Как уведомить Роскомнадзор о начале обработки персональных данных?

Уведомление подаётся через личный кабинет на сайте Роскомнадзора pdd.rkn.gov.ru: заполняете форму с данными об операторе, целях обработки, категориях субъектов и сроках хранения, затем подписываете электронной подписью или отправляете бумажную версию почтой. По статье 22 закона №152-ФЗ "О персональных данных" сделать это нужно до начала обработки, а не задним числом.

Закон освобождает от уведомления в нескольких случаях, перечисленных в части 2 той же статьи 22 - например, когда данные обрабатываются только для заключения и исполнения договора с самим субъектом и никуда дальше не передаются. Но для сайта с открытой формой заказа, где заявку может оставить кто угодно, обычно проще подать уведомление, чем доказывать потом, что вы попадаете под исключение.

В форме нужно описать: кто оператор - ИП или юрлицо, с реквизитами; с какой целью собираете данные, например обработка и доставка заказов; какие именно данные обрабатываете - имя, телефон, email; сколько их хранить и передаются ли они третьим лицам вроде службы доставки или платёжного агрегатора. Обработка заявки Роскомнадзором обычно занимает несколько рабочих дней, после чего компания попадает в реестр операторов персональных данных.

Работа без уведомления, когда оно требовалось, - формальное нарушение, за которое предусмотрен штраф по статье 13.11 КоАП: для юрлиц от 30 000 рублей. Заполнить форму самому вполне реально за час, но если сайт собирает не только контакты, а, скажем, данные о здоровье или передаёт их за границу, тут лучше свериться с юристом - там уже другие правила.