Реестр операций по обработке (ст. 30): кто обязан его вести, что в нём должно быть и как он выглядит заполненным

Что такое реестр и почему его просят первым

Реестр операций по обработке — это внутренний документ, в котором оператор пишет, какие персональные данные он обрабатывает, зачем, чьи они, кому уходят и сколько хранятся. Никуда его сдавать не нужно. Ст. 30 ч. (4) говорит, что реестр предоставляется Центру по его запросу — то есть вы держите его у себя и показываете, когда CNPDCP его попросит.

Именно поэтому надзорный орган просит его первым. Не потому, что он юридически важнее остальных документов, а потому, что это единственная бумага, которая на одной странице показывает всё, что организация делает с персональными данными. Из реестра сразу видно, есть ли у вас осознанные правовые основания, есть ли незадокументированные поставщики, храните ли вы данные без срока и описывает ли опубликованная на сайте политика конфиденциальности реальность. Оператор без реестра физически не может связно ответить на следующие вопросы проверки — у него нет описи собственных обработок.

Вторая польза менее очевидна и более ценна: реестр показывает вам самим, что вы забыли. Почти любая фирма, заполняя его впервые, находит две-три обработки, которых никогда не было в политике конфиденциальности: камеры на входе, резюме, приходящие на почту, список контактов для рассылки.

Порог в 250 сотрудников: тест применимости

Ст. 30 ч. (5) выглядит как щедрая поблажка для малого бизнеса. Обязанность не применяется к предприятию или организации, где менее 250 сотрудников, — за исключением трёх ситуаций. Ключевое слово здесь «исключение», потому что вторая дверь открывается практически для всех.

Интересна именно последняя строка, потому что на практике она почти пустая. Руководство CNPDCP говорит об этом прямо, без смягчений:

Учитывая, что обычно операции по обработке, осуществляемые внутри компании, не носят случайного характера, следует, что в большинстве случаев операторы обязаны создать и вести внутренний учёт операций по обработке, который должен периодически обновляться и пересматриваться.

Перевод на язык владельца бизнеса: «случайный» — это не «мало», это «нерегулярный, неповторяющийся, разовый». Интернет-магазин, который принимает заказы каждый день, обрабатывает данные не случайно, даже если у него три сотрудника и пять заказов в сутки: обработка встроена в саму модель бизнеса. Точно так же фирма с наёмными работниками ведёт их учёт ежемесячно — это не случайность. А кабинет, который заполняет карты пациентов, попадает ещё и в третью дверь, где количество сотрудников вообще перестаёт иметь значение.

Три исключения связаны союзом или, а не и. Достаточно попасть в одно. Поэтому полезный вопрос звучит не «у меня меньше 250 сотрудников?», а «есть ли обработка, которую я делаю регулярно?». Если ответ «да» — а он «да» у любой фирмы, у которой есть клиенты, сотрудники или форма на сайте, — реестр вы ведёте.

Два разных реестра, в зависимости от вашей роли

Закон описывает два разных перечня с разным содержанием. Какой из них ведёте вы, зависит от роли в конкретной обработке, и одна и та же фирма может иметь обе роли — по разным обработкам.

Реестр оператора, ст. 30 ч. (1), включает семь элементов:

• a) имя и контактные данные оператора и, при необходимости, совместного оператора, представителя и ответственного за защиту данных;
• b) цели обработки;
• c) описание категорий субъектов персональных данных и категорий данных;
• d) категории получателей, которым данные были или будут раскрыты, включая получателей в других государствах или в международных организациях;
• e) при необходимости — передачи в другое государство или международную организацию с указанием государства либо организации, а для передач по ст. 49 ч. (2) — документация, подтверждающая надлежащие гарантии;
• f) если возможно — предполагаемые сроки удаления категорий данных;
• g) если возможно — общее описание технических и организационных мер безопасности по ст. 32 ч. (1).

Реестр уполномоченного лица (в терминологии GDPR — processor), ст. 30 ч. (2), включает четыре элемента:

• a) имя и контактные данные уполномоченных лиц и каждого оператора, от имени которого они действуют, а также представителей;
• b) категории операций по обработке, осуществляемых от имени каждого оператора;
• c) при необходимости — передачи, с документацией по ст. 49 ч. (2);
• d) если возможно — общее описание мер безопасности.

