📝 Как стать оператором персональных данных и зарегистрироваться в Роскомнадзоре. Подробная инструкция для компьютерных клубов от LANGAME

Привет, на связи LANGAME!

С 30 мая в России начали работать новые поправки в закон о защите персональных данных (ПД). Глобально это означает ужесточение наказания за некорректную работу с ПД и их утечку. А для киберклубов — обязательное получение статуса оператора персональных данных (ОПД) в Роскомнадзоре. 

Как часто бывает с новыми законами, новость вызвала суету и непонимание, что конкретно нужно делать. Для этого мы подготовили подробный мануал — на основе действий управляющего клуба, который только что передал все необходимые документы в РКН, уже получил необходимые для спокойной работы документы и теперь делится ими с вами.

Что важно знать владельцами и управляющим компьютерных клубов

• Игнорировать новые поправки к закону нельзя. Если клуб не получит официальный статус ОПД, можно попасть на штраф до 300 тысяч рублей. Штрафы за утечку ПД, повторные нарушения, несообщение об утечке и другие нарушения также вырастают и могут достигать миллионов рублей. Подробнее можно ознакомиться здесь.
• Вопреки частому мнению, нахождение LANGAME Software (LGS) в реестре ОПД не освобождает клуб от необходимости получения этого статуса. Да, LGS обрабатывает и хранит персональные данные гостей, поэтому мы зарегистрированы как ОПД и свои обязательства перед законом выполняем. НО! Клуб тоже работает с персональными данными гостей, а если у него включена полная регистрация, тем более. Вдобавок у клуба есть сотрудники, с данными которых он также работает. Так что волей-неволей регистрироваться в качестве ОПД придется. 

Что делать дальше

Чтобы немного облегчить жизнь нашему сообществу, мы решили пройти путь становления оператором ПД на живом примере. А помог нам в этом Максим Улыбышев, операционный директор сети F5 Центр киберспорта. В управлении у Максима 9 клубов, команда из 50 администраторов и тысячи гостей ежемесячно, поэтому и подход к задаче должен соответствовать масштабу сети.  

 
Вариант 1. Обратиться к профессионалам

«Честно, я даже не рассматривал варианта, при котором я самостоятельно изучаю вопрос по 152-ФЗ, занимаюсь оформлением всей нормативки, подачей уведомлений и другой рутиной. Я на 100% уверен, что мое время и цена возможной ошибки в оформлении кратно перекроют стоимость услуг юристов. Поэтому я просто воспользовался рекомендацией профильного сервиса».

Из десятков вариантов, которые можно легко найти в интернете, Максим обратился к юристам сервиса LegalBox. 

В целом, какой сервис или юриста вы бы ни выбрали, просто убедитесь, что перечень их услуг включает: 

• Подготовку пакета документов. Это несколько десятков приказов, форм, уведомлений и других локальных нормативных актов, которые должны быть правильно оформлены для соответствия статусу оператора ПД. Да-да, подать уведомление в РКН — это еще не все. 
• Документы для размещения на сайте. Если у вас есть страница в интернете, то на ней также должны быть различные политики, согласия, уведомления и соглашения. 
• Проект уведомления РКН. Документ, который вы направляете в Роскомнадзор для получения статуса оператора. 
• Набор инструкций и консультаций. Отвечающие на вопрос «А что с этим всем добром делать??» 
• Дальнейшая поддержка. Хотя бы в течение года после отправки уведомления. На случай изменения в процессах клуба, внезапных проверок или просто для собственного спокойствия. 

Да, получить статус оператора персданных в формате «оплатил и забыл» не получится. Время все равно придется потратить, но кратно меньше, чем в следующем варианте. 

