Можно ли избежать штрафа при первой проверке?

Алексей Ветров

Эксперт по защите данных IC-TECH

Задать вопрос

Штраф при первой проверке по персональным данным не является неизбежным, но и автоматически «прощённым» он не считается. Возможность избежать ответственности зависит от характера выявленных нарушений, поведения оператора в ходе проверки и того, устраняет ли он нарушения добровольно и в установленные сроки.

На практике Роскомнадзор ориентируется не на сам факт первой проверки, а на то, насколько оператор добросовестно исполняет требования закона: если нарушения носят формальный характер, не затрагивают права субъектов персональных данных и оперативно устраняются, вероятность пройти первую проверку без штрафа достаточно высока. Если же выявляются грубые или системные нарушения, штраф назначается независимо от того, первая это проверка или нет.

Когда при первой проверке штрафа можно избежать

Возможность пройти первую проверку без штрафа существует, но она всегда привязана к конкретным условиям и обстоятельствам.

Малозначительные нарушения

К таким нарушениям относятся:

• неточности в формулировках документов;

• отсутствие отдельных локальных актов при наличии системы обработки ПДн;

• отдельные несоответствия между документами и фактическими процессами, не затрагивающие права субъектов.

В подобных случаях Роскомнадзор чаще ограничивается предписанием об устранении нарушений без назначения штрафа.

Отсутствие вреда субъектам персональных данных

Если выявленные нарушения:

• не привели к утечке данных;

• не повлекли незаконного распространения персональных данных;

• не нарушили права граждан,

это существенно снижает вероятность применения штрафных санкций.

Добровольное устранение нарушений до окончания проверки

Если оператор:

• оперативно реагирует на замечания проверяющих;

• устраняет нарушения в срок, указанный в предписании;

• подтверждает устранение документально и фактически,

Роскомнадзор вправе ограничиться мерами административного воздействия без штрафа либо назначить минимальные санкции.

Сотрудничество с Роскомнадзором

Практика показывает, что конструктивное взаимодействие с надзорным органом — один из ключевых факторов при принятии решения о штрафе.
Игнорирование запросов, затягивание сроков, формальные ответы почти всегда работают против оператора.

Готовитесь к первой проверке Роскомнадзора?

Лучше устранить риски заранее, чем платить штрафы

Проведём аудит и подскажем, что исправить до проверки

Оставить заявку

Когда штраф при первой проверке практически неизбежен

Существуют ситуации, при которых факт «первой проверки» не влияет на решение о привлечении к ответственности.

Грубые нарушения требований 152-ФЗ

К ним относятся:

• отсутствие правовых оснований для обработки персональных данных;

• сбор и использование данных без согласий;

• отсутствие политики обработки персональных данных при наличии сайта и форм сбора данных;

• отсутствие мер защиты персональных данных.

В таких случаях штраф назначается независимо от того, первая ли это проверка.

Незаконная обработка персональных данных

Если проверкой установлено, что персональные данные обрабатываются:

• не для заявленных целей;

• в объёме, не соответствующем принципу минимизации;

• без законных оснований,

факт первой проверки не рассматривается как смягчающее обстоятельство.

Утечки персональных данных

Выявление утечки автоматически переводит проверку в разряд серьёзных нарушений.
При этом штрафы назначаются практически всегда, даже если ранее оператор не проверялся.

Роль предписания Роскомнадзора

Предписание — это основной инструмент Роскомнадзора для устранения нарушений без немедленного применения штрафов.

Что такое предписание

Предписание — это официальный документ, в котором:

• перечислены выявленные нарушения;

• указаны требования по их устранению;

• установлен срок исполнения.

Как предписание влияет на ответственность

Если предписание:

• исполнено полностью;

• в установленный срок;

• без формального подхода,

это может:

• исключить штраф;

• либо существенно снизить его размер;

• быть признано смягчающим обстоятельством.

Когда исполнение предписания не спасает от штрафа

Исполнение предписания не освобождает от ответственности, если:

• нарушения грубые;

• имел место вред субъектам ПДн;

• нарушение выявлено повторно;

• нарушения носят системный характер.

Какие нарушения чаще всего фиксируются при первой проверке

На практике при первых проверках Роскомнадзор почти всегда выявляет одни и те же типовые проблемы.

Отсутствие ОРД по персональным данным

Чаще всего у операторов отсутствует или формально оформлена организационно-распорядительная документация, что рассматривается как системное нарушение.

Для устранения этого риска разрабатывают организационно-распорядительную документацию по защите персональных данных.

Отсутствие или ошибки в уведомлении

Распространены случаи, когда:

• уведомление не подано вовсе;

• сведения не соответствуют реальной обработке данных;

• уведомление не актуализировалось годами.

Нарушения на сайте

Практически всегда выявляются проблемы, связанные с сайтом:

• отсутствие или формальность политики конфиденциальности;

• отсутствие согласий;

• некорректная работа с cookies и аналитикой.

Несоответствие документов реальным процессам

Даже при наличии документов проверяющие выявляют, что они не применяются на практике и не отражают фактическую деятельность оператора.

Как подготовиться к первой проверке, чтобы избежать штрафа

Избежать штрафов при первой проверке можно только при системной подготовке, а не за счёт формального «набора документов».

Провести аудит обработки персональных данных

Необходимо определить:

• какие персональные данные реально обрабатываются;

• в каких процессах;

• на каких правовых основаниях;

• кто и как имеет доступ к данным.

Привести документы в соответствие

Все документы должны:

• соответствовать реальной деятельности;

• быть актуальными;

• быть согласованными между собой.

Привести сайт в соответствие требованиям закона

Для этого проводят аудит сайта на соблюдение законодательства по защите информации и актуализируют уведомление в Роскомнадзор.

Первая проверка — самый важный контрольный этап

Именно здесь формируется отношение регулятора к оператору

Приведём документы и сайт в соответствие требованиям 152-ФЗ

Оставить заявку

Типовые ошибки, из-за которых штрафуют даже при первой проверке

• формальный подход к разработке документов;

• использование шаблонов без адаптации;

• отсутствие фактического исполнения требований;

• несоответствие документов и процессов;

• игнорирование рекомендаций проверяющих.

На практике

На практике штраф при первой проверке — это не правило, а следствие ошибок оператора.
В большинстве случаев компании, которые заранее выстраивают систему обработки персональных данных, проходят первую проверку без санкций либо с минимальными последствиями.

Системная работа с персональными данными — это не способ «уйти от штрафа», а способ не создавать для него оснований.

Не хотите рисковать штрафами при первой проверке?

Доверьте защиту персональных данных профессионалам

Создадим индивидуальный пакет документов и выстроим систему защиты ПДн под ваш бизнес под ключ

Подробнее об услуге