Адрес обработки персональных данных в уведомлении Роскомнадзора складывается из трёх групп сведений статьи 22 152-ФЗ: адрес оператора (место нахождения по ЕГРЮЛ и почтовый адрес), сведения о месте нахождения базы данных и почтовый адрес ответственного за организацию обработки. В поле «Адрес ЦОДа» пишется адрес здания, где физически стоят серверы с данными; юридический адрес компании или владельца дата-центра туда не подходит. Если кадровые данные лежат в нескольких местах, например в 1С на своём сервере и в облачном сервисе КЭДО, указывается каждое. Для сервера в собственном офисе адрес ЦОД совпадает с адресом офиса и отметка «Собственный ЦОД» — «да»; для облака указываются адрес дата-центра, отметка «нет», страна и адрес организации, ответственной за хранение.
Ниже разобрано, какие поля формы по приказу Роскомнадзора № 180 касаются адресов, что писать для своего сервера, облачной 1С и сервиса КЭДО, чей адрес указывать при филиалах и дистанционных сотрудниках и какой адрес обработчика должен стоять в согласии на обработку персональных данных. Чек-лист заполнения, сроки подачи изменений при переезде или смене провайдера, штрафы по КоАП за ошибки в адресах, актуальные тарифы КЭДО и ответы на частые вопросы — во второй половине статьи.
Какие адреса требует уведомление по статье 22 152-ФЗ
Состав уведомления задаёт часть 3 статьи 22 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных». Адресов касаются три пункта: пункт 1 — наименование и адрес оператора, пункт 7.1 — сведения об ответственном за организацию обработки, включая почтовый адрес, телефон и электронную почту, пункт 10.1 — сведения о месте нахождения базы данных с персональными данными граждан РФ. Подаётся уведомление до начала обработки (часть 1 статьи 22), на бумаге или в форме электронного документа, за подписью уполномоченного лица.
Формы утверждены приказом Роскомнадзора от 28.10.2022 № 180: приложение № 1 — уведомление о намерении осуществлять обработку, приложение № 2 — об изменении сведений, приложение № 3 — о прекращении обработки. В электронной форме пункты закона разложены на отдельные поля, и у каждого адресного поля свой источник сведений.
| Поле формы | Что указать | Где взять сведения | Что не подходит |
|---|---|---|---|
| Адрес местонахождения (п. 1) | адрес юридического лица в том виде, как он внесён в ЕГРЮЛ | выписка из ЕГРЮЛ | адрес фактического офиса, если он отличается от реестра |
| Почтовый адрес (п. 1) | адрес, по которому компания получает корреспонденцию; при совпадении — отметка «совпадает с адресом местонахождения» | договор аренды, адрес работающего офиса | отметка о совпадении, когда почта по юридическому адресу не доходит |
| Регион регистрации | субъект РФ, в котором зарегистрировано юрлицо | выписка из ЕГРЮЛ | регион филиала или фактического офиса |
| Страна (п. 10.1) | страна, где размещены серверы с базой данных | ИТ-служба, договор с хостингом или поставщиком облака | страна регистрации поставщика вместо страны размещения серверов |
| Адрес ЦОДа (п. 10.1) | адрес здания, где стоят серверы с данными | для своего сервера — адрес помещения, для облака — справка или письменный ответ поставщика | юридический адрес владельца ЦОД; адрес своего офиса при облачном хранении |
| Собственный ЦОД (п. 10.1) | «да» для своего сервера, «нет», если серверы находятся у другой организации | ИТ-служба | «да» при облачной 1С или облачном КЭДО |
| Страна и адрес организации, ответственной за хранение (п. 10.1) | место нахождения организации, которая хранит данные, по её реестровым сведениям | договор с поставщиком, выписка из ЕГРЮЛ поставщика | адрес дата-центра вместо адреса организации |
| Почтовый адрес ответственного (п. 7.1) | почтовый адрес лица, ответственного за организацию обработки, вместе с телефоном и email | приказ о назначении ответственного | контакты сотрудника, который уже не отвечает за обработку |
Поля «Адрес ЦОДа» и «Адрес местонахождения организации, ответственной за хранение» описывают разные объекты: первое — здание с серверами, второе — место нахождения компании-хранителя по реестру. Для облачной 1С или сервиса КЭДО оба значения знает только поставщик, поэтому запрос к нему идёт первым шагом подготовки.
