Приказ Роскомнадзора № 180: Приказ Роскомнадзора от 28.10.2022 № 180 «Об утверждении форм уведомления об обработке (о намерении…
Утверждает формы уведомлений об обработке персональных данных, которые оператор — гостиница — направляет в Роскомнадзор при начале, изменении или прекращении обработки.
Действует с 2022-10-28
Что требует
- Устанавливает три формы: уведомление о начале (намерении осуществлять) обработки персональных данных, уведомление об изменении сведений, уведомление о прекращении обработки.
- В уведомлении о начале обработки оператор обязан указать: наименование и адрес оператора, цель обработки, категории обрабатываемых данных и субъектов, правовое основание обработки, перечень действий с данными, сведения о трансграничной передаче (если она есть), сведения о месте нахождения базы данных, меры по обеспечению безопасности.
- Уведомление подаётся до начала обработки персональных данных с использованием средств автоматизации, за исключением случаев, прямо освобождённых законом № 152-ФЗ — например, обработка исключительно в рамках трудовых отношений или для заключения и исполнения договора с субъектом данных без передачи третьим лицам.
- Документ можно подать почтой, в электронном виде с усиленной квалифицированной электронной подписью или через личный кабинет на Госуслугах либо сайте Роскомнадзора.
- Роскомнадзор вносит сведения в реестр операторов, обрабатывающих персональные данные, в течение 30 дней с момента получения уведомления.
- При изменении сведений — например, смена адреса, добавление новой цели обработки, скажем, запуск программы лояльности — отель обязан подать уведомление об изменении по установленной форме.
Кого касается
Гостиниц, обрабатывающих персональные данные гостей с использованием автоматизации (PMS, CRM, онлайн-бронирование, программы лояльности) и не подпадающих под исключения статьи 22 закона № 152-ФЗ.
Что проверяют
Роскомнадзор сверяет фактическую деятельность отеля по обработке персональных данных (сайт, PMS, программы лояльности, рассылки) с данными, указанными в уведомлении и реестре операторов, проверяет актуальность и полноту сведений.
Ответственность
Часть 10 статьи 13.11 КоАП РФ — за невыполнение обязанности по уведомлению Роскомнадзора о начале обработки: штраф для юридических лиц от 100 000 до 300 000 рублей.
Частые ошибки
- Отель вообще не подавал уведомление, ошибочно полагая, что раз обработка нужна «только для заселения по договору», уведомление не требуется — хотя фактически данные используются шире (маркетинг, партнёрские программы).
- В реестре операторов указаны устаревшие сведения — не отражено внедрение новой CRM, программы лояльности или онлайн-кассы, работающей с данными гостей.
- Уведомление подано, но не указано или указано неверно место расположения базы данных.
- Ответственность за подачу и актуализацию уведомления ни на кого не возложена внутри отеля, из-за чего изменения годами не отражаются в реестре.
Частые вопросы
Когда вступил в силу Приказ Роскомнадзора № 180?
Приказ Роскомнадзора № 180 вступил в силу 28 октября 2022 года. Он утверждает формы уведомлений об обработке персональных данных, которые оператор гостиница направляет в Роскомнадзор при начале, изменении или прекращении обработки.
Какие три формы уведомлений предусмотрены Приказом Роскомнадзора № 180?
Приказ Роскомнадзора № 180 устанавливает три формы: уведомление о начале обработки персональных данных, уведомление об изменении сведений и уведомление о прекращении обработки. Каждая форма имеет установленный состав полей для заполнения.
За какой срок Роскомнадзор вносит сведения в реестр по Приказу Роскомнадзора № 180?
Согласно Приказу Роскомнадзора № 180 сведения вносятся в реестр операторов, обрабатывающих персональные данные, в течение 30 дней с момента получения уведомления. Само уведомление подаётся до начала обработки с использованием средств автоматизации, кроме случаев, прямо освобождённых законом № 152-ФЗ. Подать его можно почтой, электронно с усиленной квалифицированной подписью либо через личный кабинет на Госуслугах или сайте ведомства.
Какие сведения должны быть в уведомлении по Приказу Роскомнадзора № 180?
Согласно Приказу Роскомнадзора № 180 в уведомлении о начале обработки оператор обязан указать наименование и адрес, цель обработки, категории данных, правовое основание, перечень действий с данными, сведения о месте базы данных и меры по обеспечению безопасности. При изменении сведений отель обязан подать уведомление об изменении.