· Роскомнадзор · 6 мин чтения
Автор: команда ДокументЛаб — сервис, который генерирует юридические документы для сайтов и помогает бизнесу соблюдать 152-ФЗ и GDPR.
Проверка Роскомнадзора: как подготовиться
Проверка Роскомнадзора в области персональных данных может коснуться любой компании — от крупного банка до небольшого интернет-магазина. Инспекторы проверяют документацию, согласия, локализацию данных и техническую защиту, а штрафы за повторные нарушения достигают 18 000 000 рублей. Чтобы пройти проверку без штрафов, документы нужно готовить заранее. Ниже — виды проверок, что именно смотрят инспекторы и пошаговый план подготовки.
Главное
- Плановые проверки проводят не чаще одного раза в три года, уведомление — не менее чем за 3 рабочих дня.
- О внеплановой проверке уведомляют не менее чем за 24 часа.
- Проверяют 8 направлений: от документации и реестра операторов до локализации данных и прав субъектов.
- Штраф за отсутствие политики ПД на сайте — от 30 000 до 60 000 ₽, за повторное нарушение — до 18 000 000 ₽.
Содержание
- Какие бывают проверки Роскомнадзора
- Что именно проверяет Роскомнадзор
- Какие документы нужно подготовить
- Пошаговая подготовка к проверке
- Как проходит проверка
- Типичные нарушения и штрафы
- Что делать, если нашли нарушения
- Начните подготовку сейчас
Какие бывают проверки Роскомнадзора
Роскомнадзор проводит три типа проверок в отношении операторов персональных данных: плановые, внеплановые и систематическое наблюдение.
Плановые проверки
- Проводятся по заранее утверждённому плану (публикуется на сайте РКН в конце года на следующий год)
- Периодичность — не чаще одного раза в три года для каждого оператора
- Уведомление о проверке направляется не менее чем за 3 рабочих дня
- Проверить, включена ли ваша организация в план, можно на сайте Роскомнадзора или на портале proverki.gov.ru
Внеплановые проверки
Проводятся при наличии оснований:
- Жалобы граждан на нарушение их прав
- Истечение срока исполнения ранее выданного предписания
- Поручение Президента, Правительства или требование прокуратуры
- Обнаружение утечки персональных данных
Уведомление о внеплановой проверке направляется не менее чем за 24 часа.
Систематическое наблюдение (мониторинг)
Роскомнадзор также проводит мониторинг сайтов без непосредственного взаимодействия с оператором. Инспекторы проверяют:
- Наличие политики конфиденциальности на сайте
- Наличие согласий на обработку ПД на формах
- Соответствие политики требованиям закона
- Корректность баннера cookies
По результатам мониторинга могут направить предписание или инициировать внеплановую проверку.
Что именно проверяет Роскомнадзор
Инспекторы оценивают соответствие деятельности требованиям 152-ФЗ по восьми направлениям:
| Направление проверки | Что смотрят |
|---|---|
| Документация | Наличие и содержание политики ПД, приказов, согласий |
| Уведомление в реестре | Наличие в реестре операторов, актуальность данных |
| Согласия субъектов | Правильность получения и хранения согласий |
| Техническая защита | Меры по обеспечению безопасности ПД |
| Локализация данных | Хранение баз данных на территории РФ |
| Обработка по поручению | Договоры с контрагентами, обрабатывающими ПД |
| Соответствие целям | Обработка ПД только для заявленных целей |
| Права субъектов | Механизмы реализации прав граждан на доступ, удаление, уточнение данных |
Какие документы нужно подготовить
Подготовьте полный комплект документов до начала проверки:
Обязательные документы
-
Политика в отношении обработки персональных данных. Должна быть опубликована на сайте и существовать в утверждённой редакции с подписью руководителя.
-
Приказ о назначении ответственного за обработку ПД. Указывается конкретное лицо с его должностью и полномочиями.
-
Перечень персональных данных. Документ с указанием всех категорий обрабатываемых данных и целей обработки.
-
Формы согласий на обработку ПД. Для каждого вида обработки — своя форма согласия. Согласия должны быть конкретными, информированными и сознательными.
-
Модель угроз безопасности ПД. Документ, описывающий потенциальные угрозы и принятые меры защиты.
-
Акт оценки вреда субъектам ПД. Оценка возможных последствий нарушения безопасности данных.
Дополнительные документы
- Журнал учёта обращений субъектов ПД
- Договоры с контрагентами, обрабатывающими ПД по вашему поручению
- Инструкции для сотрудников по работе с ПД
- Акты уничтожения персональных данных
- Документы о проведении внутренних проверок
Пошаговая подготовка к проверке
Шаг 1. Проведите внутренний аудит
Проверьте себя до того, как это сделает Роскомнадзор:
- Все ли формы на сайте имеют чекбокс согласия?
- Актуальна ли политика конфиденциальности?
- Совпадают ли данные в реестре РКН с текущей деятельностью?
- Есть ли договоры со всеми обработчиками данных?
