Как не нарваться на штрафы за персональные данные с 30 мая

Перед подачей заявления вам нужно подготовить комплект документов. Он будет отличаться в зависимости от вида деятельности компании и категории обрабатываемых данных. 

Вам точно потребуется своя политика по обработке персональных данных и согласие на обработку персональных данных. 

Разместите ее на сайте, если он у вас есть. Это особенно важно сделать, если вы собираете какую-то информацию о поведении пользователя на сайте через cookies. Кроме того, вы обязаны предупреждать посетителя о том, что собираете эти файлы, а пользователь должен иметь возможность отказаться от их сбора. Для подачи уведомления вам нужно оформить через приказ ответственного за хранение персональных данных. Наконец, у вас должен быть договор аренды ЦОД, если вы используете удаленные серверы.

Да, вам нужно подавать отдельное уведомление. 

У вас и данные, и задачи могут быть другие. По закону именно вы являетесь самостоятельным оператором персональных данных — даже если пользуетесь YCLIENTS или другими сторонними сервисами для автоматизации бизнес-процессов. 

Если вы сомневаетесь, подавали ли заявление до вас (если вы новый владелец или наемный сотрудник), то проверьте это в общедоступном реестре операторов персональных данных.

Оператор, но только по отношению к собственным задачам. Вот что обрабатывает сервис:

• данные о сотрудниках YCLIENTS и членах их семей;
• данные о пользователях сервисов YCLIENTS;
• данные о сотрудниках клиентов;
• данные о подрядчиках, партнерах, контрагентах.

Часть персональных данных сервис обрабатывает по вашему поручению для исполнения договорных обязательств. Это необходимо, чтобы все работало, как надо: онлайн-запись, уведомления, аналитика. Но сервис не отвечает за то какие именно данные вы собираете и зачем. С точки зрения закона, вы — самостоятельный оператор.

Нет. Вам лишь достаточно знать, что YCLIENTS является российской компанией, и всю информацию хранит на территории России. 

В уведомлении не нужно указывать цели обработки или адреса центров обработки данных (ЦОДов) YCLIENTS. Сервис уведомил Роскомнадзор об обрабатываемых данных, методах их защиты, целях и местах хранения данных. 

Если вы впишите название или дата-центр YCLIENTS в уведомление, то Роскомнадзор может счесть это за ошибку и обратиться к вам с уточняющими вопросами. 

Для подачи уведомления форму можно заполнить на сайте Роскомнадзора. Чтобы отправить ее онлайн потребуется электронный ключ. Если ключа нет, то надо распечатать заполненное уведомление и отправить в территориальный орган Роскомнадзора.  

Что указывать в уведомлении:

• информация о компании;
• цель обработки и разновидность данных;
• правовое основание (обычно речь идет о добровольном согласии сотрудника или клиента на обработку его данных);
• действия, при которых будут использоваться эти данные;
• способы обработки:
• меры по защите данных (например, шифрование);
• ответственное лицо; 
• место физического хранения данных (например, адрес дата-центра, который предоставляет услуги облачного хранилища или место расположения сервера вашей компании).

Кстати, если вы размещаете свои данные в дата-центре (центре обработки данных, облачном хранилище), то будьте готовы предоставить договор аренды с ним.

Здесь вам нужно указать место хранения вашей информации. Это может быть собственный сервер или компьютер — тогда нужно указывать адрес его нахождения. Или это может быть сторонний центр обработки данных / облачное хранилище — тогда вам нужно будет указать адрес ЦОДа, с которым вы заключили договор. Сервис YCLIENTS не является центром обработки данных в понимании Роскомнадзора. 

Если вы до сих пор используете для обработки данных западные сервисы вроде Google, например, для сбора обратной связи или ведения отчетности, то такая передача будет считаться трансграничной. Лучше заменить на отечественные аналоги — это сильно облегчит вам прохождение бюрократических процедур.

По закону это нарушение. Роскомнадзор может:

• вынести предупреждение;
• выписать штраф за персональные данные;
• не принять уведомление, если была указана неверная информация.

Само уведомление подается просто. Проверьте, может быть вы уже сообщали о себе как операторе персональных данных. Если нет — подайте уведомление через сайт Роскомнадзора. Если в вашем бизнесе что-то меняется: например, вы переехали или начали собирать новые данные, — просто обновите уведомление.