Что делать, если Роскомнадзор запросил документы вне плановой проверки

Роскомнадзор вправе запросить документы по персональным данным не только на плановой проверке. Разбираем, чем профилактический визит отличается от мотивированного запроса и внеплановой проверки, какие сроки действуют и что грозит за игнорирование запроса.

Компания получает письмо от Роскомнадзора с требованием предоставить документы по обработке персональных данных, а в графике плановых проверок на этот год её нет. Так бывает. Ведомство запрашивает сведения вне плана по жалобе субъекта персональных данных, по итогам профилактического визита или отдельным мотивированным запросом. Порядок действий и сроки здесь отличаются от плановой проверки, и разбираться приходится быстро, потому что часы уже идут.

Три формата, которые путают друг с другом

Роскомнадзор работает с оператором персональных данных вне плана тремя способами. У каждого свои правила и свои последствия.

Профилактический визит

Инспектор приходит или созванивается, чтобы объяснить требования закона и указать на риски, до того как они превратились в нарушение. У профилактического визита нет статуса проверки. Предписаний по его итогам не выдают, а от самого визита можно отказаться, письменно уведомив об этом не позднее чем за три рабочих дня.

Мотивированный запрос документов и информации

Роскомнадзор вправе запросить у оператора документы и сведения об обработке персональных данных вне рамок какой-либо проверки, такое право закреплено в статье 23 152-ФЗ. Обычно поводом становится жалоба, обращение гражданина или информация из открытых источников, которая показалась ведомству подозрительной. Точный срок ответа закон не фиксирует одним числом для всех случаев. Роскомнадзор указывает его в самом запросе. На практике срок составляет от нескольких рабочих дней до месяца, в зависимости от объёма запрошенных документов.

Внеплановая проверка

Самый серьёзный вариант. Основанием становится жалоба, индикатор риска, поручение прокуратуры или предписание по итогам предыдущей проверки. Внеплановую проверку организуют по правилам 248-ФЗ, с выездом инспектора или в дистанционном формате, и по её итогам уже выдают предписание об устранении нарушений.

Как понять, с чем столкнулась компания

Ответ виден в самом письме. Проверьте три вещи.

Кто подписал документ. Уведомление о профилактическом визите и решение о внеплановой проверке подписывает руководитель территориального управления Роскомнадзора или его заместитель, запрос информации может подписать и должностное лицо рангом ниже.
Как называется документ. «Уведомление о проведении профилактического визита», «запрос информации (документов)» или «решение о проведении внеплановой контрольной (надзорной) проверки». Формулировка обычно прямая.
Что просят сделать. Профилактический визит предполагает разговор и рекомендации. Запрос требует прислать документы почтой или через личный кабинет. Проверка требует готовиться к визиту инспектора или к дистанционному контролю с конкретным перечнем документов.

Если формулировки в письме двусмысленные, до истечения срока стоит отправить запрос на уточнение в тот же территориальный орган, который прислал письмо. Так компания получает документальное подтверждение, что действовала добросовестно, даже если потом придётся объяснять задержку.

Что делать после получения запроса

Зафиксировать дату получения. Она нужна для отсчёта срока ответа. По почте это дата на конверте, по системе электронного документооборота, если запрос пришёл через личный кабинет оператора, дата фиксируется автоматически.
Найти срок в самом письме. Он указан прямым текстом, обычно в последнем абзаце. Если срок не указан, отправьте отдельный уточняющий запрос вместо того чтобы тянуть с ответом.
Собрать документы по перечню. Чаще всего просят политику обработки персональных данных, приказ о назначении ответственного, согласия субъектов, договоры поручения обработки с подрядчиками, уведомление об обработке персональных данных в реестре операторов.
Подготовить сопроводительное письмо. В нём указывают ссылку на номер и дату запроса, перечень приложенных документов и подпись руководителя или уполномоченного лица.
Отправить ответ так, чтобы было доказательство отправки. Подойдут личный кабинет оператора, заказное письмо с описью вложения или курьер под расписку. Обычная электронная почта без подтверждения доставки такого доказательства не даёт.

Если собрать всё в срок физически не получается, например документы нужно запросить у подрядчика, до истечения срока отправляют письмо с просьбой его продлить и объяснением причины. Молчание работает против компании. Без обращения о переносе срока задержку сочтут нарушением.

Что будет, если запрос проигнорировать

Игнорирование запроса само по себе нарушение, отдельное от того, что происходит с обработкой персональных данных внутри компании. За непредставление сведений государственному органу отвечают по статье 19.7 КоАП РФ, а за уклонение от исполнения законных требований должностного лица контрольного органа по статье 19.4.1 КоАП РФ. И то и другое влечёт административный штраф для юрлица и его руководителя.

Есть и второе последствие, менее очевидное. Непредставление документов по запросу само по себе основание для внеплановой проверки, уже с выездом инспектора и правом требовать доступ к информационным системам. То, что начиналось как переписка, превращается в полноценную проверку с предписанием на выходе.

Перед тем как отвечать на запрос, стоит свериться с базовым набором документов, который спросят почти наверняка.

Чек-лист готовности к проверке Роскомнадзора

показывает, какие бумаги обычно проверяет Роскомнадзор и чего не хватает у конкретной компании.

Частые вопросы

Чем профилактический визит отличается от проверки по существу

После визита не выдают предписаний и не составляют протоколов, даже если инспектор увидел явные нарушения. Он вправе только порекомендовать, что исправить, и указать разумный срок.

Можно ли отказаться от профилактического визита

Да. Оператор вправе отказаться в письменной форме не позднее чем за три рабочих дня до даты визита, указанной в уведомлении. Отказ не влечёт наказания сам по себе.

Что делать, если у компании несколько юридических лиц с одним ИТ-контуром

Отвечать нужно от лица той организации, которой адресован запрос, даже если персональные данные фактически обрабатывает связанная компания. Если данные обрабатывает подрядчик по договору поручения, в ответе стоит указать это прямо и приложить сам договор.

Нужно ли уведомлять субъектов персональных данных о том, что пришёл запрос Роскомнадзора

Закон такой обязанности не устанавливает. Уведомлять субъектов нужно в других случаях, например при утечке данных, а не при обычном запросе документов со стороны надзорного органа.