Уведомление в Роскомнадзор об обработке данных: кто подаёт

Уведомление в Роскомнадзор это форма, которой бизнес сообщает регулятору, что обрабатывает персональные данные людей. Проще говоря, бизнес заявляет государству: да, мы собираем и храним контакты и другую информацию о клиентах, и вот на каких условиях. Мы в Wilstream работаем с данными по 152-ФЗ 25 лет, поэтому разберём, когда заказчик, отдавший звонки на аутсорс, обязан подать эту форму и что в ней указывать про подрядчика.

Многие собственники уверены, что если звонками занимается сторонний контакт-центр, то и вся ответственность за данные ушла к нему. Это опасное заблуждение. Клиентские телефоны, имена и заявки это персональные данные заказчика, и именно он в большинстве случаев остаётся тем, кто обязан уведомить регулятора и отвечать за законность обработки. Аутсорс меняет, кто физически работает с данными, но не снимает ответственность с их владельца.

Разберём по порядку: что такое уведомление и зачем оно, кто обязан его подавать, меняет ли что-то передача звонков подрядчику, что писать про обработку через КЦ, когда подавать форму и чем грозит её отсутствие, как разделяются роли оператора и обработчика и как выстроить работу с контакт-центром, чтобы не нарушать закон.

Что такое уведомление об обработке данных

Уведомление об обработке персональных данных это документ, который компания направляет в Роскомнадзор, сообщая, что собирает и обрабатывает данные людей. В нём описывают, чьи данные обрабатываются, зачем, какими способами, где хранятся и кто к ним имеет доступ. По сути это способ регулятора видеть, кто в стране работает с данными граждан и на каких основаниях, чтобы при жалобе или проверке было понятно, с кого спрашивать.

Для бизнеса с звонками это касается практически любой клиентской базы: телефон, имя, история обращений это уже персональные данные. Как только компания собирает заявки, ведёт CRM, обзванивает клиентов, она обрабатывает данные и попадает под требования 152-ФЗ. Уведомление это не формальность для галочки, а входной билет в легальную работу с базой, и его отсутствие само по себе становится нарушением, даже если с данными обращаются аккуратно.

Кто обязан подавать уведомление

Обязанность подать уведомление лежит на том, кто определяет, зачем и как обрабатываются данные, то есть на операторе персональных данных. В большинстве случаев это сам бизнес: интернет-магазин, клиника, застройщик, банк, любая компания, которая собирает клиентскую базу и решает, что с ней делать. Именно она задаёт цели обработки, поэтому именно она и отчитывается перед регулятором, независимо от того, кто физически звонит клиентам.

Раньше существовали исключения, позволявшие многим не подавать форму, но требования ужесточили, и круг обязанных уведомлять заметно расширился. Сегодня по умолчанию стоит исходить из того, что уведомление подавать нужно, а не искать, как бы под исключение попасть. Если ваш бизнес собирает контакты клиентов и как-то с ними работает, вероятность, что уведомление обязательно, очень высока, и проверять это лучше заранее, а не после запроса регулятора.

• Уведомляет оператор данных, тот, кто задаёт цели обработки.
• Обычно это сам бизнес, а не его подрядчик.
• Исключений стало меньше, круг обязанных расширился.
• По умолчанию стоит считать, что форму подавать нужно.

Меняет ли что-то передача звонков на аутсорс

Передача звонков в контакт-центр не превращает подрядчика в того, кто отвечает за данные перед государством. Заказчик остаётся оператором персональных данных: он собрал базу, он решает, кому и зачем звонить. Контакт-центр в этой схеме действует по его поручению, обрабатывая данные в интересах и по инструкции заказчика. То есть аутсорс меняет исполнителя, но не переносит обязанность уведомлять регулятора с заказчика на подрядчика.

Из этого следует важный вывод: нельзя отдать звонки на сторону и считать вопрос с данными закрытым. Наоборот, появляется новая задача, правильно оформить передачу данных подрядчику, чтобы она была законной. По данным Wilstream, добросовестные заказчики как раз и приходят с вопросом, как всё оформить верно, а не как переложить ответственность, потому что понимают: при проверке спросят с них, а не с контакт-центра, которому они доверили обзвон.

Что писать в уведомлении про обработку через КЦ

Если часть работы с данными выполняет подрядчик, это должно быть отражено. В уведомлении и сопутствующих документах фиксируют, что обработка может осуществляться привлечённым лицом по поручению оператора, и на каких условиях. Важно, чтобы описанные цели, состав данных и способы обработки соответствовали тому, что реально происходит, включая передачу контактов в контакт-центр для обзвона или приёма звонков.

Отдельно оформляется поручение на обработку между заказчиком и КЦ: документ, где закреплено, какие данные передаются, для чего, как защищаются и что подрядчик делает только то, что поручено. Это не тот же документ, что уведомление регулятору, но связанный с ним: уведомление описывает картину для государства, а поручение регулирует отношения с исполнителем. Одно без другого оставляет дыру, через которую при проверке и возникают претензии к заказчику.

Когда подавать форму и чем грозит её отсутствие

По логике закона уведомление подаётся до начала обработки данных, то есть до того, как компания реально начала собирать и использовать базу. На практике многие спохватываются позже, и тогда правильный шаг подать форму как можно скорее, не откладывая до первого запроса регулятора. Тянуть невыгодно: чем дольше обработка идёт без уведомления, тем очевиднее нарушение, если им заинтересуются.

