Гриф конструктор модели угроз

Проверить организацию в реестре операторов персональных данных

Реестр ведёт Роскомнадзор — записи в нём появляются по рассмотренным уведомлениям об обработке персональных данных. Заполните одно поле: поиск откроется в реестре, в новой вкладке.

Что означает результат

Запись нашлась

Уведомление подано и рассмотрено: Роскомнадзор вносит сведения в реестр в течение 30 дней с даты поступления уведомления (ч. 4 ст. 22 Федерального закона № 152-ФЗ). Дальше смотрят не на факт записи, а на её содержание: наименование и адрес, цели обработки, сведения о трансграничной передаче, место нахождения баз данных, ответственный за организацию обработки. Всё это — сведения ч. 3 ст. 22 Федерального закона от 27.07.2006 № 152-ФЗ, и они должны совпадать с тем, что происходит на деле.

Запись не нашлась

Возможны два случая. Уведомление не подавалось — тогда обязанность не исполнена: она установлена ч. 1 ст. 22 и возникает до начала обработки, а не после включения в реестр. Либо уведомление подано недавно и ещё не рассмотрено — тогда стоит подождать и сохранить подтверждение отправки.

Отсутствие организации в реестре не означает, что уведомлять не требовалось. Основания не уведомлять перечислены в части 2 статьи 22, и их осталось три — проверить, нужно ли уведомление, можно за четыре вопроса.

Сведения устарели

Изменились наименование, адрес, цели обработки, ответственный, меры защиты или сведения о трансграничной передаче — направляется информационное письмо об изменении сведений. Достоверность сведений реестра — обязанность оператора, а не забота Роскомнадзора: расхождение между реестром и действительностью обнаруживается при проверке и объясняется тяжелее, чем отсутствие записи.

Как искать, чтобы найти

Зачем проверяют реестр

Три обычные причины. Первая — убедиться, что собственное уведомление дошло и сведения в нём верны. Вторая — проверить контрагента, которому поручается обработка: поручение оформляется договором по ч. 3 ст. 6, и обработчик, не подавший уведомление, — это риск, который перейдёт на оператора. Третья — узнать регистрационный номер, который указывают в информационном письме об изменении сведений.

Что видно в реестре посторонним

Реестр открыт: карточка оператора показывает наименование, ИНН, адрес, дату и основание внесения, цели обработки, категории данных и субъектов, перечень действий с данными, сведения о трансграничной передаче и о месте нахождения баз данных. Персональных данных работников и клиентов оператора в карточке нет — там сведения об обработке, а не сами данные. Ф.И.О. ответственного за организацию обработки в публичной части не отображается, хотя в уведомлении оно указывается (п. 7.1 ч. 3 ст. 22).

Отсюда практическое следствие: карточка — это заявление оператора государству, доступное всем, включая конкурентов, клиентов и проверяющих. Цели обработки, записанные «на всякий случай» шире фактических, работают против оператора: их придётся либо подтверждать документами, либо объяснять расхождение.

Вопросы и ответы

Где проверить, есть ли организация в реестре операторов
В реестре Роскомнадзора на портале персональных данных: поиск ведётся по ИНН, наименованию или регистрационному номеру оператора. Реестр ведёт сам Роскомнадзор, и он же его источник — сведения в нём появляются после рассмотрения уведомления.
Организации нет в реестре — что это значит
Чаще всего одно из двух: уведомление не подавалось вовсе либо подано недавно и ещё не рассмотрено. Отсутствие в реестре само по себе не освобождает от обязанности: она установлена ч. 1 ст. 22 Федерального закона № 152-ФЗ и возникает до начала обработки, а не после включения в реестр.
Сведения в реестре устарели — надо ли что-то делать
Да. Сведения уведомления перечислены в ч. 3 ст. 22 и должны оставаться достоверными: при изменении наименования, адреса, целей обработки, ответственного, мер защиты или сведений о трансграничной передаче направляется информационное письмо об изменении сведений.
Через сколько запись появляется в реестре
В течение 30 дней с даты поступления уведомления — срок задан ч. 4 ст. 22 Федерального закона № 152-ФЗ. Если сведения окажутся неполными или недостоверными, Роскомнадзор вправе потребовать их уточнения до внесения в реестр (ч. 6), и тогда отсчёт продолжится после ответа оператора. Подтверждение отправки стоит хранить: оно доказывает дату подачи.
Реестр операторов и реестр аккредитованных организаций — это одно и то же
Нет. Реестр операторов персональных данных ведёт Роскомнадзор по уведомлениям об обработке; другие реестры (аккредитации, лицензий ФСТЭК и ФСБ) к обязанности уведомлять отношения не имеют и на неё не влияют.

Что дальше