Как внести изменения в уведомление Роскомнадзора об обработке ПД

Компания однажды подала уведомление об обработке персональных данных, попала в реестр операторов и забыла про эту историю. Прошёл год, сменился юридический адрес, добавилась новая цель обработки, поменялся ответственный сотрудник. Запись в реестре при этом осталась прежней. Это типичная ситуация, и она опасна, потому что закон требует поддерживать сведения в актуальном состоянии, а не только однажды подать первичное уведомление. Разберём порядок изменений по статье 22 закона 152-ФЗ.

Когда возникает обязанность сообщить об изменениях

Часть 7 статьи 22 формулирует правило прямо. В случае изменения сведений, указанных в части 3 настоящей статьи, оператор обязан уведомить уполномоченный орган обо всех произошедших изменениях. Привязка идёт именно к части 3, то есть к перечню сведений первичного уведомления. Меняется что-то из этого перечня значит, возникает обязанность сообщить.

Чтобы понять, какие изменения попадают под это правило, нужно держать в голове состав части 3. Это наименование и адрес оператора, цель обработки, описание мер по статьям 18.1 и 19, сведения об ответственном лице с контактами, дата начала обработки, срок или условие прекращения, сведения о трансграничной передаче, сведения о месте нахождения базы данных граждан России и сведения об обеспечении безопасности. Часть 3.1 дополняет перечень категориями данных, категориями субъектов, правовым основанием, перечнем действий и способами обработки для каждой цели.

Практический вывод. Смена адреса, появление новой цели обработки, замена ответственного за организацию обработки, начало или прекращение трансграничной передачи, изменение перечня категорий данных все это основания для уведомления об изменениях. Косметические внутренние правки, не затрагивающие сведения части 3, такой обязанности не порождают.

В какой срок подать уведомление об изменениях

Часть 7 статьи 22 задаёт жёсткий срок. Оператор обязан уведомить уполномоченный орган не позднее 15-го числа месяца, следующего за месяцем, в котором возникли такие изменения. Логика срока помесячная. Если изменение произошло в марте, сообщить о нём нужно не позднее 15 апреля. Если в один месяц накопилось несколько изменений, они охватываются одним уведомлением за этот период.

Этот срок появился в действующей редакции части 7 по закону от 14 июля 2022 года N 266-ФЗ. Прежняя конструкция была иной, поэтому опираться на старые сроки из устаревших памяток рискованно.

Как уведомить о прекращении обработки

Часть 7 статьи 22 отдельно регулирует ситуацию полного прекращения обработки. В случае прекращения обработки персональных данных оператор обязан уведомить об этом уполномоченный орган в течение десяти рабочих дней с даты прекращения обработки. Срок здесь иной, не помесячный, а десять рабочих дней, и считается он от даты фактического прекращения.

Часть 4.1 статьи 22 описывает, что происходит на стороне органа. Уполномоченный орган в течение тридцати дней с даты поступления уведомления о прекращении обработки исключает сведения, указанные в части 3, из реестра операторов. То есть прекращение это не молчаливый уход, а отдельная процедура с исключением записи из реестра.

Какие формы использовать

Часть 8 статьи 22 закрепляет, что формы уведомлений, предусмотренных частями 1, 4.1 и 7, устанавливаются уполномоченным органом по защите прав субъектов персональных данных. Это значит, что для изменений по части 7 и для прекращения по части 4.1 предусмотрены свои формы, утверждённые Роскомнадзором. Использовать первичную форму уведомления о намерении обрабатывать данные для подачи изменений неверно по структуре.

На что смотрит проверяющий

Инспектор сверяет запись в реестре операторов с фактическим положением дел компании. Запись в реестре по части 4 статьи 22 общедоступна, кроме сведений о средствах безопасности, поэтому расхождение видно без глубокой проверки. Самый заметный сигнал устаревший адрес или прежний ответственный, которого давно нет в штате. Второй сигнал новая деятельность компании, новая цель обработки, которая в реестре не отражена. Поскольку часть 7 прямо обязывает сообщать об изменениях сведений части 3, расхождение трактуется как невыполнение этой обязанности.

Частые ошибки

Первая ошибка считать уведомление разовым действием. Часть 7 статьи 22 превращает его в постоянную обязанность поддерживать актуальность сведений. Вторая ошибка путать сроки. Для изменений действует помесячный срок до 15-го числа следующего месяца, а для прекращения десять рабочих дней с даты прекращения. Это разные конструкции из части 7. Третья ошибка тихо прекратить обработку и не подать отдельное уведомление, оставив запись висеть в реестре, тогда как часть 4.1 предполагает исключение сведений именно по уведомлению оператора. Четвёртая ошибка подавать изменения на бланке первичного уведомления вместо формы по части 8.

Частые вопросы

В какой срок сообщить о смене юридического адреса. Адрес оператора входит в сведения части 3, поэтому действует общий срок части 7. Уведомить нужно не позднее 15-го числа месяца, следующего за месяцем, в котором изменение возникло.

Нужно ли сообщать о смене ответственного за организацию обработки. Да. Сведения об ответственном лице входят в часть 3 статьи 22, и их изменение порождает обязанность по части 7 в тот же помесячный срок.

Как правильно завершить деятельность оператора. По части 7 статьи 22 уведомить о прекращении обработки в течение десяти рабочих дней с даты прекращения. После этого по части 4.1 уполномоченный орган в течение тридцати дней исключает сведения из реестра операторов.

Что будет, если изменения вообще не подавать. Сведения в реестре перестанут соответствовать действительности, а невыполнение обязанности по части 7 статьи 22 создаёт основание для претензий со стороны уполномоченного органа при проверке.

Если в компании накопились изменения и нужно привести запись в реестре в порядок без риска просрочки, разумно подготовить уведомление об изменениях в рамках услуги по персональным данным и согласовать порядок действий через контакты.