Что проверяет инспектор Роскомнадзора у оператора персональных данных
Роскомнадзор проверяет операторов персональных данных по плану и по жалобам. Разбираем, какие документы по 152-ФЗ инспектор просит в первую очередь, какие вопросы задаёт на месте и что грозит компании, если документов нет.
Роскомнадзор ежегодно включает в план проверок тысячи операторов персональных данных, а ещё проводит внеплановые проверки по жалобам и после утечек. Инспектор приезжает не за общими впечатлениями. Он открывает конкретный перечень документов и сверяет его с тем, что реально лежит в папке у ответственного за персональные данные. Если папки нет или в ней половина бумаг, компания получает предписание, а на исправление дают ограниченный срок.
Разбираем, как узнать о проверке заранее, что инспектор спросит в первую очередь и какие документы должны быть готовы у оператора персональных данных до его визита.
Какие бывают проверки и как о них узнать
Плановую проверку Роскомнадзор включает в ежегодный сводный план, который публикует заранее. Компания может проверить себя по ИНН на сайте прокуратуры или самого регулятора. Так о визите узнают за месяцы, а не за день до звонка инспектора.
Внеплановая проверка приходит без такого запаса времени. Поводом становится жалоба субъекта персональных данных, сообщение об утечке, требование прокуратуры или поручение по итогам другой проверки у контрагента. В этом случае на подготовку остаются считаные дни, и собирать документы с нуля уже поздно.
Что инспектор просит первым
Стандартный запрос начинается не с деталей, а с базового пакета. Инспектор поднимает документы в таком порядке.
- подтверждение, что компания стоит в реестре операторов, или обоснование, почему уведомление не требовалось;
- приказ о назначении ответственного за организацию обработки персональных данных;
- политику обработки персональных данных и подтверждение, что она размещена на сайте в открытом доступе;
- перечень информационных систем персональных данных с указанием, какие данные и в каком объёме там хранятся;
- согласия субъектов, клиентов, сотрудников, посетителей сайта, в той форме, которую требует закон для конкретной категории данных;
- договоры поручения с подрядчиками, которым передаются данные, например CRM-системой, бухгалтерией на аутсорсе, сервисом рассылок или курьерской службой;
- журнал учёта обращений субъектов персональных данных и порядок ответа на такие обращения.
Дальше инспектор смотрит на техническую часть. Его интересуют модель угроз для информационных систем, где она требуется, приказ об уровне защищённости, инструкции для сотрудников о работе с персональными данными и порядок действий при инциденте.
О чём спрашивает инспектор на месте
Кроме документов, инспектор задаёт вопросы напрямую сотруднику, который отвечает за персональные данные. Часто спрашивает, кто в компании имеет доступ к базе клиентов и как этот доступ ограничен, куда уходят данные при передаче третьим лицам, сколько времени хранятся согласия после того, как клиент перестал быть клиентом, и что сделает компания, если завтра обнаружит утечку.
Если ответственный не может назвать конкретный порядок действий, а вместо этого описывает общие принципы, для инспектора это сигнал провести проверку глубже и запросить дополнительные документы.
Что будет, если документов нет
По результатам проверки инспектор составляет акт. Если находит нарушения, выдаёт предписание с конкретным сроком устранения — обычно от одного до нескольких месяцев в зависимости от объёма недостатков. Отдельно может последовать протокол об административном правонарушении по статье 13.11 КоАП РФ. Штрафы по ней варьируются от десятков тысяч рублей за отсутствие политики обработки до сотен тысяч за обработку без согласия субъекта.
Если нарушение не устранить в срок, указанный в предписании, следует повторная проверка и новый протокол, уже за неисполнение предписания. Для компании, которая уже допустила утечку персональных данных, повторное нарушение может обернуться оборотным штрафом, привязанным к годовой выручке.
Как подготовиться заранее
Готовиться к проверке за неделю до неё поздно. Пакет документов собирают один раз, а потом только обновляют. Порядок действий такой.
- Проверьте, стоит ли компания в реестре операторов персональных данных, и подайте уведомление, если его ещё нет.
- Назначьте ответственного за персональные данные отдельным приказом, даже если эту роль фактически выполняет директор.
- Соберите перечень информационных систем персональных данных. Укажите, какие базы есть в компании, что в них хранится и кто имеет доступ.
- Проверьте, что политика обработки персональных данных опубликована на сайте и соответствует тому, что компания делает с данными на практике, а не скопирована у конкурента.
- Сверьте формы согласия на сайте, в договорах и в отделе кадров. Для специальных категорий данных нужна отдельная письменная форма.
- Проверьте договоры с подрядчиками, которые обрабатывают данные по поручению. В них должны быть прописаны условия обработки и обязанности по защите.
- Пропишите порядок действий на случай утечки: кто уведомляет Роскомнадзор в течение суток и кто готовит результаты внутреннего расследования.
Пройти этот список удобнее не вручную, а с помощью инструмента, который сверяет комплект документов компании с актуальными требованиями и показывает, каких бумаг не хватает именно для вашей ситуации.
Чек-лист готовности к проверке Роскомнадзора
Частые вопросы
Можно ли не пускать инспектора без предупреждения?
Плановую проверку инспектор проводит по графику, о котором компания может узнать заранее по своему ИНН. О выездной внеплановой проверке оператора обычно уведомляют не менее чем за сутки. Права отказать в допуске закон не даёт, отказ только фиксируется отдельно и усложняет положение компании.
Что делать, если часть документов утеряна или их никогда не было?
Восстановить пакет документов быстрее, чем объяснять инспектору их отсутствие. Начните с приказа о назначении ответственного и политики обработки. Это база, без которой инспектор считает нарушенными все смежные требования.
Проверяет ли Роскомнадзор индивидуальных предпринимателей так же строго, как компании?
Да, требования 152-ФЗ распространяются на ИП наравне с юридическими лицами. Если предприниматель собирает данные клиентов через сайт, CRM или программу лояльности, комплект документов ему нужен такой же.
Сколько времени занимает подготовка полного пакета документов с нуля?
Для небольшой компании с типовыми процессами подготовка занимает от нескольких дней до пары недель, если использовать готовые шаблоны под конкретную ситуацию. Без шаблонов, с юристом с нуля, срок растягивается до месяца и больше.