Как заполнить уведомление в Роскомнадзор: поля и ошибки

( TL;DR )

Коротко

Уведомление подаётся до начала обработки, ч. 1 ст. 22 152-ФЗ. Содержание полей описано в ч. 3 той же статьи.
Тридцать дней — срок Роскомнадзора на внесение сведений в реестр после подачи, ч. 4 ст. 22. Это не ваш срок.
Пять полей, где ошибаются: цель, категории субъектов, перечень действий, сроки хранения, местонахождение базы.
При изменении сведений уведомляют не позднее 15-го числа месяца, следующего за месяцем изменений, ч. 7 ст. 22.
Штраф за неподанное уведомление — 100–300 тысяч ₽ для юрлица и столько же для ИП по примечанию 1 к ст. 13.11 КоАП.

Форма уведомления пугает не сложностью, а длиной.

Люди заполняют её механически, а потом получают запрос на уточнение сведений или, что хуже, живут с записью в реестре, которая не соответствует тому, что происходит на самом деле.

Это справочный разбор, а не юридическая консультация. Пройду по полям, в которых ошибаются, и объясню, что там на самом деле хотят увидеть. Пакет документов по 152-ФЗ у меня готовит практикующий юрист.

Что говорит закон о содержании

Часть 3 ст. 22 152-ФЗ описывает, какие сведения должно содержать уведомление. В действующей редакции это, в частности: наименование или ФИО и адрес оператора, цель обработки, категории субъектов, персональные данные которых обрабатываются, правовое основание, перечень действий с данными и способы обработки.

Из этого перечня и вырастают поля формы.

Поле «цель обработки»

Как пишут обычно. «Видеонаблюдение» или «обеспечение работы системы».

Почему неверно. Видеонаблюдение — это средство. Цель отвечает на другой вопрос. Она отвечает на вопрос «зачем».

Как правильнее. Формулировать через задачу: обеспечение безопасности имущества и посетителей, контроль сохранности товарно-материальных ценностей, обеспечение пропускного режима, исполнение требований площадки к пункту выдачи.

Целей может быть несколько, и они должны совпадать с тем, что написано в вашем положении об обработке. Расхождение здесь заметно сразу: в одном документе охрана имущества, в другом контроль персонала.

Поле «категории субъектов»

Как пишут. «Клиенты».

Почему неполно. Если камера смотрит в зал, где работают ваши люди, категорий минимум две: посетители и работники.

Это поле важнее, чем кажется: с 1 сентября 2022 года исключение для обработки данных работников отменено законом 266-ФЗ, и «забыть» работников больше нельзя.

Для пункта выдачи и магазина добавляются подрядчики и курьеры, если их проходы фиксируются отдельно.

Поле «перечень действий с данными»

Как пишут. Отмечают «сбор».

Почему неполно. Видеонаблюдение — это ещё запись, систематизация, хранение, уточнение, извлечение и удаление. Если архив уходит в облако или доступ есть у охранного предприятия — добавляется передача.

Правило простое: отмечено должно быть то, что реально происходит с записью от момента съёмки до момента перезаписи.

Поле «сроки хранения»

Как пишут. «Бессрочно» или «до достижения целей».

Почему проблема. Срок должен быть обоснован целью, и он должен совпадать с реальностью. Если в уведомлении стоит один срок, в положении второй, а система физически хранит третий — расхождение видно при первой проверке.

Как правильнее. Назвать конкретное число суток для видеоархива, записать его в положение и настроить регистратор так, чтобы архив реально перезаписывался.

Поле «местонахождение базы данных»

Самое дорогое поле формы.

Если запись уходит в облако, нужно понимать, где физически стоят серверы. Нарушение локализации баз с данными россиян наказывается по ч. 8 ст. 13.11 КоАП: 1–6 миллионов ₽ для юрлица, повторно по ч. 9 — 6–18 миллионов.

Практический совет: до подачи уведомления выяснить у поставщика облачного сервиса, где размещаются данные, и сохранить этот ответ.

Поле «ответственный за организацию обработки»

Как пишут. Название должности.

Как правильнее. Конкретный человек, назначенный приказом. Приказ — часть того же пакета документов, что и положение.

В маленькой компании это обычно сам руководитель, и это нормально: закон не требует отдельной штатной единицы, он требует конкретного человека, который отвечает за организацию обработки.

Как свести уведомление с реальной системой

Самая полезная работа делается после того, как форма заполнена: проверить, что написанное совпадает с тем, что стоит на объекте.

Сроки хранения. В уведомлении — число суток. В положении — то же число. В регистраторе — настройка, при которой архив действительно перезаписывается через это время. Три места, одна цифра.

Категории субъектов. Если в уведомлении указаны только посетители, а камера смотрит на рабочие места, надо либо добавить работников, либо развернуть камеру.

Перечень действий. Если отмечена только запись и хранение, а копия уходит в облако — добавляется передача.

Место хранения. Локальный диск, облако, оба варианта. Это же поле определяет, попадаете ли вы под требования локализации.

Доступ. Перечень допущенных лиц в документах должен совпадать со списком учётных записей в системе. Уволенный сотрудник с активным доступом к архиву — типичное расхождение.

На проверку этих пяти пунктов уходит полчаса, и она снимает большую часть будущих вопросов.

