Выездная проверка считается одной из наиболее жёстких форм контроля. В её рамках Роскомнадзор оценивает не только наличие документов, но и то, как требования 152-ФЗ выполняются на практике: кто имеет доступ к персональным данным, как они хранятся, используются и передаются. Именно поэтому к выездной проверке невозможно подготовиться «в последний момент» — она требует системной готовности оператора.
Что считается выездной проверкой Роскомнадзора
Выездная проверка — это форма государственного контроля, при которой представители Роскомнадзора посещают место осуществления деятельности оператора персональных данных. Проверка проводится непосредственно в офисе, филиале или ином помещении, где осуществляется обработка персональных данных.
Выездную проверку следует отличать от других форм контроля:
-
камерная проверка проводится без выезда, на основании документов и сведений из открытых источников;
-
инспекционный визит может проводиться без уведомления и, как правило, занимает один день;
-
выездная проверка предполагает более широкий объём контрольных действий и анализ фактических процессов обработки персональных данных.
Выездная форма применяется, когда необходимо подтвердить соответствие документов реальным процессам, проверить условия хранения персональных данных и доступ сотрудников к информации.
Основания для проведения выездной проверки
Выездная проверка Роскомнадзора проводится, как правило, в тех случаях, когда выявленные нарушения или поступившая информация требуют проверки фактических условий обработки персональных данных на месте. Такая форма контроля применяется реже, чем камеральная, но имеет более серьёзные последствия.
Наиболее распространённые основания для проведения выездной проверки:
-
поступление обоснованной жалобы субъекта персональных данных;
-
выявление системных нарушений по результатам камерального контроля;
-
неисполнение или формальное исполнение ранее выданных предписаний;
-
повторные нарушения требований законодательства о персональных данных;
-
необходимость проверки фактического доступа сотрудников к персональным данным;
-
контроль исполнения ранее выданных предписаний.
Выездная проверка чаще всего носит внеплановый характер и применяется в отношении операторов, у которых уже были выявлены нарушения либо имеются основания полагать, что требования 152-ФЗ не выполняются на практике.
Чтобы убедиться, что требования закона выполняются, и предотвратить такое вмешательство, необходимо заранее провести внутренний аудит соответствия, разработать корректные документы и подать уведомление в Роскомнадзор.
Уведомляют ли о выездной проверке
В большинстве случаев о выездной проверке Роскомнадзора оператор персональных данных уведомляется заранее. Уведомление направляется в установленной форме и содержит сведения о дате начала проверки, её предмете и основании проведения.
Как правило, уведомление:
-
направляется по официальным каналам связи;
-
поступает за установленный законом срок до начала проверки;
-
содержит реквизиты распоряжения о проведении проверки.
Однако существуют ситуации, когда выездная проверка может начаться без предварительного уведомления. Это возможно, если проверка проводится в рамках внепланового контроля при наличии признаков нарушений, создающих угрозу правам и законным интересам субъектов персональных данных, либо при проверке исполнения ранее выданных предписаний.
На практике даже при наличии уведомления у оператора остаётся ограниченное время для подготовки, поэтому отсутствие системной готовности документов и процессов существенно увеличивает риски выявления нарушений.
Как начинается выездная проверка
Выездная проверка Роскомнадзора начинается с прибытия проверяющих по месту осуществления деятельности оператора персональных данных. До начала каких-либо контрольных действий представители Роскомнадзора обязаны соблюсти установленную процедуру.
Как правило, в начале проверки:
-
проверяющие предъявляют служебные удостоверения;
-
вручается или предъявляется распоряжение (приказ) о проведении проверки;
-
уточняется предмет и объём проверки;
-
определяется ответственное лицо со стороны оператора;
-
фиксируется дата и время начала проверки.
Оператор вправе ознакомиться с распоряжением о проведении проверки и проверить полномочия проверяющих. С этого момента проверка считается начатой, и все действия оператора и проверяющих могут быть зафиксированы в акте проверки.
Важно, что проверка проводится строго в пределах предмета, указанного в распоряжении. Выход за эти рамки может быть основанием для последующего обжалования результатов проверки.
Что проверяют при выездной проверке
В ходе выездной проверки Роскомнадзор проверяет не только наличие документов, но и реальное выполнение требований законодательства о персональных данных. Основная задача — установить, соответствует ли фактическая обработка персональных данных сведениям, заявленным оператором.
В первую очередь проверяются:
-
наличие и корректность уведомления об обработке персональных данных;
-
организационно-распорядительная документация по защите персональных данных;
-
приказы о назначении ответственных лиц;
-
кадровые документы, содержащие персональные данные работников;
-
порядок доступа сотрудников к персональным данным;
-
условия хранения персональных данных;
-
фактические процессы обработки персональных данных;
-
использование сайта и онлайн-сервисов для сбора персональных данных.
Проверяющие сопоставляют документы с реальной практикой работы сотрудников. Несоответствие документов фактическим процессам рассматривается как самостоятельное нарушение.
