На практике успешная подготовка к проверке Роскомнадзора строится вокруг трех ключевых элементов: корректного уведомления об обработке персональных данных, актуальной организационно-распорядительной документации и соответствия документов фактической деятельности оператора. Именно отсутствие системного подхода чаще всего становится причиной предписаний и административной ответственности.
В каких случаях стоит готовиться к проверке заранее
Подготовку к проверке Роскомнадзора целесообразно начинать заранее, не дожидаясь официального уведомления о проведении контрольных мероприятий. Практика показывает, что большинство нарушений выявляется у операторов, которые приступают к подготовке уже после получения уведомления.
Готовиться необходимо в следующих случаях:
- плановая проверка, включение организации или ИП в ежегодный план проверок;
- внеплановая проверка, инициированная жалобами субъектов персональных данных, обращениями сотрудников или выявленными нарушениями;
- камеральная проверка, проводимая без выезда, на основании сведений из реестров, сайта и ранее поданных данных;
- изменение деятельности оператора, влияющее на цели, объем или способы обработки персональных данных;
- запуск сайта, CRM или онлайн-сервисов, связанных со сбором персональных данных.
Даже при отсутствии уведомления о проверке наличие указанных факторов значительно повышает вероятность интереса со стороны Роскомнадзора и требует заблаговременной подготовки.
Шаг 1. Проверка статуса оператора персональных данных
Первым этапом подготовки является определение факта и объема обработки персональных данных. Именно с этого начинается оценка обязанностей оператора и перечня необходимых мер.
На данном этапе необходимо:
- определить, является ли организация или ИП оператором персональных данных;
- установить категории субъектов персональных данных (клиенты, работники, контрагенты, пользователи сайта);
- определить перечень обрабатываемых персональных данных;
- зафиксировать цели обработки персональных данных;
- определить способы обработки персональных данных (автоматизированная, неавтоматизированная, смешанная);
- выявить используемые информационные системы и сервисы.
Результаты этого шага являются базой для последующей подготовки уведомления, разработки документации и оценки рисков. Ошибки на этом этапе приводят к несоответствию уведомления и документов фактической деятельности оператора.
Шаг 2. Актуализация уведомления об обработке персональных данных
Следующим этапом подготовки является проверка наличия и корректности уведомления об обработке персональных данных, поданного в Роскомнадзор. Сведения из уведомления используются проверяющими как основа для сопоставления с фактической деятельностью оператора.
На данном этапе необходимо:
- проверить, подано ли уведомление об обработке персональных данных;
- оценить полноту и корректность указанных сведений;
- сопоставить цели, категории персональных данных и субъектов обработки с реальными процессами;
- проверить актуальность сведений об используемых информационных системах;
- определить необходимость внесения изменений в уведомление.
Любые расхождения между уведомлением и фактической обработкой персональных данных рассматриваются как нарушение требований законодательства.
Для снижения рисков необходимо не просто подать уведомление в Роскомнадзор, но и проверить, соответствуют ли заявленные цели реальным процессам обработки.
Шаг 3. Подготовка организационно-распорядительной документации
Ключевым этапом подготовки к проверке является наличие и актуальность организационно-распорядительной документации по защите персональных данных. Именно этот блок документов проверяется в первую очередь и служит основой для выводов о соблюдении требований законодательства.
На данном этапе необходимо:
- проверить наличие обязательного комплекта организационно-распорядительных документов;
- оценить актуальность документов и соответствие действующему законодательству;
- проверить соответствие документов фактическим процессам обработки персональных данных;
- убедиться в наличии приказов о назначении ответственных лиц;
- определить порядок доступа сотрудников к персональным данным;
- зафиксировать процедуры внутреннего контроля.
Формальное наличие документов без учета специфики деятельности оператора не считается надлежащим выполнением требований. Для подготовки к проверкам необходимо разработать организационно-распорядительную документацию по защите персональных данных, адаптированную под реальные процессы обработки персональных данных.
Шаг 4. Проверка согласий и правовых оснований обработки
На данном этапе подготовки оцениваются основания, на которых осуществляется обработка персональных данных. Роскомнадзор проверяет законность обработки не только по наличию документов, но и по корректности выбранных правовых оснований.
Необходимо:
- проверить наличие согласий субъектов персональных данных;
- оценить соответствие содержания согласий целям и объему обработки;
- проверить согласия работников на обработку их персональных данных;
- определить случаи, когда обработка осуществляется без согласия, и наличие законных оснований;
- проверить порядок учета, хранения и отзыва согласий.
Использование универсальных или устаревших форм согласий, а также отсутствие подтверждения законных оснований обработки персональных данных влечет риски признания обработки неправомерной.
