Ошибки операторов персональных данных, за которые чаще всего штрафуют
Роскомнадзор проверяет операторов персональных данных по одному и тому же чек-листу. Разбираем нарушения 152-ФЗ, которые инспекторы находят чаще всего, от согласия и политики на сайте до просроченного уведомления об утечке. Показываем, что проверить у себя до визита инспектора.
В статье собраны нарушения 152-ФЗ, которые инспекторы Роскомнадзора находят у операторов персональных данных чаще всего, и шаги, которые закрывают каждое из них до проверки.
На сайте нет политики обработки персональных данных
Оператор собирает данные через форму заявки или обратный звонок, но политики обработки на сайте нет вовсе или она скопирована у конкурента вместе с чужим названием компании. Инспектор проверяет это за пять минут. Открывает сайт, ищет ссылку в подвале, читает первый абзац. Политика должна называть оператора, цели обработки, состав данных, сроки хранения и порядок отзыва согласия. Общими фразами это не заменить.
Авто-аудит сайта — проверка на нарушения 152-ФЗ
Согласие оформлено неправильно
Часто согласие прячут внутри пользовательского соглашения или оферты, одним пунктом среди двадцати других. По статье 9 152-ФЗ согласие должно быть конкретным, информированным и сознательным. Субъект должен понимать, на какие именно действия и с какими данными он соглашается. Чекбокс согласия нередко стоит отмеченным по умолчанию, ещё до того как человек что-то нажал. Согласие подтверждает действие человека, а не молчаливое присутствие галочки в форме.
Роскомнадзор не уведомили об обработке
Статья 22 152-ФЗ обязывает оператора уведомить Роскомнадзор до начала обработки персональных данных, если компания не подпадает под одно из исключений части 2 этой статьи. Например, обработка только данных сотрудников по трудовому договору такого уведомления не требует. На практике бизнес открывает сайт с формой заявки, начинает собирать данные клиентов и вспоминает про уведомление только после письма от РКН.
Нужно ли уведомлять РКН? — пройти тест
Данные собирают про запас
Форма регистрации просит паспортные данные там, где достаточно телефона и почты. Это нарушает принцип соответствия обработки заявленным целям. Оператор обязан обрабатывать только те данные, что нужны для конкретной цели. Лишние поля в форме увеличивают риск на следующей проверке.
С подрядчиком нет договора поручения
Компания передаёт обработку данных клиентов колл-центру, бухгалтерии на аутсорсе или сервису рассылок, а договора поручения по статье 6 152-ФЗ нет. Устной договорённости или общего договора оказания услуг без пункта о персональных данных недостаточно. Нужен отдельный документ, где прописаны перечень действий с данными, цель обработки и обязанность подрядчика соблюдать конфиденциальность. Если у подрядчика произойдёт утечка, перед Роскомнадзором и субъектами данных отвечает оператор.
Об утечке не сообщили вовремя
С 1 сентября 2022 года оператор обязан уведомить Роскомнадзор в течение 24 часов с момента обнаружения утечки и направить результаты внутреннего расследования в течение 72 часов. Компании часто тратят эти часы на попытки разобраться своими силами и понять масштаб случившегося. В итоге уведомление подают с опозданием или не подают вовсе, а Роскомнадзор узнаёт об утечке из жалоб клиентов или прессы. Опоздание с уведомлением оценивается отдельно от самого факта утечки и увеличивает число нарушений в протоколе.
Что делать
Пройдите по списку выше как по чек-листу: политика на сайте, форма согласия, уведомление в РКН, состав полей в форме, договоры с подрядчиками, план на случай утечки. Каждый пункт закрывается одним документом или одной правкой формы, и дешевле сделать это заранее, чем получить протокол сразу по всем пунктам.
Частые вопросы
Штрафуют ли за каждое нарушение отдельно или один раз за проверку
За каждое нарушение отдельно. Если инспектор находит одновременно отсутствие политики на сайте и неправильное согласие, это два эпизода по статье 13.11 КоАП РФ, а не один.
Нужно ли уведомлять Роскомнадзор ИП без сотрудников
Зависит от того, подпадает ли обработка под исключения части 2 статьи 22 152-ФЗ. Если ИП собирает данные клиентов через сайт или мессенджер для продажи товаров или услуг, уведомление обычно требуется.
Можно ли использовать типовую политику обработки персональных данных из интернета
Только как основу. В политике должны быть точные данные вашей компании. Название оператора, реальные цели и сроки обработки, актуальные контакты для отзыва согласия. Скопированный текст с чужими реквизитами считается таким же нарушением, как полное отсутствие документа.
Что грозит за просроченное уведомление об утечке персональных данных
Отдельный штраф по статье 13.11 КоАП РФ, который считается независимо от ответственности за саму утечку и оценки количества пострадавших субъектов.