Практическая разница проста. Хостинг-провайдер, агентство, которое администрирует CRM клиента, бухгалтерия на аутсорсе или колл-центр не определяют цели сами — они исполняют чужие. Они ведут второй тип реестра, по каждому клиенту, от имени которого действуют. Им не нужно расписывать цели каждой кампании клиента; им нужно записать, какие категории работ они делают для каждого и с какими мерами безопасности.

Один важный нюанс: роль не выбирают, её устанавливают по фактам. Ст. 28 ч. (9) предусматривает, что уполномоченное лицо, которое само определяет цели и средства обработки, становится оператором для этой обработки. Агентство, которое собрало собственную базу контактов и использует её для своих кампаний, уже не уполномоченное лицо — оно оператор, с реестром по ч. (1). Подробнее о том, на каком правовом основании держится каждая цель, — в статье о шести правовых основаниях.

Где реестр связан с остальным законом

Реестр — не изолированная анкета. Это узел, в котором сходятся три отдельные обязанности.

Передачи в порядке последней инстанции. Ст. 49 ч. (7) прямо требует, чтобы оператор фиксировал в реестре по ст. 30 проведённую оценку и гарантии по передаче из ст. 49 ч. (2) — неповторяющейся передаче ограниченного числа субъектов данных на основании веских законных интересов. Если такая трансграничная передача есть, а в реестре её нет, обязанность не выполнена, как бы хорошо она ни была задокументирована в другом месте. Полный контекст — в статье о передаче данных за пределы Молдовы.

Определение размера санкции. Ст. 87 ч. (2) п. d) обязывает орган учитывать степень ответственности с учётом технических и организационных мер, внедрённых на основании ст. 25 и 32. Реестр — прямое доказательство по этому критерию: пункты f) и g) части (1) описывают ровно сроки хранения и меры безопасности. Датированный и регулярно пересматриваемый реестр показывает проверяемую подотчётность; его отсутствие показывает обратное.

Отсутствие реестра само по себе наказуемо. Ст. 88 ч. (1) п. a) охватывает обязанности оператора и уполномоченного лица по ст. 8, 11, ст. 25–39, 42 и 43. Ст. 30 попадает в этот интервал. Применимый уровень — до 1 000 000 леев (MDL) или, в случае предприятия, до 1% от общего оборота за год, предшествующий назначению санкции, при этом берётся наибольшая величина. Это нижний из двух уровней; верхний, 2 000 000 леев или 2%, зарезервирован за принципами обработки и правами субъектов персональных данных. Разбор обоих уровней — в статье о штрафах.

Стоит помнить и ст. 87 ч. (3): штрафы применяются только если установлено, что оператор совершил нарушение умышленно или по неосторожности. Неполный, но существующий и пересматриваемый реестр выглядит иначе, чем полное отсутствие какого-либо учёта.

Шаблон реестра, готовый к заполнению

Это та часть, которую можно скопировать. Таблица ниже построена по строкам, а не по столбцам, чтобы её было видно с телефона и можно было перенести прямо в таблицу Excel или Google Sheets. Каждая строка соответствует одному пункту ст. 30 ч. (1) плюс строка обслуживания — её закон прямо не требует, но без неё вы не докажете, что учёт «периодически обновляется и пересматривается», как требует руководство.

Заполненный пример — реальная операция молдавского интернет-магазина: «Онлайн-продажа и доставка».

Копируйте таблицу по одному разу на каждую операцию по обработке. Строка нужна не на каждого клиента и не на каждого поставщика — строка нужна на каждую цель.