Все поля с подсказками видны в электронной форме уведомления на Портале персональных данных Роскомнадзора: её можно открыть до подачи и заранее увидеть, каких сведений не хватает. Регион регистрации выбирается по адресу из ЕГРЮЛ, даже если основная деятельность и кадровая служба находятся в другом субъекте РФ.
Адрес ЦОД для своего сервера, облачной 1С и сервиса КЭДО
Блок пункта 10.1 заполняется по физическому месту хранения, поэтому ответ зависит от того, как развёрнуты учётная система и КЭДО. Если в компании несколько систем с персональными данными, сведения нужны по каждой: кадровая база 1С, облачный сервис КЭДО и облачное хранилище с копиями документов могут оказаться тремя разными адресами.
| Где хранятся кадровые данные | Адрес ЦОДа | Собственный ЦОД | Организация, ответственная за хранение |
|---|---|---|---|
| 1С или другая учётная система на сервере в офисе | адрес помещения с сервером, как правило совпадает с адресом офиса | да | ваша организация |
| Сервер компании размещён в чужом дата-центре | адрес дата-центра | нет | организация, которая по договору оказывает услугу размещения |
| Облачная 1С или облачная бухгалтерия | адрес ЦОД провайдера из его справки или договора | нет | организация, названная провайдером ответственной за хранение |
| Облачный сервис КЭДО | адрес ЦОД, где размещён сервис | нет | организация, которую поставщик КЭДО указывает ответственной за хранение |
| КЭДО, развёрнутый на серверах компании | адрес вашей серверной | да | ваша организация |
| 1С на своём сервере плюс облачный КЭДО | два адреса, по каждому месту хранения отдельно | да — для 1С, нет — для КЭДО | для 1С — ваша организация, для КЭДО — по данным поставщика |
Сведения для облачных строк таблицы даёт поставщик. Часть поставщиков облачной 1С публикует адрес ЦОД и реквизиты владельца дата-центра в справке для заполнения уведомления; если такой справки нет, запросите сведения письменно и сохраните ответ, он пригодится, если Роскомнадзор попросит уточнить данные.
Полезно знать: сервисы КЭДО поставляются в трёх вариантах: облачно, на серверах разработчика; в контур клиента, на его серверах; гибридно. При поставке в контур клиента электронный архив документов обеспечивает сам клиент, и в уведомлении стоит адрес его серверов.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
В Добыто модуль для 1С:ЗУП устанавливается и настраивается за один день, документы синхронизируются автоматически. При такой связке кадровые данные хранятся в двух местах, в базе 1С и в сервисе КЭДО, и в уведомлении отражаются оба. Компаниям, которым нужен отдельный контур, тариф «Корпорация» даёт выделенный сервер; в уведомлении тогда указывается адрес площадки, где этот сервер размещён.
Для зарубежных сервисов правило жёстче. С 1 июля 2025 года часть 5 статьи 18 152-ФЗ в редакции Федерального закона от 28.02.2025 № 23-ФЗ прямо запрещает запись, систематизацию, накопление, хранение, уточнение и извлечение персональных данных граждан РФ с использованием баз данных за пределами России, кроме случаев, перечисленных в законе. Первичная база должна находиться в РФ, и в поле «Страна» для неё указывается Россия. Если копии данных дополнительно уходят за рубеж, это трансграничная передача: она отмечается в пункте 10 уведомления, а до её начала по статье 12 152-ФЗ подаётся отдельное уведомление о намерении её осуществлять.