Отсутствие уведомления и другие нарушения в работе с данными грозят штрафами, и ответственность за них в последние годы заметно усилилась. Но дело не только в санкциях: жалоба клиента, что ему звонили без оснований или что его данные утекли, при отсутствии оформленной обработки бьёт по репутации и превращается в разбирательство. Поэтому уведомление и корректно оформленная работа с подрядчиком это не бюрократия ради бумаги, а защита бизнеса от вполне реальных рисков.

Как разделяются роли оператора и обработчика

Ключ к правильной схеме это понимание двух ролей. Оператор персональных данных это тот, кто определяет цели и средства обработки, обычно заказчик. Обработчик, или лицо, действующее по поручению, это тот, кто выполняет операции с данными по указанию оператора, в нашем случае контакт-центр. Заказчик отвечает перед государством и клиентом, подрядчик отвечает перед заказчиком за то, что делает ровно то, что поручено, и защищает данные.

Эта развилка снимает главную путаницу. Заказчик не может спрятаться за подрядчика, потому что цели обработки задаёт он. Но и подрядчик не бесправный: он обязан соблюдать защиту данных и не выходить за рамки поручения, иначе сам становится нарушителем. Понимание, кто есть кто, определяет, какие документы нужны, кто подаёт уведомление и как строится договор. Без этой ясности компании либо перекладывают ответственность в никуда, либо дублируют её, не закрывая реальную дыру.

• Оператор данных задаёт цели, отвечает перед государством и клиентом.
• Обработчик действует по поручению и защищает данные.
• Заказчик обычно оператор, контакт-центр обычно обработчик.
• От ролей зависят и уведомление, и содержание договора.

Как выстроить работу с КЦ, чтобы не нарушать

Правильная схема складывается из нескольких вещей. Заказчик как оператор подаёт уведомление в Роскомнадзор и получает от клиентов законные согласия на обработку и звонки. С контакт-центром заключается поручение на обработку, где закреплены состав данных, цели, меры защиты и границы действий подрядчика. И заказчик выбирает КЦ, который умеет работать с данными по закону, а не относится к этому спустя рукава, ведь его небрежность станет проблемой заказчика.

Именно поэтому при выборе контакт-центра стоит смотреть не только на цену звонка, но и на то, как подрядчик обращается с данными и готов ли корректно всё оформить. Мы в Wilstream работаем с персональными данными по 152-ФЗ и помогаем заказчику выстроить передачу данных законно, а не оставлять её на авось. Рассчитайте стоимость под ваши задачи, и мы разберём, как оформить обработку правильно с самого старта.

Главное

Передача звонков на аутсорс не снимает с бизнеса обязанность отвечать за персональные данные: заказчик остаётся оператором данных, а контакт-центр действует по его поручению. Поэтому уведомление в Роскомнадзор в большинстве случаев подаёт именно заказчик, а работа с подрядчиком оформляется поручением на обработку. Круг обязанных уведомлять расширился, а штрафы усилились, так что оформлять всё стоит заранее, а не после запроса регулятора.

Отдаёте звонки на аутсорс и хотите, чтобы работа с данными была законной. Рассчитайте с Wilstream, как оформить передачу данных подрядчику правильно, и мы разберём вашу схему обработки и запустим пилот за 3 дня.

Частые вопросы

Кто подаёт уведомление, если звонками занимается аутсорс-КЦ?

В большинстве случаев заказчик, потому что именно он оператор персональных данных: он собрал базу и определяет, зачем и как её обрабатывать. Контакт-центр действует по его поручению, поэтому передача звонков на аутсорс меняет исполнителя, но не переносит обязанность уведомлять регулятора с заказчика на подрядчика.

Правда ли, что при аутсорсе ответственность за данные уходит подрядчику?

Нет, это опасное заблуждение. Клиентские телефоны, имена и заявки это данные заказчика, и он остаётся оператором персональных данных, отвечающим перед регулятором и клиентом. Подрядчик отвечает перед заказчиком за то, что делает только поручённое и защищает данные. При проверке спросят в первую очередь с владельца базы, а не с контакт-центра.

Что нужно оформить при передаче данных в контакт-центр?

Как минимум два связанных элемента: уведомление в Роскомнадзор от заказчика как оператора и поручение на обработку между заказчиком и КЦ. В поручении закрепляют, какие данные передаются, для чего, как защищаются и что подрядчик делает только поручённое. Уведомление описывает картину для государства, поручение регулирует отношения с исполнителем, и нужны оба.

Когда нужно подать уведомление и что грозит за его отсутствие?

По логике закона до начала обработки данных, но если момент упущен, правильно подать форму как можно скорее, а не ждать запроса регулятора. Отсутствие уведомления само по себе нарушение, а ответственность за нарушения в работе с данными в последние годы усилилась. Плюс жалоба клиента при неоформленной обработке бьёт по репутации и ведёт к разбирательству.

Как выбрать контакт-центр, чтобы не нарушить закон о данных?

Смотреть не только на цену звонка, но и на то, как подрядчик обращается с персональными данными и готов ли корректно оформить поручение на обработку, ведь его небрежность станет проблемой заказчика. Wilstream работает с данными по 152-ФЗ и помогает выстроить передачу данных законно, поэтому схему обработки можно разобрать заранее и оформить правильно с самого старта.