При подготовке к проверке Роскомнадзора именно ответственный за организацию обработки персональных данных собирает и предъявляет основной пакет документов. Этот комплект подтверждает, что компания соблюдает требования 152-ФЗ и реально организовала работу с ПДн.
Обоснование по законодательству
Федеральный закон № 152-ФЗ «О персональных данных»:
-
ст. 18.1 ч. 1 — оператор обязан принимать меры для выполнения требований законодательства, включая издание документов, определяющих его политику и процедуры;
-
ст. 22.1 ч. 3 — ответственное лицо обеспечивает соблюдение требований закона;
-
ст. 23 — Роскомнадзор имеет право проверять исполнение этих требований и запрашивать документы.
Типичные ошибки организаций
— Готовят только политику по ПДн и забывают про остальные документы.
— Не могут предъявить приказы о назначении ответственного или перечни ПДн.
— Согласия на обработку данных оформлены, но нет журнала их регистрации.
— Нет актов об уничтожении ПДн или порядка уничтожения.
— Не хранят переписку с субъектами ПДн, хотя она подтверждает выполнение обязанностей по закону.
Особенности применения на практике
На проверке Роскомнадзор обычно запрашивает:
-
приказ о назначении ответственного за ПДн и его должностную инструкцию;
-
политику в отношении обработки ПДн (опубликованную и утверждённую);
-
положение/регламент о порядке обработки и защите ПДн;
-
перечень обрабатываемых ПДн и перечень информационных систем;
-
формы согласий и журналы их учёта/отзывов;
-
приказы и регламенты о хранении и уничтожении ПДн, акты об уничтожении;
-
журналы ознакомления сотрудников с локальными актами;
-
договоры с третьими лицами, которым передаются ПДн (например, доставка, бухгалтерия);
-
переписку и акты реагирования на запросы субъектов;
-
внутренние отчёты или акты проверок, проводимых ответственным.
В крупных компаниях могут также запросить модели угроз и документы по технической защите данных.
Рекомендации и выводы
Ответственный должен подготовить к проверке полный пакет документов по ПДн: приказы, положения, согласия, журналы, акты и договоры с подрядчиками. Эти документы нужно держать в порядке и регулярно актуализировать. Важно, чтобы сам ответственный был готов пояснить их содержание и порядок применения.
Если вы хотите, чтобы к проверке Роскомнадзора у вашей компании был собран и правильно оформлен полный пакет документов, обратитесь в ICTech. Мы разработаем для вас все необходимые документы по обработке персональных данных, подготовим инструкции для ответственного и обеспечим, чтобы ваша организация полностью соответствовала 152-ФЗ. Это позволит пройти проверку без штрафов и лишних рисков.