Адрес обработчика в согласии на обработку персональных данных
Облачный сервис, хостинг и удостоверяющий центр получают кадровые данные от работодателя и обрабатывают их по его поручению. По части 3 статьи 6 152-ФЗ оператор вправе поручить обработку другому лицу с согласия субъекта, если иное не предусмотрено федеральным законом, и только на основании договора с этим лицом. Ответственность перед работником за действия обработчика несёт оператор (часть 5 статьи 6), а статья 88 ТК РФ запрещает сообщать персональные данные работника третьей стороне без его письменного согласия, кроме случаев, предусмотренных законом.
Письменное согласие должно содержать наименование и адрес оператора (пункт 3 части 4 статьи 9 152-ФЗ), а также наименование и адрес лица, которое обрабатывает данные по поручению оператора, если обработка ему поручена (пункт 6 той же части). В согласии пишется адрес организации-обработчика, в уведомлении — адрес ЦОД, где стоят серверы. Обработка по согласию, в котором нет обязательных сведений, наказывается по части 2 статьи 13.11 КоАП: для юрлица штраф от 300 000 до 700 000 рублей.
Мария Ж, специалист по цифровой подписи и КЭДО: «Кадровые документы — это чувствительные персональные данные: в них сведения о семье, здоровье, доходах. Как только они уходят к внешнему провайдеру, появляется третье лицо, и передача ему данных должна опираться на согласие работника. Поэтому выбор облака влечёт обязанность собрать согласия и объяснить людям, кому именно передаются их данные. Задайте вендору прямой вопрос: перечислите всех, кто получит доступ к данным. Обычно в ответе не одна компания, а три: сам провайдер, владелец инфраструктуры и удостоверяющий центр.»
Удостоверяющий центр в этой цепочке легко упустить. В Добыто ПЭП и УНЭП для сотрудников выпускаются бесплатно на всех тарифах, а УКЭП сотрудник получает через партнёров — удостоверяющие центры. Для выпуска сертификата электронной подписи оформляется отдельное согласие на обработку персональных данных, и в перечне получателей данных этот центр должен быть назван.
Важный нюанс из практики: статус сервиса зависит от того, как данные попали в систему. При интеграции с учётной системой и массовой регистрации сотрудников данные передаёт работодатель, и сервис обрабатывает их по его поручению: согласие собирает работодатель, место хранения указывает в своём уведомлении он же. Если работник регистрируется в сервисе сам как физическое лицо, согласие на обработку сервис получает напрямую и сам отвечает за эту обработку.
Внимание: для подписания через Госключ тело документа передаётся через ЕПГУ в приложение. Со стороны работодателя эта схема вызывает много вопросов о безопасности и конфиденциальности данных, и специалисты по информационной безопасности разбирают её одной из первых.
Составьте согласие на обработку персональных данных под свою компанию
Конструктор собирает согласие в формате .docx с целями, сроком и оговоркой об отзыве; наименование и адрес обработчика впишите по договору с поставщиком облака или КЭДО.
Филиалы, группа компаний и дистанционные сотрудники: чьи адреса попадают в уведомление
Филиал и представительство не являются юридическими лицами (пункт 3 статьи 55 ГК РФ), поэтому оператором остаётся организация, и уведомление подаёт она, с адресом местонахождения по ЕГРЮЛ. Адрес филиала попадает в уведомление в одном случае: если там стоит сервер с базой персональных данных. Тогда это отдельное место хранения в блоке пункта 10.1.
В группе компаний каждое юрлицо — самостоятельный оператор со своим уведомлением. Когда несколько компаний ведут кадровый учёт в общей базе на сервере головной организации, для дочерней компании это чужой ЦОД: в её уведомлении стоят адрес этого сервера, отметка «Собственный ЦОД» — «нет» и головная организация как ответственная за хранение. Передача данных работников между юрлицами группы требует основания, как любая передача третьему лицу.
