Проверка Роскомнадзора по персональным данным: как подготовить документы, сайт и процессы без аврала

Содержание

1. Краткое содержание
2. Что такое проверка Роскомнадзора
3. Нормативная база: на что опирается Роскомнадзор
4. Как проходит проверка Роскомнадзора: маршрут по шагам
5. Набор документов для подготовки к проверке Роскомнадзора
6. Что проверяют на сайте: отдельный чек-лист
7. Техническая готовность: что должно быть в ИСПДн
8. Типичные ошибки операторов перед проверкой
9. Как подготовиться за 30 дней: рабочий маршрут
10. Сравнение подходов к подготовке
11. Рекомендации эксперта
12. FAQ: частые вопросы о проверке Роскомнадзора
13. Основные выводы
14. Источники и нормативная база

Краткое содержание

Проверка Роскомнадзора — это не только запрос политики конфиденциальности и согласий. Регулятор смотрит, насколько фактическая обработка персональных данных совпадает с документами, уведомлением в реестре операторов, формами на сайте, договорами с подрядчиками, локальными актами и техническими мерами защиты.

Главный принцип подготовки: документы, сайт, CRM, кадровый контур, подрядчики и технические настройки должны говорить одно и то же. Если компания собирает данные одним способом, описывает другим, а уведомление в Роскомнадзор содержит третью картину, проверка почти гарантированно выявит несоответствия.

Что такое проверка Роскомнадзора

Проверка Роскомнадзора — это контрольное мероприятие, в рамках которого оценивается соблюдение оператором требований законодательства о персональных данных. Речь идет прежде всего о Федеральном законе № 152-ФЗ «О персональных данных», подзаконных актах, требованиях к защите персональных данных в ИСПДн и обязанностях оператора.

Роскомнадзор может проверять наличие уведомления об обработке ПДн, соответствие заявленных целей фактическим процессам, локальные акты, политику обработки персональных данных, согласия субъектов, основания обработки без согласия, порядок обработки запросов субъектов, наличие ответственного, оценку вреда, меры защиты, сайт и онлайн-формы, подрядчиков, трансграничную передачу, хранение и уничтожение данных.

Почему это важно

Персональные данные есть почти у всех: у интернет-магазинов, клиник, производственных компаний, школ, B2B-сервисов, HR-служб, SaaS-платформ и даже у информационных сайтов с формой «Оставьте телефон». После изменений в 152-ФЗ большинство операторов обязаны уведомлять Роскомнадзор о начале или осуществлении обработки персональных данных, кроме ограниченных исключений.

Частые ошибки

• использовать шаблон политики без привязки к реальным формам;
• не обновлять уведомление в реестре операторов;
• смешивать согласие на обработку ПДн и согласие на рекламу;
• не оформлять поручение обработки персональных данных подрядчику;
• забывать про cookie, веб-аналитику и виджеты.

Нормативная база: на что опирается Роскомнадзор

Базовый документ — Федеральный закон № 152-ФЗ «О персональных данных». Он определяет, что такое персональные данные, обработка, оператор, субъект, распространение, предоставление, обезличивание, блокирование и уничтожение данных.

Как проходит проверка Роскомнадзора: маршрут по шагам

1. Основание для проверки. Проверка может быть плановой или внеплановой.
2. Определение формата. Возможна документарная или выездная проверка.
3. Запрос документов. Оператор предоставляет документы в установленный срок.
4. Сверка документов с фактическими процессами. Проверяется соответствие политики, уведомления, форм и ИСПДн реальности.
5. Проверка сайта. Анализируются формы, согласия, cookie, аналитика, виджеты и CRM-интеграции.
6. Оценка организационных и технических мер. Проверяются доступы, журналирование, защита ИСПДн, подрядчики.
7. Акт и предписание. По итогам оформляются результаты проверки.