Восемь операций, о которых чаще всего забывают

При первом заполнении почти все вписывают «продажу» и на этом останавливаются. Ниже то, чего обычно не хватает в реестре небольшой молдавской фирмы:

1. Подбор персонала и резюме — включая незапрошенные, пришедшие на общую почту; нужны отдельная цель, основание и срок хранения.
2. Кадровый учёт — договоры, личные дела, отпуска, медицинские данные о пригодности (внимание: это могут быть специальные категории данных, ст. 9 ч. (1)).
3. Видеонаблюдение — камеры на входе, на складе, в торговом зале. Руководство CNPDCP приводит его как типичный пример законного интереса.
4. Рассылка и база подписчиков — цель отдельная от продажи, основание отдельное, плюс учёт отзыва согласия.
5. Форма обратной связи на сайте — собирает имя, e-mail и свободный текст, в котором люди часто пишут больше, чем следовало бы.
6. Записанные телефонные разговоры — если вы пишете звонки, это самостоятельная обработка со своим информированием и своим сроком.
7. Программа лояльности — карта, баллы, история покупок; это профилирование в самом простом виде.
8. Список поставщиков и подрядчиков — физических лиц — обладатели патента, исполнители по гражданским договорам. Это персональные данные, а не данные компании.

Если вы нашли здесь три пункта, которых у вас не было, реестр уже окупил время на заполнение.

Кто его держит и как часто пересматривает

У реестра должен быть владелец с именем, а не «отдел». В малых фирмах это администратор или человек, который занимается договорами; там, где назначен ответственный за защиту данных по ст. 37, его ведёт он. Подпись ст. 30 не требует — закон требует лишь, чтобы учёт вёлся в письменной форме, в том числе в электронном виде, согласно ч. (3). Таблица Excel с историей изменений полностью годится и на практике защищается легче, чем распечатанный документ без даты.

Частоту пересмотра закон не фиксирует. Руководство CNPDCP требует, чтобы учёт «периодически обновлялся и пересматривался», не называя интервал, — значит, выберите его сами и придерживайтесь. Раз в полгода — защитимый ритм для небольшого бизнеса, раз в квартал — для того, кто часто меняет поставщиков.

Между плановыми пересмотрами обновление запускается событием. Конкретно:

• новый поставщик, который касается данных: другой курьер, другой платёжный провайдер, другой почтовый сервис, другая CRM;
• новая форма на сайте или новое поле в существующей форме;
• новый маркетинговый скрипт или пиксель ремаркетинга, добавленный на страницу;
• новая цель: запуск рассылки, программы лояльности, записи звонков;
• изменение срока хранения или чистка базы данных;
• назначение или смена ответственного за защиту данных.

Практическое правило: если кто-то в фирме подписал новый договор или вставил новый код на сайт, реестру нужен взгляд.

И последнее, прямым текстом: реестр — это документ, который автоматическая проверка увидеть не может. Методика, которую используем мы, описана в разделе как работает сканирование — она наблюдает публичную поверхность сайта, а не внутреннюю кухню организации. Реестр, договоры с уполномоченными лицами и внутренние решения о правовом основании доказываются документами, а не техническим отчётом.

Источники

• CNPDCP — datepersonale.md, надзорный орган Республики Молдова, которому реестр предъявляется по запросу.
• Официальное руководство CNPDCP по Закону 195/2024, PDF — источник цитаты о том, что обработки внутри компании не носят случайного характера.
• Полный текст Закона 195/2024 на legis.md — ст. 30 с пятью частями, ст. 49 ч. (7), ст. 87 и ст. 88.
• CNIL — le registre des activités de traitement, практический образец заполнения от французского органа; обязательной силы в Республике Молдова не имеет, используется как ориентир практики.
• EDPB — руководство по понятиям оператора и уполномоченного лица, для разграничения двух ролей; европейский документ, обязательной силы у нас не имеет.
• Регламент ЕС 2016/679 на EUR-Lex, европейский текст, с которым Закон 195/2024 согласован.

Часто задаваемые вопросы

Мне вообще нужен этот реестр, если у меня 4 сотрудника? Да, почти во всех случаях. Ст. 30 ч. (5) освобождает предприятия, где менее 250 сотрудников, но освобождение отпадает, если обработка не носит случайного характера, если она создаёт риск для прав людей или если включает специальные категории данных либо данные о судимости. Руководство CNPDCP прямо говорит, что операции по обработке внутри компании обычно не являются случайными, поэтому обязанность есть у большинства операторов.

Этот реестр надо куда-то сдавать или регистрировать в CNPDCP? Нет. Ст. 30 ч. (4) предусматривает, что реестр предоставляется Центру по его запросу. Он ведётся внутри и показывается, когда его просят; сдавать его по своей инициативе не нужно.

