- при изменении федерального законодательства и подзаконных актов (например, при введении новых требований к обезличиванию или мерам защиты);
- при изменении организационной структуры компании (назначение новых ответственных, появление филиалов, переход сотрудников на удалёнку);
- при изменении технологий (внедрение CRM-системы, видеонаблюдения, новых способов идентификации);
- по итогам внутренних проверок или предписаний Роскомнадзора.
Таким образом, обновлять пакет «раз в год по графику» — недостаточно. Документы должны пересматриваться по мере появления изменений, а актуальность подтверждаться приказами руководителя.
Обоснование по законодательству
- Ст. 18.1 ФЗ-152 — обязывает оператора принимать организационные меры по ПДн, включая разработку и актуализацию локальных актов.
- Ст. 19 ФЗ-152 — меры защиты должны быть адекватны угрозам и изменяющимся условиям.
- Постановление Правительства РФ № 1119 — требует документировать актуальные меры защиты ПДн.
- Методические рекомендации Роскомнадзора — подчеркивают необходимость регулярной актуализации документов в зависимости от изменений.
Позиция и практика Роскомнадзора
Инспекторы обращают внимание на даты утверждения документов. Если политика по ПДн утверждена пять лет назад и больше не менялась, это почти всегда вызывает вопросы. Роскомнадзор прямо указывает: документы должны пересматриваться при изменении законодательства или технологий обработки. Некоторые компании раз в год утверждают приказ «О проверке и актуализации документов по ПДн» — такая практика положительно воспринимается на проверках.
Что важно учитывать компаниям
- Не существует «фиксированного срока» обновления. Главный критерий — соответствие реальной ситуации.
- Формальное хранение устаревших документов приравнивается к их отсутствию.
- Лучше закрепить внутренним регламентом порядок проверки актуальности (например, ежегодный аудит).
Рекомендации и выводы
Пакет документов по ПДн нужно обновлять столько раз, сколько это требует реальная деятельность компании и изменения законодательства. Чтобы минимизировать риски:
- Назначьте ответственного за контроль актуальности документов.
- Введите внутренний порядок проверки (например, раз в год).
- Обновляйте документы при любых изменениях в законе, технологиях или структуре компании.
- Все обновления фиксируйте приказами руководителя.
Компания ICTech поможет вашей организации провести аудит пакета документов, выявить устаревшие положения и своевременно внести изменения. Это гарантирует соответствие ФЗ-152 и спокойное прохождение проверок Роскомнадзора.
