него политика обработки данных получается неправдой, а форма заполняется наугад.

Собрать его лучше до того, как садиться за уведомление. Это тот случай, когда полчаса подготовки экономят полтора часа метаний по вкладкам.

Самое неожиданное для меня было здесь. Ожидание оказалось коротким.

Уведомление ушло 23 июля. Приказ о внесении в реестр датирован 30 июля. Ровно неделя, хотя официально при подаче фигурирует срок рассмотрения до 30 дней. Никакой переписки, никаких запросов на уточнение, просто через семь дней статус сменился с «в обработке» на «зарегистрировано» и появился номер.

Проверить это может кто угодно: реестр операторов открытый, поиск по нему публичный.

Две ошибки, и обе растут из одного корня: подача выглядит как проект, поэтому её либо двигают на потом, либо начинают к ней готовиться.

Готовиться там особо не к чему. Заранее полезно узнать пару вещей: адрес дата-центра у провайдера и перечень сервисов, которые так или иначе обрабатывают данные. Всё остальное заполняется по ходу.

А откладывание работает против вас ровно в одну сторону: сервис уже собирает данные, а уведомления ещё нет. Пара часов работы закрывает этот разрыв.

Переусложнение выглядит иначе, но стоит примерно столько же. Соблазн отложить подачу до момента, когда «всё будет готово»: политика вылизана, схема данных финальная, юрист посмотрел каждое поле. В этой логике подача уезжает на квартал вперёд, а сервис всё это время работает без неё. Данные в форме и так меняются со временем, для этого есть отдельное уведомление об изменениях.

Здесь я сам был не прав, начитавшись всякого, и стоит сказать точно, потому что на этом можно построить неверные ожидания.

Отозвать поданное уведомление нельзя, такой кнопки не существует. Работает другой механизм: если обработка данных прекращается, подаётся отдельное уведомление о прекращении, и после него оператора исключают из реестра.

Разница важная. Это не отмена задним числом, а нормальный жизненный цикл: начал обрабатывать, уведомил; перестал обрабатывать, снова уведомил. И вторая часть это не возможность, а обязанность.

Отдельно то, о чём почти нигде не пишут: закрытие ИП само по себе из реестра операторов не выводит. Эти два реестра между собой не связаны.

Так что «а вдруг продукт не полетит» это не аргумент против подачи. Выход из реестра существует, он просто выглядит не как отмена, а как ещё одно уведомление.

И сразу следующий вопрос, который у меня возник ровно тут же: а данные-то что, стираются в ноль? Нет, и это стоит понимать заранее. Прекращение обработки не отменяет обязанностей хранить то, что положено хранить по другим законам. Первичные учётные документы, например, живут не менее пяти лет после отчётного года по 402-ФЗ, и требование закрыть реестровую запись это никак не отменяет. То есть из реестра операторов вы вышли, а коробка с бухгалтерией осталась.

Здесь надо сказать честно, чтобы не выглядело как «всё просто, расходимся». Уведомление это видимая часть. Рядом с ней стоит операционка: набор документов и процедур, которые оператор должен иметь и соблюдать. Я над этим перечнем ещё работаю: часть закрыта, часть нет.

Разброс между минимальным и максимальным пакетом тут огромный, и именно на нём построен целый рынок. Готовые наборы на восемнадцать документов продаются за 50–70 тысяч рублей, и выглядят они убедительно.

По моему чтению закона, для соло-ИП примерно половина такого пакета не обязательна вообще. Причина конкретная: несколько обязанностей в статье 18.1 сформулированы как обязанности «оператора, являющегося юридическим лицом». ИП это физлицо. Под эту оговорку попадают приказ о назначении ответственного за обработку, внутренние локальные акты и инструкции для сотрудников, которых у соло-фаундера просто нет. Оговорюсь ещё раз: это моё чтение, а не позиция юриста, и это ровно тот вопрос, который я вынес на консультацию.

Что при этом обязательно независимо от формы:

Отдельно то, чего готовый пакет не делает: он не подаёт за вас уведомление и не подписывает за вас договор с хостером. То есть ровно те две вещи, которые реально гейтят запуск, остаются на вас в любом случае.

И момент, который стоит держать в голове заранее: если из ИП вырастает ООО, вся «необязательная» половина превращается в обязательную. Это скрытая стоимость смены формы, о которой обычно не думают.

Из всей операционки эта процедура единственная, которая может понадобиться внезапно, поэтому её лучше продумать до того, как придёт первый запрос.

Человек (ваш пользователь или клиент) вправе отозвать согласие в любой момент. Дальше по статье 21 срок на прекращение обработки и уничтожение не превышает тридцати дней с даты поступления отзыва.

Но в самой формулировке спрятана важная деталь: уничтожить нужно, «если сохранение персональных данных более не требуется для целей обработки». То есть отзыв согласия не означает автоматического стирания всего подряд. Если человек, скажем, оплачивал подписку, платёжные документы никуда не денутся, потому что их хранение требует уже другой закон. Отказ в удалении в такой ситуации законен, но он должен быть письменным и мотивированным, со ссылкой на конкретную норму, а не в жанре «нам это нужно».

На сам запрос субъекта срок другой и заметно короче: десять рабочих дней, с возможностью продлить ещё на пять, если отправить мотивированное уведомление о причинах.

И последнее, самое неудобное. Уничтожение данных надо уметь подтвердить, для этого и существует приказ № 179. Если удаление аккаунта в продукте автоматическое, то вопрос «как именно подтверждается уничтожение» становится не бумажным, а продуктовым: что при этом пишется в лог, что из него можно выгрузить, и достаточно ли этого.

Страх был больше самой процедуры, и это довольно обычная история со всем, что связано с ведомствами. По факту: бесплатно, пара часов на форму, неделя ожидания, пара вопросов, где нужен юрист.

При этом честный итог чуть сложнее, чем «оказалось легко». Легко оказалось именно уведомление, то есть та часть, которой все боятся. А операционка вокруг него не страшная, но длинная, и она не закрывается за вечер. Разница в том, что уведомление это разовое действие с понятным финалом, а всё остальное живёт вместе с продуктом.

Свой продукт я подавал именно так и на этом успокоился.

Интересно, сколько людей делают наоборот: сервис работает, данные собираются, а уведомление всё ещё в списке дел на потом. Хоть у меня так не было, но все-равно считаю что тянул долго с этим.