Кто обязан подавать уведомление
Оператором становится любая организация или предприниматель, который определяет цели обработки персональных данных. Форма обратной связи с именем и телефоном, подписка на рассылку, личный кабинет, запись на услугу, резюме на почту компании — всё это обработка.
Исключений осталось немного, и они узкие: данные, обрабатываемые исключительно в рамках трудовых отношений с собственными сотрудниками без передачи третьим лицам, разовые пропуска и подобные ситуации. Сайт с формой заявки под исключения не попадает.
Что подготовить до заполнения формы
Половина ошибок возникает из-за того, что сведения придумываются на ходу. Сначала соберите фактуру, потом открывайте форму на портале.
- —Реквизиты организации и данные ответственного за организацию обработки — с приказом о назначении.
- —Перечень категорий субъектов: клиенты, посетители сайта, кандидаты, контрагенты.
- —Перечень обрабатываемых данных строго по факту: имя, телефон, e-mail, адрес доставки.
- —Цели обработки, сформулированные конкретно: «обработка заявок», а не «улучшение сервиса».
- —Сведения о местонахождении баз данных — адрес дата-центра на территории России.
- —Правовые основания, сроки обработки и порядок уничтожения данных.
Формулировки, из-за которых возвращают уведомление
Расплывчатые цели вроде «маркетинговая деятельность» или «иные цели» почти гарантированно приведут к уточняющему запросу. Такая же история со списком данных «и другие сведения»: перечень должен быть закрытым.
Ещё одна ловушка — несоответствие уведомления и сайта. Если в уведомлении заявлены только имя и телефон, а форма запрашивает дату рождения, при проверке это трактуется как обработка за пределами заявленных целей.
Сроки и что происходит после подачи
Уведомление подаётся до начала обработки — то есть до запуска формы на сайте. Если сайт уже работает, подавайте немедленно: добровольное исправление воспринимается иначе, чем нарушение, выявленное проверкой.
После внесения в реестр сведения становятся публичными. Любые изменения — новый адрес, новая цель, смена ответственного — требуют информационного письма. Удобно поставить напоминание на ежегодную сверку реестровой записи с реальностью.
Уведомление — не финальная точка
Запись в реестре не делает обработку законной сама по себе. К ней нужны политика обработки персональных данных, опубликованная на сайте, формы согласий, приказ о назначении ответственного, перечень мест хранения и порядок реагирования на запросы субъектов.
Практическое правило: комплект документов должен описывать ровно то, что происходит на сайте. Как только маркетинг добавляет новую форму или новый сервис, документы обновляются в том же спринте.