Шаг 5. Подготовка кадровых процессов
Обработка персональных данных работников является обязательной частью проверки независимо от сферы деятельности оператора. Даже при отсутствии клиентских баз кадровые процессы подлежат анализу со стороны Роскомнадзора.
На данном этапе необходимо:
- проверить перечень персональных данных работников, подлежащих обработке;
- оценить законность обработки кадровых персональных данных;
- проверить наличие и актуальность локальных актов, регулирующих обработку данных работников;
- определить круг лиц, имеющих доступ к кадровым данным;
- проверить соблюдение сроков хранения кадровых документов;
- оценить порядок передачи кадровых данных бухгалтерии или аутсорсинговым компаниям.
Нарушения в кадровых процессах выявляются особенно часто и нередко становятся основанием для предписаний даже при наличии общей документации по персональным данным.
Шаг 6. Проверка сайта и онлайн-сервисов
При наличии у оператора сайта или использовании онлайн-сервисов Роскомнадзор отдельно оценивает обработку персональных данных в сети Интернет.
На данном этапе необходимо:
- проверить формы сбора персональных данных на сайте;
- оценить содержание и доступность политики конфиденциальности;
- проверить корректность получения согласий пользователей сайта;
- определить использование cookies и систем веб-аналитики;
- проверить законность использования CRM, сервисов рассылок и онлайн-чатов;
- сопоставить фактические процессы с данными, указанными в уведомлении.
Нарушения в этой части рассматриваются как самостоятельные и не зависят от состояния внутренней документации.
Для выявления нарушений и корректного оформления сайта проводится комплексная работа: аудит сайта на соответствие законодательству о защите информации и разработка обязательного пакета документов по защите персональных данных.
Шаг 7. Проверка передачи персональных данных третьим лицам
На данном этапе подготовки анализируется правомерность передачи персональных данных контрагентам и подрядчикам. Роскомнадзор уделяет этому вопросу повышенное внимание, поскольку нарушения при передаче данных встречаются особенно часто.
Необходимо:
- определить перечень третьих лиц, которым передаются персональные данные;
- проверить наличие договоров и условий поручения обработки персональных данных;
- оценить объем и цели передаваемых персональных данных;
- проверить наличие обязательств по конфиденциальности и защите персональных данных;
- сопоставить фактическую передачу данных с информацией, указанной в уведомлении и локальных актах;
- определить наличие трансграничной передачи персональных данных.
Передача персональных данных без надлежащего документального оформления или вне заявленных целей обработки рассматривается как нарушение требований законодательства и увеличивает риски привлечения к ответственности.
Шаг 8. Подготовка сотрудников и внутренних процессов
Заключительным этапом подготовки к проверке является обеспечение готовности сотрудников и внутренних процессов к взаимодействию с проверяющими. Даже при наличии корректных документов несоблюдение установленных процедур на практике рассматривается как нарушение.
На данном этапе необходимо:
- проверить назначение ответственных лиц за организацию обработки и защиту персональных данных;
- обеспечить ознакомление сотрудников с локальными актами под подпись;
- проверить фактическое соблюдение регламентов работы с персональными данными;
- определить порядок взаимодействия с проверяющими и предоставления документов;
- подготовить ответственных лиц к возможным вопросам Роскомнадзора.
Готовность сотрудников подтверждает, что требования законодательства выполняются не формально, а внедрены в реальные бизнес-процессы оператора.
Типичные ошибки при подготовке к проверке
При подготовке к проверке Роскомнадзора операторы персональных данных часто допускают одни и те же ошибки, которые существенно повышают риск выявления нарушений.
Наиболее распространённые ошибки:
- формальный подход к подготовке и использование шаблонных документов;
- отсутствие связи между документацией и фактическими процессами обработки персональных данных;
- устаревшие документы, не учитывающие изменения законодательства или деятельности оператора;
- несоответствие уведомления об обработке персональных данных реальным условиям обработки;
- попытка срочной подготовки документов после получения уведомления о проверке;
- отсутствие назначенных ответственных лиц или их формальная роль.
Практика показывает, что именно системные ошибки, а не отдельные недочёты, становятся основанием для предписаний и повторных проверок.
На практике
На практике при проверках Роскомнадзора в первую очередь оценивается не наличие отдельных документов, а системность подготовки оператора персональных данных. Чаще всего выявляются нарушения, связанные с отсутствием или формальным характером организационно-распорядительной документации и несоответствием документов фактической деятельности.
Даже при корректно поданном уведомлении и наличии политики конфиденциальности отсутствие актуального и адаптированного под деятельность комплекта ОРД приводит к выдаче предписаний и административной ответственности. Комплексная подготовка, включающая актуализацию уведомления, разработку документации и приведение процессов в соответствие требованиям законодательства, позволяет существенно снизить риски и упростить прохождение проверок Роскомнадзора.