А чтобы сделать этот факт чуть более приятным, коллеги из LegalBox предоставят скидку 20% всему сообществу компьютерных клубов. Для этого перейдите по ссылке, выберите любой тариф, нажмите «Оставить заявку» и введите промокод LANGAME. Срок действия промокода до 30.06.2025

Вариант 2. Самостоятельная регистрация

Мы полностью солидарны с мнением, что каждый профессионал должен заниматься своей работой. Тем не менее, кто мы такие, чтобы запретить людям сэкономить несколько десятков тысяч рублей или «поразвлекаться» с парой сотен страниц документов? 

Поэтому мы договорились с Максимом и коллегами из LegalBox, что просто выложим для вас документы, которые они совместно подготовили для получения и соблюдения статуса оператора ПД. Вам же просто останется адаптировать их под себя и подать уведомление в РКН. Ну как, просто…  

В общем, меньше слов, больше дела! 

НАЧИНАЕМ С ОФОРМЛЕНИЯ УВЕДОМЛЕНИЯ РКН

Чтобы оповестить РКН, что вы являетесь оператором персональных данных и хотите получить соответствующий статус, необходимо сформировать уведомление.  

Шаг 1 — заходим на сайт Роскомнадзора. Из колонки (слева на экране) «Персональные данные», переходим в раздел «Для операторов персональных данных».

Шаг 2 — в разделе «Электронные формы заявлений» выбираем «Уведомление о намерении осуществлять обработку персональных данных».

Шаг 3 — выбрать один из трех способов сформировать и отправить уведомление для РКН.

• В бумажном виде. Заполнить форму, распечатать и отправить в отделение Роскомнадзора по месту регистрации оператора.
• В электронном виде #1. С использованием усиленной квалифицированной электронной подписи. Для этого должен быть установлен и настроен плагин «КриптоПро ЭЦП», но зато в этом случае подача заявления в бумажном виде не нужна.
• В электронном виде #2. С использованием средств аутентификации ЕСИА. Для этого нужно, чтобы ваша учетная запись на Госуслугах была привязана к заявленной организации. В этом случае также не нужно отправлять документы в бумажном виде. 

Самое сложное на этом этапе — правильно сформировать цели обработки персональных данных. Для большинства клубов это будет: 

• Обеспечение соблюдения трудового законодательства РФ при взаимодействии с действующими сотрудниками. 
• Рассмотрение соискателей на вакантную должность и принятие решения о приеме либо отказе в приеме на работу.
• Подготовка, заключение и исполнение договоров.
• Маркетинговая активность. 
• Обработка входящих заявок с сайта.
• Ведение статистики посещения сайта.

Все эти пункты закрывают вопросы обработки данных в контексте работы с сотрудниками, гостями и контрагентами.  

Если на этом моменте вы все же решите воспользоваться услугами LegalBox, то все эти данные нужно будет просто внести в эксель-форму, откуда их перенесут в уведомление РКН и всю необходимую документацию.

Если же вас так легко не сломить, то вот обезличенная шпаргалка заполненной анкеты. 

На что еще важно обратить внимание на этом шаге

— В уведомлении необходимо указать всех контрагентов, которым вы передаете персональные данные. За это в каждой цели обработки отвечает раздел «Сведения об организации, ответственной за хранение данных».

Одним из них будет ООО «Лангейм ПР», если вы используете в клубе LANGAME Software. А вот актуальные юридические данные для внесения: 

ИНН 9719019720
ОГРН 1217700493889
Адрес 107023, Город Москва, ул Большая Семеновская, д. 11, стр. 11

А вот при заполнении раздела «Сведения о местонахождении базы данных информации, содержащей персональные данные граждан РФ» необходимо будет указать непосредственно адрес центра обработки данных (ЦОДа), где эти данные хранятся. В случае LANGAME Software — это ЦОД хостинг-провайдера Timeweb и адресом будет  г. Санкт-Петербург, ул. Цветочная, д. 21, лит. А.
   
Однако есть несколько клубов-исключений с другими ЦОДами: им мы вышлем в индивидуальные чаты техподдержки актуальные адреса после выхода этой статьи. Если вы не получили такого уведомления после выхода этой статьи в течение 2 рабочих дней, просто указывайте адрес выше по умолчанию.

