Какие нарушения по персональным данным выявляют чаще всего?

Алексей Ветров

Эксперт по защите данных IC-TECH

Задать вопрос

Роскомнадзор при проверках операторов персональных данных чаще всего выявляет не технические утечки или сложные нарушения, а системные и формальные несоответствия требованиям законодательства. В большинстве случаев нарушения связаны с отсутствием обязательных документов, ошибками в уведомлении и несоответствием бумажных регламентов фактической деятельности.

Практика показывает, что даже у операторов, которые осознанно обрабатывают персональные данные и не допускают явных инцидентов, выявляются нарушения из-за формального подхода к требованиям 152-ФЗ. Именно такие нарушения становятся основанием для предписаний, повторных проверок и административной ответственности.

Общая практика выявления нарушений Роскомнадзором

Нарушения в сфере персональных данных выявляются Роскомнадзором как в ходе проверок, так и без их формального проведения — в рамках камерального контроля и рассмотрения обращений субъектов персональных данных. Существенная часть нарушений обнаруживается дистанционно, без выезда к оператору.

Основные источники выявления нарушений:

• мониторинг реестра операторов персональных данных;

• анализ информации, размещённой на сайтах и в онлайн-сервисах;

• жалобы субъектов персональных данных;

• обращения работников и бывших сотрудников;

• результаты ранее проведённых проверок и контроль исполнения предписаний.

Одни и те же ошибки выявляются у разных операторов независимо от размера бизнеса и отрасли. Это связано с тем, что требования 152-ФЗ часто воспринимаются формально, без внедрения в реальные процессы обработки персональных данных.

Отсутствие или ошибки в уведомлении об обработке персональных данных

Одним из самых распространённых нарушений, выявляемых при проверках, является отсутствие уведомления об обработке персональных данных либо наличие в нём существенных ошибок. Это нарушение фиксируется как при камеральном контроле, так и при внеплановых проверках.

Чаще всего выявляются следующие проблемы:

• уведомление об обработке персональных данных не подано вовсе;

• указанные в уведомлении цели обработки не соответствуют фактической деятельности;

• неверно определены категории персональных данных и субъектов;

• не указаны используемые информационные системы и онлайн-сервисы;

• изменения в деятельности оператора не отражены в уведомлении.

Для устранения этого риска требуется подача уведомления в Роскомнадзор с последующей обязательной актуализацией сведений при любых изменениях в обработке персональных данных.

Отсутствие организационно-распорядительной документации

Одним из наиболее частых и одновременно наиболее существенных нарушений является отсутствие организационно-распорядительной документации по защите персональных данных либо её формальный характер. Это нарушение выявляется практически при каждой выездной, внеплановой или инспекционной проверке.

Типовые проблемы в этой части:

• полное отсутствие организационно-распорядительных документов;

• наличие только политики конфиденциальности без иных обязательных актов;

• использование универсальных шаблонов без учета специфики деятельности;

• несоответствие документов фактическим процессам обработки персональных данных;

• отсутствие приказов о назначении ответственных лиц;

• устаревшие документы, не учитывающие изменения законодательства или деятельности оператора.

На практике именно отсутствие полноценного комплекта ОРД рассматривается Роскомнадзором как признак системного несоблюдения требований 152-ФЗ.

Пакет документов для вашей организации

Разработаем документы по защите персональных данных

Берём на себя всё оформление: от политики обработки персональных данных до приказов и журналов.

Оставить заявку

Нарушения при обработке персональных данных работников

Отдельную группу часто выявляемых нарушений составляют нарушения, связанные с обработкой персональных данных работников. Даже у операторов, не ведущих активную работу с клиентскими базами, кадровые процессы становятся источником замечаний со стороны Роскомнадзора.

Наиболее распространённые нарушения:

• сбор избыточных персональных данных работников без законных оснований;

• отсутствие оформленных согласий работников в случаях, когда они требуются;

• отсутствие правового обоснования обработки персональных данных;

• неразграниченный доступ к кадровым данным;

• нарушение сроков хранения кадровых документов;

• передача персональных данных работников третьим лицам без надлежащего оформления.

