Роскомнадзор или ФСТЭК России кто отвечает за персональные данные
У оператора персональных данных два регулятора с разными задачами. Роскомнадзор проверяет документы, согласия и права субъектов по 152-ФЗ. ФСТЭК России проверяет техническую защиту информационных систем персональных данных. Разбираем, что смотрит каждое ведомство и как подготовиться к обеим проверкам.
У компании, которая обрабатывает персональные данные, есть два разных регулятора. Роскомнадзор проверяет документы и права людей, чьи данные компания собирает. ФСТЭК России проверяет технику, то есть как эти данные защищены от кражи и утечки. Эти зоны ответственности легко перепутать, и тогда к проверке готовят не те бумаги.
Что проверяет Роскомнадзор
Роскомнадзор ведёт реестр операторов персональных данных и принимает уведомления об обработке. При плановой или внеплановой проверке инспектор смотрит на политику обработки персональных данных и её публикацию на сайте. Он проверяет согласия субъектов и то, соответствуют ли они заявленным целям обработки. Отдельно смотрит на договоры поручения с подрядчиками, которые обрабатывают данные по заданию оператора. И проверяет, как компания отвечает на запросы субъектов об отзыве согласия или удалении данных.
Если данные передают за границу без законных оснований или собирают больше, чем нужно для цели обработки, инспектор фиксирует нарушение 152-ФЗ и составляет протокол.
Нужно ли уведомлять РКН? — пройти тест
Что проверяет ФСТЭК России
ФСТЭК России отвечает за техническую защиту персональных данных. Ведомство требует от оператора настроенную систему защиты информации в информационной системе персональных данных с уровнем защищённости, который соответствует реальным рискам. Требования к составу мер защиты установлены приказом ФСТЭК России от 18 февраля 2013 года № 21.
Инспектора ФСТЭК России интересует, какой уровень защищённости присвоен информационной системе и обоснован ли расчёт. Они проверяют, установлены ли сертифицированные средства защиты информации, ведётся ли модель угроз и журнал учёта событий безопасности, кто в компании отвечает за техническую защиту.
Роскомнадзор такие вопросы обычно не задаёт, потому что это не его компетенция. ФСТЭК России, в свою очередь, не проверяет, правильно ли оформлено согласие клиента на обработку персональных данных.
Чек-лист готовности к проверке Роскомнадзора
Как эти проверки касаются одной компании
Оба ведомства могут прийти к одному оператору, но по разным поводам. Роскомнадзор чаще реагирует на жалобу субъекта персональных данных или включает компанию в свой план проверок. ФСТЭК России обычно проверяет операторов государственных информационных систем и тех, кто попал в поле зрения из-за масштаба обработки данных или утечки.
Штрафы тоже разные. Роскомнадзор привлекает к административной ответственности по статье 13.11 КоАП РФ за нарушения в работе с согласиями, уведомлениями и правами субъектов. ФСТЭК России сам штрафы не выписывает. Ведомство фиксирует нарушения технических требований и выдаёт предписание устранить недостатки.
Что делать оператору
Разделите ответственность внутри компании. За документы, согласия и договоры поручения пусть отвечает тот, кто работает с юридической стороной обработки. Это может быть юрист, ответственный за персональные данные, или руководитель. За систему защиты, уровень защищённости и технические меры отвечает ИТ-специалист или подрядчик по информационной безопасности.
Проверьте оба направления заранее, а не после того, как придёт уведомление о проверке. В первый блок входят политика обработки, реестр согласий и договоры поручения. Во второй блок входят модель угроз, уровень защищённости и настроенные средства защиты.
Авто-аудит сайта — проверка на нарушения 152-ФЗ
Частые вопросы
Может ли Роскомнадзор проверить техническую защиту данных
Нет, это не входит в его полномочия. Роскомнадзор проверяет соблюдение прав субъектов персональных данных и правильность оформления документов. Технические требования к защите информации проверяет ФСТЭК России.
Обязательно ли выполнять требования обоих ведомств одновременно
Да. 152-ФЗ обязывает оператора и оформить документы по обработке персональных данных, и обеспечить их техническую защиту. Выполнение одного требования не освобождает от другого.
Кто чаще приходит с проверкой к небольшой компании
Чаще Роскомнадзор, по жалобе клиента или в рамках плановой проверки. ФСТЭК России обычно проверяет операторов с крупными информационными системами персональных данных или тех, где произошла утечка.
Что будет, если игнорировать требования ФСТЭК России
Оператора обяжут устранить нарушения предписанием. При повторном нарушении или утечке персональных данных ответственность по 152-ФЗ и КоАП РФ наступит уже за компанией в целом, а не только за техническую часть.