Помимо LGS клуб также может передавать данные, например, о сотрудниках в сервис 1С-Битрикс. Поэтому аналогичную информацию необходимо будет указать и об ООО «1С-Битрикс» и ее ЦОДе. 

Шаг 5 — отправляем анкету. Если речь идет о бумажной форме, после заполнения заявки на сайте ее нужно будет отправить в соответствующий территориальный орган Роскомнадзора (по месту регистрации оператора).

Отправлять нужно в двух экземплярах, с подписью уполномоченного лица. Сделать это можно через почту России (как ценное письмо с описью вложения). Если уведомление передает курьер, то у него должна быть соответствующая доверенность. 

Еще пара важных моментов

— Не забудьте номер и ключ, которые РКН присваивает вашему уведомлению после отправки на сайте. Они могут понадобиться, чтобы внести изменения в сведения, которые содержатся в реестре ОПД. 

— Любые изменения в процессе обработки ПД необходимо фиксировать на сайте РКН, чтобы они соответствовали поданным документам.

— На случай проверки вашего заявления от РКН рекомендуем держать в доступе все необходимые документы. 

— Сведения вносятся в реестр в течение 30 дней с момента подачи уведомления. Свой клуб в реестре можно будет найти по номеру ИНН. 

А ТЕПЕРЬ — САМАЯ ВЕСЕЛАЯ ЧАСТЬ!

Помимо того, чтобы уведомить РКН о работе с персональными данными, оператор ПД должен — сюрприз-сюрприз — правильно с ними работать! Например, чтобы не допускать утечек и других неприятностей. 

А для этого у клуба должен быть регламентирован весь процесс сбора, хранения, обработки и уничтожения персональных данных. Для этого-то и нужна пара сотен страниц правильно заполненных документов, которые вам обязательно пригодятся на случай проверки. 

Здесь, увы, комментариев по каждому документу мы вам дать не сможем, иначе наш редактор переквалифицируется в юриста и уйдет от нас. А кто тогда будет писать все эти классные посты?

А вот сами документы и инструкции к ним с согласия коллег из LegalBox и мы вам, как и обещали, предоставляем. 

1. Локально-нормативные акты для соблюдения 152-ФЗ

2. Лист ознакомления сотрудников 

3. Политика обработки персональных данных

4. Согласие на обработку персональных данных

5. Согласие на обработку файлов cookie

6. Пользовательское соглашение

7. Согласие на получение новостной и рекламной рассылки

Отдельно выкладываем ответ на вопрос «А что с ними делать??»  

– Памятка по организации обработки ПДн

– Инструкция по размещению документов на сайте

В общем, дело это муторное, кропотливое и затратное по времени — в том случае если вы не готовы прибегать к помощи юриста. Но в тоже время — не запуск кораблей в космос. Вся сложность проистекает здесь из большого количества деталей и нюансов. Кроме того, некорректно поданные данные всегда можно исправить. 

Главное, не пускать дело на самотек и не паниковать. Поправки к закону вступили в действие 30 мая, но это не значит, что Роскомнадзор постучится к вам в дверь в первых числах июня. Как это часто бывает с новыми законами, у людей есть время адаптироваться. Вспомните «Честный знак», например, или маркировку рекламы, за нарушения по которым массовых кар ещё даже не было. Кроме того, власть всегда идет от большего к меньшему: вспомните утечки персональных данных, которыми «славятся» банки, операторы сотовой связи, сервисы доставок. Учитывая, что обороты каждого из них превышают в десятки раз весь рынок компьютерных клубов, присматривать за их нарушениями будут в первую очередь.

В тоже время, тянуть и раздумывать не стоит — закон суров, штрафы могут исчисляться миллионами рублей, а документов много. Поэтому чем раньше вы спокойно и собрано начнете все делать — тем лучше.