Проверка Роскомнадзора: как подготовиться
Проверка Роскомнадзора в области персональных данных может коснуться любой компании - от крупного банка до небольшого интернет-магазина. В последние годы количество проверок и размеры штрафов значительно выросли. В этой статье разберём, как проходят проверки, что именно смотрят инспекторы и как подготовиться, чтобы пройти проверку без штрафов.
Виды проверок Роскомнадзора
Роскомнадзор проводит несколько типов проверок в отношении операторов персональных данных:
Плановые проверки
- Проводятся по заранее утверждённому плану (публикуется на сайте РКН в конце года на следующий год)
- Периодичность - не чаще одного раза в три года для каждого оператора
- Уведомление о проверке направляется не менее чем за 3 рабочих дня
- Вы можете проверить, включена ли ваша организация в план, на сайте Роскомнадзора или на портале proverki.gov.ru
Внеплановые проверки
Проводятся при наличии оснований:
- Жалобы граждан на нарушение их прав
- Истечение срока исполнения ранее выданного предписания
- Поручение Президента, Правительства или требование прокуратуры
- Обнаружение утечки персональных данных
Уведомление о внеплановой проверке направляется не менее чем за 24 часа.
Систематическое наблюдение (мониторинг)
Роскомнадзор также проводит мониторинг сайтов без непосредственного взаимодействия с оператором. Инспекторы проверяют:
- Наличие политики конфиденциальности на сайте
- Наличие согласий на обработку ПД на формах
- Соответствие политики требованиям закона
- Корректность баннера cookies
По результатам мониторинга могут направить предписание или инициировать внеплановую проверку.
Что проверяет Роскомнадзор
Инспекторы оценивают соответствие вашей деятельности требованиям 152-ФЗ по нескольким направлениям:
| Направление проверки | Что смотрят |
|---|---|
| Документация | Наличие и содержание политики ПД, приказов, согласий |
| Уведомление в реестре | Наличие в реестре операторов, актуальность данных |
| Согласия субъектов | Правильность получения и хранения согласий |
| Техническая защита | Меры по обеспечению безопасности ПД |
| Локализация данных | Хранение баз данных на территории РФ |
| Обработка по поручению | Договоры с контрагентами, обрабатывающими ПД |
| Соответствие целям | Обработка ПД только для заявленных целей |
| Права субъектов | Механизмы реализации прав граждан на доступ, удаление, уточнение данных |
Какие документы должны быть готовы
Подготовьте полный комплект документов до начала проверки:
Обязательные документы
-
Политика в отношении обработки персональных данных. Должна быть опубликована на сайте и существовать в утверждённой редакции с подписью руководителя.
-
Приказ о назначении ответственного за обработку ПД. Указывается конкретное лицо с его должностью и полномочиями.
-
Перечень персональных данных. Документ с указанием всех категорий обрабатываемых данных и целей обработки.
-
Формы согласий на обработку ПД. Для каждого вида обработки - своя форма согласия. Согласия должны быть конкретными, информированными и сознательными.
-
Модель угроз безопасности ПД. Документ, описывающий потенциальные угрозы и принятые меры защиты.
-
Акт оценки вреда субъектам ПД. Оценка возможных последствий нарушения безопасности данных.
Дополнительные документы
- Журнал учёта обращений субъектов ПД
- Договоры с контрагентами, обрабатывающими ПД по вашему поручению
- Инструкции для сотрудников по работе с ПД
- Акты уничтожения персональных данных
- Документы о проведении внутренних проверок
Пошаговая подготовка к проверке
Шаг 1. Проведите внутренний аудит
Проверьте себя до того, как это сделает Роскомнадзор:
- Все ли формы на сайте имеют чекбокс согласия?
- Актуальна ли политика конфиденциальности?
- Совпадают ли данные в реестре РКН с текущей деятельностью?
- Есть ли договоры со всеми обработчиками данных?
- Хранятся ли данные на серверах в РФ?
Шаг 2. Приведите документы в порядок
- Обновите политику конфиденциальности, если она устарела
- Подготовьте недостающие приказы и инструкции
- Проверьте все формы согласий на корректность
- Убедитесь, что все документы подписаны и датированы
Шаг 3. Проверьте техническую сторону
- SSL-сертификат установлен и работает
- Доступ к базам данных ограничен
- Пароли достаточно сложные и регулярно меняются
- Ведётся логирование доступа к ПД
- Есть резервное копирование
Шаг 4. Обучите сотрудников
- Проведите инструктаж о правилах работы с ПД
- Объясните, как отвечать на вопросы инспекторов
- Назначьте ответственных за взаимодействие с проверяющими
Шаг 5. Подготовьте помещение
- Определите место для работы инспекторов
- Подготовьте копии документов
- Обеспечьте доступ к информационным системам для демонстрации
Как проходит проверка
Типичный сценарий плановой проверки:
- Получение уведомления. Вы получаете приказ о проведении проверки и уведомление.
- Запрос документов. Инспекторы запрашивают перечень документов для изучения.
- Выезд на место. Инспекторы приезжают в офис, изучают документы, проверяют информационные системы, опрашивают сотрудников.
- Проверка сайта. Анализируют сайт на наличие необходимых документов и корректность форм.
- Составление акта. По результатам проверки составляется акт, в котором фиксируются нарушения (если обнаружены).
- Предписание. При обнаружении нарушений выдаётся предписание с указанием сроков устранения.
- Контрольная проверка. По истечении срока предписания проводится проверка его исполнения.
Типичные нарушения и штрафы
| Нарушение | Штраф (юрлицо) |
|---|---|
| Политика ПД не опубликована на сайте | 30 000 - 60 000 ₽ |
| Обработка ПД без согласия субъекта | 30 000 - 150 000 ₽ |
| Невыполнение требования об уничтожении ПД | 50 000 - 90 000 ₽ |
| Необеспечение записи, хранения и извлечения ПД на территории РФ | 1 000 000 - 6 000 000 ₽ |
| Повторные нарушения | до 18 000 000 ₽ |
Что делать, если нашли нарушения
Если по результатам проверки выявлены нарушения:
- Внимательно изучите акт проверки и предписание
- Если не согласны, подайте возражения в течение 15 дней
- Устраните нарушения в установленные сроки
- Направьте отчёт об устранении в Роскомнадзор
- При необходимости обжалуйте результаты в суде
Начните подготовку сейчас
Лучшая стратегия - не ждать проверки, а заранее привести документы в порядок. Первый шаг - подготовить качественную политику конфиденциальности и правильные формы согласий для сайта. Генератор документов Порядок создаст актуальные юридические документы, соответствующие требованиям 152-ФЗ и ожиданиям Роскомнадзора. Это базовый фундамент, который значительно снижает риск штрафов при проверке.