Набор документов для подготовки к проверке Роскомнадзора

Что проверяют на сайте: отдельный чек-лист

Техническая готовность: что должно быть в ИСПДн

Если персональные данные обрабатываются в информационных системах, оператор должен обеспечить их безопасность. Постановление № 1119 устанавливает требования к защите ПДн при обработке в ИСПДн и уровни защищенности.

• определение уровня защищенности ИСПДн;
• модель угроз;
• правила доступа к персональным данным;
• журналирование действий;
• защита от несанкционированного доступа;
• учет машинных носителей;
• резервное копирование и восстановление;
• порядок реагирования на инциденты.

Типичные ошибки операторов перед проверкой

• уведомление в Роскомнадзор не соответствует фактической обработке;
• политика написана «для всех случаев» и содержит лишние процессы;
• нет отдельного согласия на рекламные рассылки;
• не оформлены подрядчики и поручения обработки;
• сайт живет отдельно от документов;
• нет журнала запросов субъектов;
• не проводится внутренний контроль.

Как подготовиться за 30 дней: рабочий маршрут

За 30 дней

1. Проверить компанию в реестре операторов ПДн.
2. Сравнить уведомление с фактическими процессами.
3. Составить карту процессов обработки ПДн.
4. Проверить сайт, формы и cookie.
5. Обновить политику и согласия.
6. Проверить договоры с подрядчиками.
7. Провести оценку вреда субъектам ПДн.
8. Подготовить пакет документов.

За 7 дней

1. Сформировать опись документов.
2. Проверить даты, подписи и актуальные версии.
3. Назначить координатора проверки.
4. Сделать скриншоты форм и согласий.
5. Подготовить журналы обращений, инцидентов и уничтожения данных.

Сравнение подходов к подготовке

Рекомендации эксперта

1. Начинайте с инвентаризации, а не с шаблонов.
2. Не описывайте в документах то, чего нет в процессах.
3. Проверяйте сайт после каждого изменения форм и виджетов.
4. Разделяйте согласие на обработку ПДн и согласие на рекламу.
5. Поручения обработки подрядчикам оформляйте письменно.
6. Храните подтверждения согласий и версий документов.
7. Проводите внутренний аудит после каждого существенного изменения процесса.
8. Ведите журнал обращений субъектов.
9. Используйте проверочные листы Роскомнадзора для самообследования.

FAQ: частые вопросы о проверке Роскомнадзора

Нужно ли уведомлять Роскомнадзор, если на сайте собираются только имя и телефон?

В большинстве случаев да. Простая форма «имя + телефон» обычно тоже является обработкой персональных данных.

Достаточно ли политики конфиденциальности на сайте?

Нет. Политика — только один из документов. Нужны правовые основания, согласия, локальные акты, уведомление, меры защиты и документы по ИСПДн.

Может ли проверка быть только документарной?

Да. В документарной проверке могут истребоваться документы и письменные объяснения. В отдельных случаях возможна выездная проверка.

Что делать, если документы устарели?

Провести актуализацию, оформить новые версии, зафиксировать дату вступления в силу, ознакомить работников и обновить сайт.

Основные выводы

Подготовка к проверке Роскомнадзора — это не одноразовая подготовка папки документов. Это системная работа с персональными данными: от сайта и CRM до кадрового учета, подрядчиков и технической защиты.

Главное — добиться согласованности между тем, что написано в документах, тем, что указано в уведомлении Роскомнадзора, и тем, что реально происходит в информационных системах. Если эти три слоя совпадают, проверка проходит гораздо спокойнее.

Источники и нормативная база

1. Роскомнадзор. Электронные формы заявлений и уведомление об обработке персональных данных.
2. Федеральный закон № 152-ФЗ «О персональных данных».
3. Статья 22.1 152-ФЗ. Лица, ответственные за организацию обработки персональных данных.
4. Роскомнадзор. Процедура проверки: документарные и выездные проверки.
5. Постановление Правительства РФ № 1119.
6. Приказ Роскомнадзора № 178.
7. Приказ Роскомнадзора № 253.