Место работы дистанционного сотрудника в уведомление не попадает: форма спрашивает, где находится база данных, а сотрудник подключается к ней удалённо. Сложнее, когда кадровые документы оседают вне основной системы, в личном облачном хранилище или на ноутбуке: такое хранение в уведомлении не отражено и выпадает из контроля оператора. Документы, которые подписываются и хранятся в КЭДО, остаются в базе, адрес которой уже указан.
Факт: с дистанционным работником письменное согласие на переход на КЭДО по закону не обязательно: условия обмена электронными документами можно урегулировать локальным нормативным актом о дистанционной работе. Согласие на обработку персональных данных и на их передачу обработчику этот ЛНА не заменяет.
Пункт 7.1 требует контакты лица, ответственного за организацию обработки: организация-оператор обязана его назначить (часть 1 статьи 22.1 152-ФЗ). В уведомление идут его ФИО или наименование, телефон, почтовый адрес и электронная почта. Почтовый адрес здесь — тот, по которому ответственный действительно получит письмо Роскомнадзора; смена ответственного или его контактов считается изменением сведений со сроком подачи до 15-го числа следующего месяца.
Мария Ж, юрист со стажем более 20 лет: «Когда компании выбирают систему КЭДО, хранение персональных данных оказывается среди главных критериев рядом с интерфейсом. Объяснение простое: за хранение отвечает конкретный человек, и по нему бывают проверки, а интерфейс кадровик видит каждый день. Среди вопросов вендору до покупки первым ставьте такой: где физически хранятся данные и какой полный перечень лиц получает к ним доступ.»
Как заполнить адресные поля уведомления: подготовка и порядок
Что собрать до заполнения формы
Адресные поля заполняются за один проход, если до открытия формы на руках есть:
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
- выписка из ЕГРЮЛ с актуальным адресом и регионом регистрации;
- почтовый адрес, по которому компания получает корреспонденцию;
- перечень систем, где хранятся персональные данные работников и кандидатов: учётная система, КЭДО, почта, облачное хранилище, сервис проверки кандидатов, формы откликов на сайте;
- по каждой системе — страна и адрес ЦОД, собственный он или нет, наименование, страна и адрес организации, ответственной за хранение;
- сведения о том, уходят ли данные за рубеж, и если уходят, то в какие страны;
- приказ о назначении ответственного за организацию обработки, его телефон, почтовый адрес и email;
- договоры поручения обработки с поставщиками и согласия работников, где названы обработчики и их адреса.
Если по какой-то системе поставщик не ответил, где стоят серверы, уведомление с пустым или угаданным полем даёт Роскомнадзору основание потребовать уточнения до внесения сведений в реестр операторов (часть 6 статьи 22).
Как указать адреса в уведомлении Роскомнадзора: пошаговая инструкция
- Шаг 1. Откройте форму уведомления на Портале персональных данных и в блоке «Адрес оператора» укажите адрес местонахождения из выписки ЕГРЮЛ.
- Шаг 2. Заполните почтовый адрес или отметьте, что он совпадает с адресом местонахождения; выберите регион регистрации по ЕГРЮЛ.
- Шаг 3. В блоке о местонахождении базы данных для первой системы выберите страну, укажите адрес ЦОД и отметьте, собственный ли он.
- Шаг 4. Для чужого ЦОД внесите страну и адрес местонахождения организации, ответственной за хранение, по письменным данным поставщика.
- Шаг 5. Внесите такие же сведения по каждой следующей системе с персональными данными: 1С, КЭДО, облачному хранилищу.
- Шаг 6. Отметьте наличие или отсутствие трансграничной передачи и заполните контакты ответственного, включая почтовый адрес.
- Шаг 7. Подпишите уведомление у уполномоченного лица и направьте его на бумаге или в форме электронного документа.
