Нужно ли уведомлять Роскомнадзор об обработке персональных данных

Ведя учеников в CRM, вы обрабатываете персональные данные: фамилии, даты рождения, телефоны. Закон называет такое лицо оператором и требует до начала обработки сообщить о ней в Роскомнадзор. Уведомление подаёт ваша организация - за неё этого не делает ни сервис, ни кто-либо ещё.

Статья описывает порядок в общих чертах. За проверкой конкретно вашего случая идите к юристу.

Почему сервис не подаёт уведомление за вас

Оператор - тот, кто решает, чьи данные собирать и зачем. Кого записать в группу, какие сведения внести в карточку, когда удалить ученика, решаете вы, поэтому оператор - организация.

Сервис обрабатывает эти сведения по вашему поручению и в собственных целях не использует. Наше собственное уведомление покрывает только работу с теми, кто регистрируется в сервисе, - данные учеников в него не входят.

Кто может не подавать

Освобождений осталось три, и ни одно не про учебную студию: сведения в государственных системах безопасности, обработка вообще без компьютеров и обработка по законодательству о транспортной безопасности.

Работа в CRM - обработка с помощью компьютера, значит уведомление нужно. Оно нужно и той организации, у которой пока нет ни одного ученика, но есть хотя бы один сотрудник: данные работников тоже относятся к персональным.

Предусловия

Реквизиты организации: наименование полностью, ИНН, ОГРН или ОГРНИП, адрес.
Сведения о том, кто отвечает за организацию обработки персональных данных: обычно руководитель, его должность и контакты.
Подтверждённая учётная запись на Госуслугах.

Как подать

Откройте портал персональных данных Роскомнадзора - pd.rkn.gov.ru - и найдите форму уведомления об обработке персональных данных.
Заполните реквизиты организации и сведения об ответственном за обработку.
Опишите цель обработки. Общей формулировки вроде «оказание услуг» недостаточно: после неё нужно перечисление - организация и проведение занятий, формирование групп и расписания, учёт посещаемости, учёт абонементов и оплат, связь с учениками и их законными представителями.
Отметьте категории субъектов: учащиеся, их законные представители, работники.
Укажите правовые основания: согласие субъекта, а также договор об оказании услуг и обязанности, возложенные законодательством.
Перечислите обрабатываемые сведения и действия с ними. Что именно сервис хранит о ваших учениках, перечислено в разделах 6 и 7 вашей политики конфиденциальности - оттуда удобно переносить.
В разделе о поручении обработки назовите лицо, которому вы поручили обработку, - реквизиты ниже.
Подпишите уведомление электронной подписью и отправьте.

Отправленное уведомление проверяют, после чего организация появляется в реестре операторов. Отказ приходит с указанием, что исправить.

Что писать про поручение обработки

Обработку по вашему поручению ведёт:

Наименование: ИП Горобец Андрей Викторович
ИНН: 602718120826
ОГРНИП: 320602700015631
Почта для обращений: support@positiv-crm.ru

Основание поручения - пользовательское соглашение сервиса, раздел 6. Он же отвечает на вопросы формы о составе поручения: там перечислены цель, обрабатываемые сведения, действия с ними и обязанность обеспечивать безопасность.

Ещё два ответа, которые спрашивают в форме: сведения хранятся на серверах на территории России, трансграничная передача не ведётся.

Если сведения изменились

Сменились адрес, ответственный за обработку или цели - об изменениях сообщают отдельным уведомлением, до 15-го числа месяца, следующего за месяцем, когда они произошли. Тем же порядком сообщают о прекращении обработки, если организация закрывается.