Профилактический визит Роскомнадзора чем он отличается от проверки и как к нему подготовиться
Роскомнадзор всё чаще приходит к операторам персональных данных не с проверкой, а с профилактическим визитом. После визита не выписывают штраф и не выдают предписание, но игнорировать рекомендации инспектора рискованно. Разбираем чем визит отличается от проверки, можно ли от него отказаться и как подготовиться.
Роскомнадзор всё чаще заменяет проверки операторов персональных данных профилактическими визитами. Разница принципиальная. После визита компании не грозит ни штраф, ни предписание. После проверки может грозить и то, и другое. Разбираемся, чем одно отличается от другого и что делать, если инспектор назначил дату визита.
Что такое профилактический визит
Профилактический визит входит в число профилактических мероприятий по закону 248-ФЗ «О государственном контроле (надзоре) и муниципальном контроле в Российской Федерации». Для операторов персональных данных правила уточняет Положение о федеральном государственном контроле (надзоре) за обработкой персональных данных.
Инспектор приходит к оператору очно или подключается по видеосвязи. Он рассказывает о требованиях 152-ФЗ, смотрит документы и отвечает на вопросы. Формально это консультация, а не проверка. Акт о нарушении не составляют, предписание не выдают, протокол об административном правонарушении не заводят.
По итогам визита оператор получает рекомендации. Инспектор указывает, что поправить в политике обработки персональных данных, в формах согласий, в реестре операторов или в мерах защиты информации. Выполнять их не обязывает закон. Но игнорировать их не стоит. Рекомендации прямо показывают, за что инспектор зацепится на плановой проверке.
Чем визит отличается от проверки
- Основание. Проверку назначают по плану или по жалобе. Профилактический визит Роскомнадзор может провести без повода, просто потому что компания стоит в реестре операторов или подала уведомление об обработке персональных данных.
- Последствия. Проверка заканчивается актом. При нарушениях она заканчивается ещё и предписанием с протоколом. Визит заканчивается устными или письменными рекомендациями без юридических последствий.
- Полномочия инспектора. На проверке инспектор официально требует документы и фиксирует нарушения актом. На визите он только знакомится с ситуацией и консультирует.
- Право отказаться. От обязательного профилактического визита можно отказаться. От проверки, включённой в план, нельзя.
Можно ли отказаться от профилактического визита
Да. Чтобы отказаться, оператор уведомляет Роскомнадзор не позднее чем за три рабочих дня до даты визита. Это установлено пунктом 31 Положения о федеральном государственном контроле за обработкой персональных данных. Формальных санкций за отказ нет, оштрафовать за это нельзя.
На практике отказ мало что решает. Риски в обработке персональных данных никуда не деваются, а визит с высокой вероятностью назначат повторно. Проще один раз подготовиться и пройти его, чем откладывать разговор с инспектором.
Как подготовиться к профилактическому визиту
Соберите документы, которые инспектор спросит в первую очередь. Это политика обработки персональных данных, формы согласий, договоры поручения с подрядчиками, приказ о назначении ответственного за обработку персональных данных и уведомление в реестре операторов.
Чек-лист готовности к проверке Роскомнадзора
Проверьте, совпадают ли реальные процессы с тем, что записано в документах. Кто в компании имеет доступ к персональным данным, куда они передаются, сколько хранятся. Расхождение между бумагами и практикой часто становится причиной, по которой профилактический визит перерастает во внеплановую проверку.
Авто-аудит сайта — проверка на нарушения 152-ФЗ
Если не уверены, что сведения в реестре операторов актуальны, сверьте их заранее, до визита инспектора.
Проверка компании в реестре операторов РКН
Частые вопросы
Профилактический визит обязателен для всех операторов персональных данных?
Нет. Роскомнадзор сам решает, кому назначить визит, исходя из категории оператора и рисков обработки персональных данных. Уведомление о визите приходит не всем компаниям из реестра.
Может ли профилактический визит закончиться штрафом?
Нет. Сам визит не предполагает административного наказания. Штраф возможен только по итогам проверки, а не визита.
Что будет, если проигнорировать рекомендации после визита?
Формальной ответственности за это нет. Но рекомендации фиксируют выявленные риски, и если на следующей проверке инспектор найдёт те же нарушения, это ухудшит положение оператора.
Нужно ли пускать инспектора в офис при профилактическом визите?
Визит проводят очно или дистанционно по договорённости с инспектором. Принудительно попасть на территорию оператора против его воли в рамках визита инспектор не может. У визита нет полномочий проверки, только формат консультации.