- Шаг 8. Через 30 дней проверьте запись о компании в реестре операторов: в этот срок Роскомнадзор вносит сведения из уведомления.
Шаблоны согласий и ЛНА для обработки кадровых персональных данных
Комплект закрывает документы, на которые опираются сведения уведомления; первым откройте согласие на обработку персональных данных и проверьте, названы ли в нём обработчик и его адрес.
| Документ | Скачать |
|---|---|
| Согласие на обработку персональных данных | Скачать |
| Согласие на обработку персональных данных для выпуска сертификата электронной подписи | Скачать |
| Правила обработки персональных данных | Скачать |
| Матрица прав и ролей КЭДО в 1С ЗУП | Скачать |
| Заявление о согласии на переход на КЭДО | Скачать |
Переезд, смена провайдера, переход на КЭДО: когда подавать изменения
По части 7 статьи 22 152-ФЗ об изменении сведений оператор сообщает не позднее 15-го числа месяца, следующего за месяцем, в котором изменения возникли, одним уведомлением обо всех изменениях за этот период. Компания переехала 10 марта — изменения подаются не позднее 15 апреля. О прекращении обработки уведомляют в течение 10 рабочих дней с даты прекращения, после чего Роскомнадзор в течение 30 дней исключает сведения из реестра.
Адресные сведения меняются, когда:
- меняется юридический адрес в ЕГРЮЛ или почтовый адрес;
- сервер переезжает в другое помещение или другой дата-центр;
- компания переходит на облачный сервис КЭДО и получает новое место хранения и новую организацию, ответственную за хранение;
- база переезжает с облака на собственный сервер или обратно, и вместе с адресом ЦОД меняется отметка «Собственный ЦОД»;
- меняется ответственный за организацию обработки или его почтовый адрес.
Изменения подаются через форму уведомления о внесении изменений в сведения реестра на том же портале; её бланк утверждён приложением № 2 к приказу № 180.
Важный нюанс из практики: у средних и крупных компаний выросло число запросов на локальное развёртывание КЭДО, в том числе из-за требований информационной безопасности, и есть примеры целенаправленного ухода с облачной инфраструктуры на локальную. Такой переезд меняет сразу три значения пункта 10.1: адрес ЦОД, отметку «Собственный ЦОД» и организацию, ответственную за хранение.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Практический вопрос к любой системе КЭДО — выгружает ли она комплект документа целиком: сам документ, файл подписи отдельно и доверенность, если документ подписан по ней. Хранение внутри системы этого не заменяет: при проверке, при споре или при смене сервиса понадобятся сами файлы, картинки на экране для этого недостаточно. Уточните выгрузку до переезда вместе с тем, в каком виде отдаются документы при расторжении договора.»
Лайфхак: при расторжении договора с поставщиком КЭДО в лицензионном договоре, как правило, предусматривают сохранение доступа к архивной версии, и разработчик продолжает поддерживать электронный архив. Проверьте это условие до переезда: пока архив лежит у прежнего поставщика, его ЦОД остаётся местом хранения ваших данных.
Ошибки в адресах и их цена по КоАП
С 30 мая 2025 года неподача уведомления о намерении обрабатывать персональные данные наказывается по части 10 статьи 13.11 КоАП, которую ввёл Федеральный закон от 30.11.2024 № 420-ФЗ; до этой даты такие нарушения квалифицировали по статье 19.7 КоАП. Индивидуальные предприниматели по частям 8-18 статьи 13.11 отвечают как юридические лица.