Нарушения в кадровой части выявляются как при проверках документов, так и при анализе фактических процессов внутри организации, и часто фиксируются даже при наличии общей документации по персональным данным, поскольку именно регламенты, инструкции и приказы по работе с кадровыми данными составляют обязательную часть организационно-распорядительной документации, и их отсутствие или формальность приравниваются к нарушению.

Нарушения при обработке персональных данных через сайт

Обработка персональных данных через сайт является одной из самых частых причин выявления нарушений, поскольку такие нарушения легко обнаруживаются в ходе камерального контроля и мониторинга без выезда к оператору.

На практике чаще всего выявляются:

• отсутствие политики конфиденциальности на сайте либо её формальный характер;

• несоответствие политики конфиденциальности фактическим способам обработки персональных данных;

• отсутствие корректных согласий пользователей на обработку персональных данных;

• сбор персональных данных через формы обратной связи без законных оснований;

• некорректная работа с cookies и системами веб-аналитики;

• использование сторонних сервисов (CRM, формы, чаты) без документального оформления передачи данных.

Для выявления и устранения таких нарушений необходимо своевременно проводить аудит сайта на соблюдение законодательства по защите информации, а для корректного оформления обязательных материалов — разработать документы по защите персональных данных для сайта в соответствии со всеми требованиями регулятора.

Незаконная передача персональных данных третьим лицам

Ещё одной распространённой группой нарушений является передача персональных данных третьим лицам без надлежащего правового и документального оформления. Такие нарушения выявляются как при анализе договоров, так и при сопоставлении фактических процессов с уведомлением и локальными актами оператора.

Чаще всего фиксируются следующие нарушения:

• передача персональных данных подрядчикам без договора поручения обработки;

• отсутствие в договорах условий о конфиденциальности и мерах защиты персональных данных;

• передача избыточного объёма персональных данных, не соответствующего заявленным целям;

• использование облачных сервисов, CRM и сервисов рассылок без правового оформления;

• несоответствие фактической передачи персональных данных сведениям, указанным в уведомлении.

Роскомнадзор рассматривает такие нарушения как повышенный риск для прав субъектов персональных данных, поскольку оператор утрачивает контроль над дальнейшей обработкой данных.

Хотите защитить организацию от штрафов?

Подготовим документы по персональным данным

Разработаем и внедрим пакет документов, приведём сайт и процессы в соответствие требованиям законодательства РФ

Оставить заявку

Несоблюдение прав субъектов персональных данных

Нарушения, связанные с несоблюдением прав субъектов персональных данных, выявляются Роскомнадзором всё чаще, поскольку именно обращения граждан становятся основанием для проверок и контрольных мероприятий.

Наиболее типичные нарушения в этой части:

• отсутствие установленного порядка рассмотрения обращений субъектов персональных данных;

• игнорирование запросов о предоставлении информации об обработке персональных данных;

• нарушение сроков ответа на обращения и требования субъектов;

• отказ в реализации прав без законных оснований;

• отсутствие фиксирования и учета обращений субъектов персональных данных.

Отсутствие фактического исполнения требований

Повторяющиеся нарушения при проверках

При повторных проверках Роскомнадзор нередко выявляет одни и те же нарушения, которые уже фиксировались ранее. Это свидетельствует о формальном устранении замечаний или отсутствии системного подхода к соблюдению требований законодательства.

Наиболее часто повторяются:

• нарушения, связанные с отсутствием или формальностью организационно-распорядительной документации;

• несоответствие уведомления фактической обработке персональных данных;

• нарушения при обработке персональных данных через сайт;

• игнорирование замечаний, указанных в предписаниях;

• частичное или формальное исполнение требований контролирующего органа.

Такие повторяющиеся нарушения, как правило, становятся основанием для усиления контроля, проведения внеплановых проверок и применения мер административной ответственности.

Не хотите рисковать штрафами?

Доверьте защиту персональных данных профессионалам

Создадим индивидуальный пакет документов и выстроим систему защиты данных под ваш бизнес под ключ.

Подробнее об услуге