- Хранятся ли данные на серверах в РФ?
Шаг 2. Приведите документы в порядок
- Обновите политику конфиденциальности, если она устарела
- Подготовьте недостающие приказы и инструкции
- Проверьте все формы согласий на корректность
- Убедитесь, что все документы подписаны и датированы
Шаг 3. Проверьте техническую сторону
- SSL-сертификат установлен и работает
- Доступ к базам данных ограничен
- Пароли достаточно сложные и регулярно меняются
- Ведётся логирование доступа к ПД
- Есть резервное копирование
Шаг 4. Обучите сотрудников
- Проведите инструктаж о правилах работы с ПД
- Объясните, как отвечать на вопросы инспекторов
- Назначьте ответственных за взаимодействие с проверяющими
Шаг 5. Подготовьте помещение
- Определите место для работы инспекторов
- Подготовьте копии документов
- Обеспечьте доступ к информационным системам для демонстрации
Как проходит проверка
Типичный сценарий плановой проверки состоит из семи этапов:
- Получение уведомления. Вы получаете приказ о проведении проверки и уведомление.
- Запрос документов. Инспекторы запрашивают перечень документов для изучения.
- Выезд на место. Инспекторы приезжают в офис, изучают документы, проверяют информационные системы, опрашивают сотрудников.
- Проверка сайта. Анализируют сайт на наличие необходимых документов и корректность форм.
- Составление акта. По результатам проверки составляется акт, в котором фиксируются нарушения (если обнаружены).
- Предписание. При обнаружении нарушений выдаётся предписание с указанием сроков устранения.
- Контрольная проверка. По истечении срока предписания проводится проверка его исполнения.
Типичные нарушения и штрафы
| Нарушение | Штраф (юрлицо) |
|---|---|
| Политика ПД не опубликована на сайте | 30 000 - 60 000 ₽ |
| Обработка ПД без согласия субъекта | 30 000 - 150 000 ₽ |
| Невыполнение требования об уничтожении ПД | 50 000 - 90 000 ₽ |
| Необеспечение записи, хранения и извлечения ПД на территории РФ | 1 000 000 - 6 000 000 ₽ |
| Повторные нарушения | до 18 000 000 ₽ |
Что делать, если нашли нарушения
Если по результатам проверки выявлены нарушения:
- Внимательно изучите акт проверки и предписание
- Если не согласны, подайте возражения в течение 15 дней
- Устраните нарушения в установленные сроки
- Направьте отчёт об устранении в Роскомнадзор
- При необходимости обжалуйте результаты в суде
Начните подготовку сейчас
Лучшая стратегия — не ждать проверки, а заранее привести документы в порядок. Первый шаг — подготовить качественную политику конфиденциальности и правильные формы согласий для сайта. Генератор документов Порядок создаст актуальные юридические документы, соответствующие требованиям 152-ФЗ и ожиданиям Роскомнадзора. В ПоряДке документы формируются под конкретный сайт с учётом актуальной редакции 152-ФЗ. Это базовый фундамент, который значительно снижает риск штрафов при проверке.
Частые вопросы
Как узнать, включена ли моя организация в план проверок?
Проверьте план проверок на сайте Роскомнадзора или на портале proverki.gov.ru. План публикуется в конце года на следующий год, а плановые проверки проводятся не чаще одного раза в три года для каждого оператора.
За сколько предупреждают о внеплановой проверке?
Не менее чем за 24 часа. Основаниями для внеплановой проверки служат жалобы граждан, истечение срока исполнения предписания, поручение Президента или Правительства, требование прокуратуры либо обнаружение утечки персональных данных.
Какие документы проверяют в первую очередь?
Политику обработки персональных данных, приказ о назначении ответственного, перечень персональных данных, формы согласий, модель угроз безопасности и акт оценки вреда. Политика должна быть опубликована на сайте и подписана руководителем.
Сколько времени даётся на устранение нарушений?
Сроки указываются в предписании, которое выдаётся при обнаружении нарушений. Если вы не согласны с актом проверки, подайте возражения в течение 15 дней, а после устранения направьте отчёт об устранении в Роскомнадзор.
Итоги
Проверка Роскомнадзора по персональным данным — управляемый процесс, если заранее привести документы, согласия и техническую защиту в соответствие с 152-ФЗ.
- Плановые проверки — не чаще раза в три года, уведомление за 3 рабочих дня.
- Внеплановые проверки — уведомление не менее чем за 24 часа.
- Проверяются документация, реестр, согласия, техническая защита, локализация и права субъектов.
- Обязательный минимум — политика ПД, приказ об ответственном, перечень данных и формы согласий.
- Штраф за неопубликованную политику — 30 000–60 000 ₽, за нарушение локализации — до 6 000 000 ₽.
- Повторное нарушение — до 18 000 000 ₽.
- На возражения по акту проверки даётся 15 дней.
Начните с качественной политики конфиденциальности и корректных форм согласий — их можно сформировать под свой сайт в генераторе ДокументЛаб.