| Ошибка | Последствие | Норма |
|---|---|---|
| Уведомление не подано, хотя данные обрабатываются в 1С или другой программе | штраф для коммерческой организации от 100 000 до 300 000 руб. | ч. 10 ст. 13.11 КоАП |
| Изменения адреса или ЦОД не поданы до 15-го числа следующего месяца | может квалифицироваться как несвоевременное представление сведений: штраф для юрлица от 3 000 до 5 000 руб. | ч. 7 ст. 22 152-ФЗ, ст. 19.7 КоАП |
| Адрес офиса вместо адреса ЦОД или пропущена одна из баз | Роскомнадзор вправе потребовать уточнения до внесения сведений в реестр | ч. 6 ст. 22 152-ФЗ |
| Первичная база с данными граждан РФ находится за рубежом | штраф для юрлица от 1 до 6 млн руб., при повторном нарушении от 6 до 18 млн руб. | ч. 5 ст. 18 152-ФЗ, ч. 8 и 9 ст. 13.11 КоАП |
| В согласии работника не названы обработчик и его адрес | штраф для юрлица от 300 000 до 700 000 руб. | ч. 4 ст. 9 152-ФЗ, ч. 2 ст. 13.11 КоАП |
Разница в суммах показывает, где сосредоточен основной риск: неточность в поле ЦОД исправляется уточнением, а зарубежная первичная база и согласие без обработчика обходятся в сотни тысяч и миллионы рублей. Отдельно проверьте каналы, по которым кадровые документы уходят из системы: передача кадровой информации через мессенджер, инфраструктура которого находится за пределами России, может вызвать вопросы к работодателю, даже если основная база стоит в российском ЦОД.
Мария Ж, судебный эксперт в сфере корпоративного и трудового права: «Доступ ко всему кадровому массиву у всей кадровой службы целиком — типовая ситуация и типовое нарушение. Требование разграничения доступа действует и для электронного архива, и для рабочей базы. До того как вписывать систему в уведомление, проверьте, есть ли в ней разграничение доступа по ролям и журнал обращений.»
В Добыто исполненный документ хранится во вкладке «Архив», и просматривать его могут только сотрудники, у которых есть доступ к электронному архиву; роль сотруднику назначает администратор при добавлении в систему. Распределение прав для связки с 1С:ЗУП удобно заранее расписать в матрице прав и ролей из комплекта шаблонов выше.
Когда уведомление не подаётся
С 1 сентября 2022 года Федеральный закон от 14.07.2022 № 266-ФЗ сократил исключения из части 2 статьи 22 до трёх: данные в государственных информационных системах, созданных для защиты безопасности государства и общественного порядка; обработка исключительно без средств автоматизации; обработка в случаях, предусмотренных законодательством о транспортной безопасности. Прежнее исключение для данных, обрабатываемых по трудовому законодательству, отменено. Работодатель, который ведёт кадровый учёт хотя бы в одной программе, подаёт уведомление и заполняет адресные поля по всем местам хранения.
Стоимость КЭДО Добыто: тарифы с хранением кадровых документов
Стоимость зависит от численности сотрудников, нужных видов подписи и требований к инфраструктуре: выделенный сервер и SLA рассчитываются отдельно.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны, email-поддержка | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: без ограничения числа сотрудников, ПЭП, УНЭП и УКЭП, кастомные шаблоны, интеграция с 1С, электронный архив, приоритетная поддержка | от 50 ₽ за сотрудника / мес, минимальная оплата 50 сотрудников за 30 000 ₽ в год | подключение за 5 минут |
| Тариф «Корпорация»: всё из тарифа «Бизнес», выделенный сервер, SLA 99.9%, персональный менеджер, API и кастомные интеграции | по запросу | по запросу |
| Электронные подписи ПЭП и УНЭП для сотрудников | бесплатно, входят в тариф | на всех тарифах |
| УКЭП для сотрудников через партнёров — удостоверяющие центры | по запросу | по запросу |
| Модуль интеграции с 1С:ЗУП с автоматической синхронизацией документов | входит в тариф «Бизнес» | установка и настройка за один день |
Цены указаны за сотрудника в месяц; при переходе на другой тариф разница пересчитывается пропорционально оставшемуся периоду. Состав и условия каждого тарифа приведены на странице тарифов Добыто КЭДО. Подключение аккаунта занимает минуты, а общий срок перехода определяют сбор согласий работников и подача изменений в уведомление Роскомнадзора с новым местом хранения.