Какие действия вправе совершать проверяющие
В рамках выездной проверки представители Роскомнадзора обладают установленными законом полномочиями, направленными на выявление и фиксацию нарушений требований законодательства о персональных данных. Все действия проверяющих должны осуществляться в пределах предмета проверки, указанного в распоряжении.
В ходе проверки проверяющие вправе:
-
осматривать помещения, в которых осуществляется обработка персональных данных;
-
проверять условия хранения документов и носителей с персональными данными;
-
запрашивать и изучать документы, относящиеся к предмету проверки;
-
получать копии документов и выписки из них;
-
опрашивать сотрудников и ответственных лиц;
-
запрашивать письменные объяснения;
-
фиксировать выявленные нарушения.
При этом проверяющие не вправе требовать документы и сведения, не относящиеся к предмету проверки, либо вмешиваться в деятельность оператора за пределами контрольных полномочий. Нарушение процедуры проведения проверки может быть использовано оператором при обжаловании её результатов.
Сроки выездной проверки
Сроки проведения выездной проверки Роскомнадзора устанавливаются распоряжением о её проведении и зависят от объёма и сложности проверяемых вопросов. При этом законодательством предусмотрены предельные сроки, превышение которых не допускается.
Как правило:
-
выездная проверка проводится в течение установленного базового срока;
-
срок может быть продлён при наличии обоснованных причин;
-
продление оформляется отдельным распоряжением;
-
общий срок проверки не может превышать установленные законодательством пределы.
На практике продолжительность проверки зависит от количества проверяемых процессов, объёма документации и готовности оператора к взаимодействию с проверяющими.
Отсутствие документов или необходимость их дополнительного запроса нередко приводит к увеличению фактической длительности проверки.
Итоги выездной проверки
По завершении выездной проверки Роскомнадзор оформляет акт проверки, в котором фиксируются все выявленные нарушения либо указывается их отсутствие. Акт является основным документом, на основании которого принимаются дальнейшие решения.
По результатам проверки возможно:
-
составление акта с выявленными нарушениями;
-
выдача предписания об устранении нарушений;
-
установление сроков исполнения требований;
-
привлечение оператора к административной ответственности;
-
назначение контрольного мероприятия для проверки исполнения предписаний.
Неисполнение предписаний влечёт риск повторной проверки и усиления мер ответственности.
Оператор вправе ознакомиться с актом проверки, представить письменные возражения и пояснения, а также обжаловать выводы проверяющих в установленном порядке.
Типичные ошибки операторов при выездной проверке
При выездных проверках Роскомнадзора операторы персональных данных часто допускают ошибки, которые усугубляют ситуацию и приводят к фиксации дополнительных нарушений, даже если изначально они могли быть устранены.
Наиболее распространённые ошибки:
-
неподготовленность ответственных лиц и сотрудников к проверке;
-
отсутствие документов «на месте» и попытки предоставить их позже;
-
противоречия между локальными актами и фактическими процессами;
-
избыточные пояснения и комментарии, выходящие за предмет проверки;
-
отсутствие внутренней координации при взаимодействии с проверяющими;
-
попытки срочного исправления документов в ходе проверки.
Такие действия часто воспринимаются проверяющими как подтверждение формального подхода к соблюдению требований 152-ФЗ и увеличивают риск выдачи предписаний и привлечения к ответственности. Профилактический аудит организации помогает избежать этих типичных ошибок, выявив и устранив внутренние противоречия между документами и процессами до начала внешней проверки.
Как подготовиться к выездной проверке
Подготовка к выездной проверке Роскомнадзора должна носить системный характер. Попытка подготовиться после получения уведомления, как правило, не позволяет устранить ключевые риски, поскольку проверяются не только документы, но и реальные процессы обработки персональных данных.
Для снижения рисков рекомендуется:
-
обеспечить наличие и актуальность уведомления об обработке персональных данных;
-
привести в соответствие организационно-распорядительную документацию по защите персональных данных;
-
проверить соответствие кадровых процессов требованиям 152-ФЗ;
-
определить и обучить ответственных лиц и сотрудников;
-
проверить фактическое соблюдение регламентов доступа и хранения персональных данных;
-
провести предварительный аудит сайта и онлайн-сервисов;
-
подготовить порядок взаимодействия с проверяющими.
Операторы, у которых документы и процессы приведены в соответствие на постоянной основе, как правило, проходят выездные проверки без критических последствий.
На практике
На практике выездные проверки Роскомнадзора применяются в отношении операторов, у которых уже выявлялись нарушения либо имеются основания полагать, что требования 152-ФЗ выполняются формально. В первую очередь проверяющие сопоставляют документы с фактической работой сотрудников и условиями обработки персональных данных.
Чаще всего выявляются несоответствия между локальными актами и реальными процессами, отсутствие актуальной документации и неподготовленность персонала. Именно поэтому системная организация обработки персональных данных, а не разовая подготовка «к проверке», является ключевым фактором успешного прохождения выездной проверки Роскомнадзора.
