Подготовка к проверке Роскомнадзора

Подготовка к проверке Роскомнадзора начинается задолго до получения уведомления о контрольном мероприятии. Чтобы успешно пройти проверку, нужно убедиться, что документы соответствуют требованиям законодательства, процессы обработки персональных данных организованы корректно, а обязательные меры защиты реализованы на практике. Мы проведем комплексную подготовку вашей компании и поможем устранить выявленные несоответствия.

Когда назначают проверку и инспекционный визит Роскомнадзора

Для большинства субъектов малого и среднего бизнеса действует мораторий на плановые проверки. Он продлен до 2030 года. Но мораторий не отменяет внеплановый контроль. Проверка или инспекционный визит могут быть назначены в следующих случаях:

• поступила жалоба от пользователя;
• выявлены индикаторы риска;
• компания отнесена к высокой категории риска.

Отдельно от проверок Роскомнадзор ведёт постоянный мониторинг сайтов. В ходе мониторинга проверяют:

• наличие политики обработки персональных данных;
• содержание политики;
• корректность форм согласия;
• работу с cookie.

Результаты мониторинга могут стать основанием для проведения контрольных мероприятий.

Что делать, если вы уже получили уведомление о проверке?

Если проверка уже назначена, времени на полноценный аудит может не быть. Сначала разбираем, что именно запрашивает Роскомнадзор и в какой срок нужно ответить. В первую очередь устраняем нарушения, которые инспектор увидит сразу — отсутствие уведомления, ответственного или базовых согласий, — и после этого дорабатываем остальную документацию.

Что чаще всего выявляют при проверках?

Практика проверок показывает, что большинство нарушений связано не со сложными требованиями законодательства, а с отсутствием актуальных документов, несоответствием внутренних процессов требованиям 152-ФЗ и неполным учетом операций по обработке персональных данных. Ниже — нарушения, которые встречаются чаще всего:

• отсутствует уведомление об обработке персональных данных;
• уведомление устарело и не отражает текущую деятельность компании;
• политика обработки персональных данных не соответствует фактическим процессам;
• отсутствуют отдельные согласия под разные цели обработки;
• не назначен ответственный за организацию обработки персональных данных;
• отсутствуют документы по хранению и уничтожению персональных данных;
• сайт собирает cookie-файлы без необходимых уведомлений и согласий;
• используются сервисы (CRM, аналитика, рассылки), не отражённые в документации.

Ответственность за нарушения, выявленные при проверке

За нарушения в сфере персональных данных предусмотрена ответственность по статье 13.11 КоАП РФ.

Проверка может выявить разные нарушения:

• отсутствие уведомления в Роскомнадзор;
• неактуальные сведения в уведомлении;
• обработка данных без согласия;
• отсутствие документов о мерах защиты информации.

Размер штрафа зависит от конкретного нарушения. Конкретная сумма зависит от состава нарушения, статуса компании и того, повторное это нарушение или нет.

• минимальный штраф для организации: от 30 000 рублей (за отсутствие политики обработки ПДн);
• максимальный штраф для организации: до 15–20 млн рублей

За повторные нарушения — оборотные штрафы от 1% до 3% годовой выручки, но не менее 20 млн рублей и не более 500 млн рублей.

Штрафы за утечку данных зависят от масштаба: при утечке данных от 1 000 до 10 000 субъектов — от 3 до 5 млн рублей, от 10 000 до 100 000 субъектов — от 5 до 10 млн рублей, более 100 000 субъектов — от 10 до 15 млн рублей, за утечку специальных категорий данных — от 10 до 15 млн рублей, биометрических — от 15 до 20 млн рублей.

Аудит персональных данных: что входит в подготовку к проверке?

Проверяем сайт компании

политику конфиденциальности, формы согласия, работу с cookie-файлами

Проводим аудит документов и процессов

сверяем уведомление в Роскомнадзор, локальные акты, согласия и реальную практику обработки данных в компании; это ключевой этап, на нём выявляется большинство расхождений.

Формируем список замечаний с приоритетом

что нужно исправить в первую очередь, а что можно доработать позже.

Готовим или актуализируем документы

политику обработки персональных данных, документы, определяющие перечень лиц, допущенных к обработке персональных данных, согласия, документы по учёту и уничтожению данных.

Разбираем вероятный сценарий проверки

какие вопросы обычно задают инспекторы и как на них отвечать.

Если хотя бы один пункт из этого списка похож на ситуацию в вашей компании — это повод провести аудит персональных данных до того, как на него обратит внимание проверяющий.

Что вы получаете в результате подготовки к проверке Роскомнадзора?

• актуальное уведомление в Роскомнадзор об обработке персональных данных;
• комплект локальных нормативных актов по обработке персональных данных;
• оформленные согласия под все цели обработки;
• документы, определяющие порядок и лиц, допущенных к обработке персональных данных;
• проверенный и приведённый в соответствие сайт компании;
• разобранный сценарий проверки и готовность к запросам инспектора.

Почему аудит по 152-ФЗ доверяют нам?

Разбираемся в формате к
онкретной проверки

плановая, внеплановая проверка или инспекционный визит требуют разного объёма и скорости подготовки.

Готовим документы,
а не только рекомендации

на выходе у компании остаётся комплект документов , который можно предъявить проверяющим.

Если проверка назначена
через несколько дней

устраняем нарушения, которые инспектор увидит в первую очередь, а затем дорабатываем остальную документацию.

Прямо говорим, что можно исправить, а что нет

не обещаем результат, который невозможен юридически.

Подготовим к проверке Роскомнадзора

Проверяющие уже в пути или только планируют визит? Мы поможем привести документы и процессы в порядок, чтобы инспектор не нашёл повода для штрафа.

Проанализируем ситуацию

Проконсультируем

Подготовим предложение

Я соглашаюсь с политикой конфиденциальности и даю согласие на обработку персональных данных

Частые вопросы