Проверка Роскомнадзора по персональным данным: что спросят у компании и где найдут пробелы

Инспектор Роскомнадзора не открывает сайт и не читает политику с экрана, на это у него уйдет минута. Дальше он задает один простой вопрос: «Покажите, где в CRM зафиксировано согласие вот этого клиента» или «Кто в компании имеет доступ к личным делам сотрудников и почему». И вот здесь у большинства компаний начинается пауза. Политика есть, приказ об ответственном есть, а связать документ с конкретной системой и конкретным человеком за пять минут не получается почти никогда.

Проверка РКН по ПДн редко ограничивается политикой на сайте. Инспектор смотрит, совпадают ли документы с реальными процессами: сайт, CRM, HR, бухгалтерия, подрядчики, локализация, запросы субъектов и инциденты. Разбираем, что собрать до запроса регулятора и почему «папка с политиками» это не про подготовку, а про иллюзию подготовки.

Персональные данные давно перестали быть только ФИО и номером телефона. В компании могут обрабатываться паспортные сведения, данные сотрудников, кандидатов, клиентов, изображения, сведения о здоровье, иногда биометрия. Ошибка в таких процессах затрагивает не только юридический отдел. Она влияет на продажи, доверие клиентов, работу HR, отношения с подрядчиками и устойчивость сервиса.

Проверка охватывает всю цепочку: от цели сбора до хранения, доступа, передачи, уничтожения и ответа субъекту.

Даже если бизнес рассчитывает на мораторий или низкую вероятность планового визита, публичные нарушения и обращения субъектов могут привести к вниманию регулятора.

Отдельная зона внимания — согласие на распространение персональных данных (ст. 10.1 152-ФЗ), работа с несовершеннолетними, специальные категории данных (ст. 10 152-ФЗ), биометрия (ст. 11 152-ФЗ) и трансграничная передача (ст. 12 152-ФЗ).

Проверка по ПДн — это проверка управляемости процессов. Если компания не может быстро объяснить, где какие данные находятся и кто за них отвечает, вопрос уже вышел за пределы юридического отдела.

Начинать подготовку лучше с карты обработки. Без нее нельзя корректно выбрать правовые основания, обновить уведомление, проверить подрядчиков, настроить доступы и понять, какие согласия действительно нужны.

Процессы и системы. Нужно описать, где компания собирает и хранит персональные данные: формы на сайте, приложение, прием резюме, кадровые процессы, расчет зарплаты, видеонаблюдение, CRM-коммуникации, рассылки, биллинг, техническая поддержка. По каждому процессу стоит зафиксировать источник данных, состав ПДн, систему хранения, среду обработки: продуктив, тестовую базу, архив, резервную копию. Отдельно укажите подразделение-владельца процесса. Именно здесь часто выясняется, что часть данных обрабатывается в сервисах, которых нет ни в политике, ни в уведомлении, ни в договорной схеме с подрядчиками.

Категории данных и уровень внимания. ФИО и контакты требуют одного контроля, сведения о здоровье или биометрия — другого. Для каждой группы нужно указать цель и основание обработки: договор, требование закона, согласие, защита жизни и здоровья или другое основание из ч. 1 ст. 6 152-ФЗ. Такой разбор помогает не собирать согласия на все подряд и не пропускать случаи, где согласие должно быть отдельным или письменным.

Роли и ответственность. Компания должна понимать, где она оператор, а где обрабатывает данные по поручению другого оператора. Отдельно нужно зафиксировать контрагентов, которые получают доступ к данным: хостинг, CRM, кадровых и бухгалтерских подрядчиков, техподдержку, сервисы рассылок, ЭДО, архивное хранение. Когда в цепочке появляются оператор, обработчик и субподрядчики, возрастает риск перепутать ответственность сторон и требования к поручению. Перед проверкой это лучше разобрать заранее, а не в момент, когда инспектор запросил договоры и описание потоков данных.