В каком виде его вести — обязательно на бумаге или можно в Excel? В письменной форме, в том числе в электронном виде — это формулировка ст. 30 ч. (3). Таблица Excel или текстовый документ полностью годятся. Закон не предписывает какую-то определённую форму — значение имеет содержание из ч. (1) или ч. (2), в зависимости от вашей роли.

Кто его подписывает? Ст. 30 подписи не требует. Она требует, чтобы учёт существовал в письменном виде и предоставлялся по запросу. На практике полезно, чтобы у документа был именной владелец и дата последнего пересмотра, — именно это делает его проверяемым.

Что вообще значит, что обработка «не носит случайный характер»? Это значит, что она повторяется и встроена в обычную работу организации, а не то, что она объёмная. Ежедневные заказы в интернет-магазине, ежемесячный кадровый учёт или запись посетителей на камеры — это неслучайные обработки, даже если в фирме несколько человек.

Сколько строк должно быть в реестре обычного интернет-магазина? Обычно от пяти до десяти отдельных целей: продажа и доставка, выставление счетов и бухгалтерский учёт, личный кабинет, рассылка, форма обратной связи, телефонная поддержка, подбор персонала, кадровый учёт, видеонаблюдение. Одна строка на цель, а не на клиента и не на поставщика.

Мой сайт ведёт агентство. Они и реестр за меня ведут? Нет. Агентство ведёт собственный реестр типа ст. 30 ч. (2) по тем работам, которые выполняет от вашего имени. Реестр оператора с семью пунктами ст. 30 ч. (1) остаётся вашей обязанностью, потому что цели обработки определяете вы.

Что писать в сроках удаления, если я их не знаю? Ст. 30 ч. (1) п. f) требует предполагаемые сроки «если возможно», поэтому точная цифра не обязательна там, где её нельзя установить. Вместо цифры напишите критерий — например, срок договорных отношений плюс законный срок хранения бухгалтерских документов — и вернитесь к конкретному сроку, когда сможете его зафиксировать.

Что будет на проверке, если реестра у меня нет? Отсутствие учёта попадает под ст. 88 ч. (1) п. a), которая охватывает обязанности оператора и уполномоченного лица из ст. 25–39, где находится и ст. 30. Уровень — до 1 000 000 леев (MDL) или, в случае предприятия, до 1% от общего оборота за год, предшествующий назначению санкции, при этом берётся наибольшая величина. Ст. 87 ч. (3) предусматривает, что штраф применяется только если установлено умышленное нарушение или нарушение по неосторожности.

Как часто его обновлять? Руководство CNPDCP требует, чтобы учёт периодически обновлялся и пересматривался, не называя интервала. Выберите ритм и держитесь его — раз в полгода для стабильного бизнеса — и обновляйте сразу при каждом событии, которое меняет реальность: новый поставщик, новая форма, новый маркетинговый скрипт, новая цель.

Реестр — это то же самое, что политика конфиденциальности? Нет. Политика — публичный документ, адресованный субъектам персональных данных, а реестр — внутренний документ, адресованный надзорному органу. Их содержание частично пересекается, но в реестре есть то, что не публикуется, например описание мер безопасности. Если два документа противоречат друг другу, противоречие видно на проверке сразу.

Надо ли вписывать поставщиков, с которыми у меня нет подписанного договора? Да, если они реально касаются данных. Реестр описывает то, что есть, а не то, как хотелось бы. Поставщик, который появляется в пункте d) без подписанного договора по ст. 28, — ровно тот пробел, который реестр вытаскивает на поверхность, и в этом его главная польза ещё до всякой проверки.

Проверьте то, что видно снаружи

Реестр сканированием не проверяется: он живёт внутри организации и доказывается документами. Детерминированное сканирование наблюдает только публичную поверхность сайта — cookie, запускающиеся до согласия, поведение баннера cookie, наличие обнаружимой политики, идентификацию оператора, сторонние ресурсы, подгружаемые с других доменов. Оно не устанавливает факт нарушения закона и не сертифицирует соответствие.

Зато оно даёт список реальных сторонних сервисов и форм на сайте — то есть ровно то сырьё, из которого заполняются пункты c) и d) реестра.

Проверить сайт бесплатно →