Два срока, которые путают

Срок	Чей	Что означает
До начала обработки	ваш	Уведомление подаётся раньше, чем камера начала писать людей. Ч. 1 ст. 22
30 дней	Роскомнадзора	Срок ведомства на внесение сведений в реестр операторов с даты поступления уведомления. Ч. 4 ст. 22
До 15-го числа следующего месяца	ваш	Срок сообщить об изменении сведений. Ч. 7 ст. 22

Практический вывод: подавайте, пока система монтируется. Ждать записи в реестре, чтобы включить камеры, не нужно — обязанность привязана к подаче.

Правовое основание: поле, которое лучше не выдумывать

Отдельно про поле, где ошибка стоит дороже всего.

Правовое основание — это норма, по которой вы вправе обрабатывать данные. Для видеонаблюдения в магазине, для журнала проходов в офисе и для анкеты гостя в квартире основания разные.

Соблазн понятный: найти в интернете формулировку и вставить. Проблема в том, что основание должно совпадать с реальной ситуацией и с тем, что написано в вашем положении об обработке. Расхождение между уведомлением и внутренними документами — самый частый повод для вопросов.

Это ровно то место, где я говорю: спросите юриста. Не потому, что тема сложная, а потому что универсального ответа здесь нет.

Что делать после подачи

Сохранить подтверждение. Дата направления уведомления входит в сведения реестра.

Проверить запись в реестре. Сведения реестра операторов общедоступны, кроме сведений о средствах обеспечения безопасности.

Свести уведомление с документами. Цель, категории и сроки в уведомлении, в положении и в реальной настройке системы должны совпадать. Расхождение — самый частый повод для вопросов.

Не забыть про изменения. Сменился адрес, ответственный, цель или состав системы — уведомляем не позднее 15-го числа следующего месяца.

Чего я не делаю

Не подаю уведомление за вас. Оператор — вы, и подпись должна быть ваша. Помочь подготовить могу.

Не даю юридических консультаций и не формулирую за юриста правовое основание обработки.

Не обещаю, что после подачи вопросов не будет.

Не ставлю скрытые камеры, не снимаю приватные зоны и не пишу звук без предупреждения.

Что при этом делаю

Технической частью закрываю то, что должно совпасть с бумагами: настраиваю реальные сроки хранения, закрываю чужую территорию приватными зонами (500 ₽ за камеру), меняю заводские пароли и пишу это в акте, ограничиваю доступ к архиву.

Пакет документов — положение с планом-схемой, приказы, политику, таблички, лист ознакомления, журнал выдачи записей — готовит практикующий юрист. Отдаю вместе с актом, отдельных денег за это не беру.

( Частые вопросы )

Частые вопросы

Я ИП. Отвечаю как гражданин или как юрлицо?

По примечанию 1 к ст. 13.11 КоАП за нарушения по частям 8–18 индивидуальные предприниматели несут ответственность как юридические лица. Часть 10 — про неподанное уведомление — в этот диапазон входит.

Можно ли подать уведомление на бумаге?

Закон допускает и бумажный документ, и электронный: ч. 3 ст. 22 говорит о документе на бумажном носителе или в форме электронного документа, подписанного уполномоченным лицом.

Что делать, если камеры стоят давно?

Подать сейчас. Это не отменяет прошлого нарушения, но продолжать обработку без уведомления хуже.

Нужно ли отдельное уведомление на каждую точку?

Уведомление подаёт оператор, точки здесь ни при чём. Если у вас несколько адресов под одним юрлицом, они описываются в рамках сведений оператора.

Мы перестали снимать. Нужно что-то делать?

При прекращении обработки об этом также сообщают уполномоченному органу — этот случай прямо упомянут в ч. 7 ст. 22.

Кто проверяет достоверность сведений?

Роскомнадзор вправе требовать уточнения предоставленных сведений до их внесения в реестр — это записано в ч. 6 ст. 22.

Нужно ли уведомлять, если камеры только на складе и людей там не снимают?

Если в кадр не попадают люди, обработки персональных данных нет. На практике люди на складе всё же появляются: кладовщики, водители, курьеры. Смотреть надо на реальный кадр, а не на назначение помещения.

Сколько стоит помощь с подготовкой?

Пакет документов по 152-ФЗ идёт вместе с монтажом отдельной строкой в смете — от 12 000 ₽. Отказаться от него нельзя: камеры без юридической упаковки я не ставлю. Подача остаётся за вами.

( Что дальше )

Что дальше

Три вещи можно проверить, не написав мне ни слова. Настройка приватных зон — 500 ₽ за камеру, монтаж камеры внутри — 2 000 ₽, пакет документов по 152-ФЗ входит в работу; техника и цены — на странице видеонаблюдения. Шаблон договора лежит на сайте и читается до разговора. Сведения реестра операторов общедоступны, и свою запись вы сможете проверить сами.
Чего я не делаю: не подаю уведомление вместо вас. Оператор — вы, подпись ваша.
Дальше. Опишите, что снимают камеры, кто попадает в кадр и куда уходит архив, — скажу, какие поля в вашем случае заполняются неочевидно и что должно совпасть с настройками системы. Бесплатно, без выезда, до конца следующего рабочего дня. Разбор ситуаций — на странице «Камеры и закон».