Выводы
Адресные поля уведомления описывают три разных объекта: компанию-оператора по ЕГРЮЛ, здание с серверами и организацию, которая эти серверы держит. Для сервера в собственном офисе всё сводится к адресу офиса, для облачной 1С и КЭДО сведения даёт поставщик, и каждое место хранения указывается отдельно. Переезд, смена провайдера или ответственного — повод подать изменения до 15-го числа следующего месяца, а согласие работников должно называть обработчика и его адрес.
Добыто выстраивает хранение кадровых документов так, чтобы место хранения было известно заранее: модуль для 1С:ЗУП, электронный архив с доступом по ролям и выделенный сервер для компаний с отдельным контуром позволяют сразу понять, какие сведения войдут в уведомление.
Частые вопросы об адресе обработки персональных данных
Нужно ли уведомление, если кадровые документы ведутся только на бумаге?
Без уведомления можно обрабатывать данные, только если оператор работает исключительно без средств автоматизации (пункт 8 части 2 статьи 22 152-ФЗ). Табель в Excel, расчёт зарплаты в бухгалтерской программе или отправка кадровых документов по электронной почте уже относятся к автоматизированной обработке, и тогда уведомление с адресами баз данных обязательно. При полностью бумажном учёте уведомление не подаётся и поля о ЦОД заполнять не нужно.
Можно ли скрыть адрес ЦОД как коммерческую тайну?
Нет. Перечень сведений уведомления задан частью 3 статьи 22 152-ФЗ, и место нахождения базы данных в него входит. По части 4 той же статьи сведения реестра операторов общедоступны, кроме сведений о средствах обеспечения безопасности персональных данных. Технические меры защиты в открытый доступ не попадают, а адрес места хранения к исключениям не относится.
Сколько Роскомнадзор рассматривает уведомление и платится ли пошлина?
Сведения вносятся в реестр операторов в течение 30 дней с даты поступления уведомления (часть 4 статьи 22). Расходы в связи с рассмотрением уведомления и внесением в реестр на оператора не возлагаются (часть 5). Если сведения неполные или недостоверные, Роскомнадзор до внесения в реестр вправе потребовать их уточнения, и срок фактически сдвигается на время переписки.
В одном месяце сменились и юридический адрес, и ЦОД: подавать два уведомления?
Достаточно одного. Часть 7 статьи 22 обязывает сообщить обо всех изменениях, произошедших за месяц, не позднее 15-го числа следующего месяца. Если адрес сменился в марте, а ЦОД в апреле, это два отчётных периода: изменения за март подаются до 15 апреля, за апрель — до 15 мая.
Когда подавать уведомление о прекращении обработки при закрытии компании или филиала?
Уведомление о прекращении подаётся в течение 10 рабочих дней с даты прекращения обработки по форме приложения № 3 к приказу Роскомнадзора № 180, после чего сведения исключаются из реестра в течение 30 дней. Хранение тоже относится к обработке (пункт 3 статьи 3 152-ФЗ), поэтому, пока компания хранит архив кадровых документов, прекращения не наступило: трудовые договоры и приказы по личному составу хранятся 50 или 75 лет. Закрытие филиала без собственного сервера прекращением обработки не считается.
Нужен ли аттестат информационной системы, чтобы заполнить раздел о безопасности?
Оценка соответствия требованиям 152-ФЗ обязательна, но проводится одним из двух способов: самостоятельно, с оформлением акта оценки соответствия, или с привлечением лицензиата ФСТЭК, и тогда это аттестация с выдачей аттестата. Сертифицированные средства защиты обязательны для государственных организаций и там, где закон требует высоких уровней защищённости. Какой вариант нужен конкретной системе, определяют нормативные акты, которые на неё распространяются.
