Как зарегистрироваться в РКН в качестве оператора персональных данных

О важности подачи уведомления в Роскомнадзор

За отсутствие уведомления или несвоевременное уведомление Роскомнадзора
предусмотрены штрафы:

Нарушения в использовании персональных данных:
Основное нарушение (первичное):

• Должностные лица — штраф от 3 000 до 6 000 руб.
• Юридические лица — штраф от 15 000 до 30 000 руб.

Повторное нарушение:

• Должностные лица — от 10 000 до 20 000 руб.
• Юридические лица — от 30 000 до 50 000 руб.

Сопутствующие риски (Отсутствие регистрации часто выявляется вместе с другими нарушениями — и тогда штрафы суммируются):

• Обработка без согласия субъекта — до 75 000 рублей
• Несоблюдение мер по защите данных — до 100 000 рублей
• Непредоставление субъекту информации о его данных — до 50 000 рублей
• Невыполнение предписания Роскомнадзора — до 200 000 рублей

Незаконная трансграничная передача персональных данных (например, если используется Google Analitics):
Первичное нарушение:

• Должностные лица — от 10 000 до 20 000 руб.
• Юридические лица — от 100 000 до 200 000 руб.

Повторное нарушение:

• Должностные лица — до 50 000 руб.
• Юридические лица — до 300 000 руб.

Пошаговая инструкция по регистрации оператора персональных данных

Регистрироваться Оператором персональных данных в Роскомнадзоре нужно, если вы:

Подготовьте следующую информацию для уведомления:

Отправить заявку о регистрации Оператора можно 3 способами:

1. В бумажном виде. Заполненную форму потребуется распечатать и направить в территориальный орган по месту регистрации Оператора.

2. В электронном виде с использованием усиленной квалифицированной электронной подписи. Заполненную форму нужно подписать электронной подписью с помощью плагина «КриптоПро ЭЦП» перед отправкой на сайте.

3. В электронном виде с использованием средств аутентификации ЕСИА.
Если у вас есть подтвержденная учетная запись на портале «Госуслуги», вы можете зайти в свой аккаунт на портале, заполнить форму и направить её в электронном виде.

Как заполнить уведомление в электронном виде

«1) назначение оператором, являющимся юридическим лицом, ответственного за организацию обработки персональных данных;

2) издание оператором, являющимся юридическим лицом, документов, определяющих политику оператора в отношении обработки персональных данных, локальных актов по вопросам обработки персональных данных;

3) применение правовых, организационных и технических мер по обеспечению безопасности персональных данных в соответствии со статьей 19 настоящего Федерального закона;

4) осуществление внутреннего контроля и (или) аудита соответствия обработки персональных данных настоящему Федеральному закону и нормативным правовым актам, требованиям к защите персональных данных, локальным актам оператора;

5) оценка вреда в соответствии, который может быть причинен субъектам персональных данных в случае нарушения 152 ФЗ, соотношение указанного вреда и принимаемых оператором мер, направленных на обеспечение выполнения обязанностей, предусмотренных 152 ФЗ;

6) ознакомление работников оператора, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных, в том числе требованиями к защите персональных данных, документами, определяющими политику оператора в отношении обработки персональных данных, локальными актами по вопросам обработки персональных данных, и (или) обучение указанных работников;

7) Публикация и обеспечение неограниченного доступа к документу, определяющему политику оператора в отношении обработки персональных данных, к сведениям о реализуемых требованиях к защите персональных данных;

8) определение угроз безопасности персональных данных при их обработке в информационных системах персональных данных;

9) применение организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, соответствующих уровню защищенности персональных данных;

10) применение прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;

11) оценка эффективности принимаемых мер по обеспечению безопасности персональных данных;

12) учет машинных носителей персональных данных;

13) обнаружение фактов несанкционированного доступа к персональным данным и принятием мер, в том числе мер по обнаружению, предупреждению и ликвидации последствий компьютерных атак на информационные системы персональных данных и по реагированию на компьютерные инциденты в них;

14) восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;

15) установление правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечением регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных;

16) регламентация процедур получения, обработки и передачи персональных данных»

«Антивирусные средства защиты информации – {название}; идентификация и проверка подлинности пользователя при входе в информационную систему по паролю условно-постоянного действия длиной не менее десяти буквенно-цифровых символов; наличие средств восстановления системы защиты персональных данных; межсетевое экранирование {название}; защита почтовых серверов {название}; защита веб-приложений – защита от ddos атак, web application firewall; система анализа сетевого трафика {название}»

«Обработка ПДн прекращается при:
1) истечении срока, предусмотренного законом, договором, или согласием субъекта ПДн на обработку его ПДн;
2) достижении целей обработки ПДн;
3) в связи с отзывом субъектом ПДн согласия на обработку его ПДн и при отсутствии иных правовых оснований на обработку, предусмотренных законодательством;
4) ликвидации организации»

Сведения о ЦОДах (Центрах обработки данных)

Сведения об обеспечении безопасности персональных данных

В соответствии с постановлением Правительства от 01.11.2012 №1119 для обеспечения защищенности персональных данных при их обработке в информационной системе:
- обеспечена безопасность помещений, в которых размещена информационная система;
- обеспечена сохранность носителей персональных данных;
- утвержден перечень лиц. доступ которых к персональным данным, обрабатываемым в информационной системе, необходим для выполнения ими служебных (трудовых) обязанностей;
- назначено должностное лицо, ответственный за обеспечение безопасности персональных данных в информационной системе.
- используются средства защиты информации, прошедшие процедуру оценки соответствия требованиям законодательства Российской Федерации в области обеспечения безопасности информации, в случае, когда применение таких средств необходимо для нейтрализации актуальных угроз

Как подать уведомление в бумажном виде

Получите подтверждение

Проверьте сайт и формы на соблюдение 152-ФЗ:

Нужна помощь с проверкой сайта на готовность к приёму посетителей и на соответствие 152-ФЗ «О персональных данных», «38-ФЗ О рекламе» и 2300-1-ФЗ «О защите прав потребителей»? Обращайтесь! Нажмите кнопку ниже, чтобы заказать проверку.