Для компаний, где процессы регулярно меняются, карту обработки неудобно вести в разрозненных таблицах у разных отделов. В таких задачах можно использовать Privacy Box: он помогает собрать процессы, основания, системы и подрядчиков в управляемую модель, а не восстанавливать картину перед каждой проверкой вручную.

Назначить ответственного за организацию обработки персональных данных приказом по компании нужно по ст. 18.1 152-ФЗ. Но один человек не может знать все детали сайта, кадровых процессов, зарплатного контура, CRM, рассылок, ИСПДн, архивов и договоров с подрядчиками. Поэтому перед проверкой нужна карта ответственности — кто внутри компании отвечает за факты, документы, системы и решения: 

• директор утверждает приказы и план устранения пробелов, юрист отвечает за уведомление, политику, согласия и поручения, 

• HR — за кадровые формы и доступы к HR-системам, 

• ИТ/ИБ — за перечень ИСПДн, модель угроз и меры защиты, 

• бухгалтерия — за зарплатный контур и договоры с подрядчиками, 

• владельцы бизнес-процессов — за то, что документы описывают реальные операции.

Эта цепочка быстро вскрывает разрыв: юрист описал один процесс, HR ведет его иначе, бухгалтерия передает данные подрядчику по старому договору, а ИТ не знает, что в системе должны быть настроены выгрузка и удаление. 

Для сотрудника, которому ПДн достались как дополнительная задача, карта ответственности дает главный управленческий аргумент: подготовка к проверке не может лежать на одном человеке.

Шаблон политики на сайте не решает задачу, если он не совпадает с фактической обработкой. Роскомнадзор смотрит не только на наличие файла, но и на его содержание, актуальность и связь с процессами.

На внешних ресурсах публикуется политика обработки персональных данных. В ней должны быть описаны цели, правовые основания, объем и категории данных, категории субъектов, порядок и условия обработки, правила актуализации, удаления и уничтожения, а также порядок ответа на запросы субъектов. Для сотрудников лучше подготовить отдельную внутреннюю политику или положение об организации обработки ПДн. Так кадровые процессы, сайт, клиенты и внутренние ИСПДн не смешиваются в один перегруженный документ.

Отдельно проверьте уведомление по ст. 22 152-ФЗ: подавалось ли оно, какие цели и категории данных указаны, какие ИСПДн отражены, есть ли сведения о трансграничной передаче, если она фактически происходит.

Согласия тоже нужно смотреть не как набор подписанных форм, а как доказательство конкретного правового основания. Согласие должно быть предметным: для какой цели оно дается, какие категории данных обрабатываются, на какой срок, кому данные передаются. Письменная форма требуется в случаях, прямо предусмотренных законом, например при обработке специальных категорий данных или биометрии. Для онлайн-форм нужно обеспечить фиксацию волеизъявления: чекбокс с логом, код из SMS или электронную подпись, если она применима к конкретному сценарию.

Частая ошибка — смешивать обычную обработку и распространение персональных данных. Если данные публикуются для неограниченного круга лиц, работает ст. 10.1 152-ФЗ, и согласие на распространение оформляется отдельно.

Когда документы давно не сверялись с сайтом, CRM, HR, бухгалтерией и подрядчиками, лучше обновлять не один файл, а всю связку: политика, согласия, поручения, уведомление и внутренние регламенты. Для этого подходит разработка и актуализация документов по 152-ФЗ.

Если третье лицо обрабатывает данные по поручению оператора, в договоре нужно закрепить перечень персональных данных, действия с ними, цели обработки, требования к безопасности, порядок уничтожения, правила привлечения субобработчиков, уведомления об инцидентах и запросах субъектов. Эти требования установлены ч. 3 ст. 6 152-ФЗ.

Если компания получает данные от третьих лиц, нужно проверить законность передачи и объем данных. Риск возникает не только у того, кто передал лишнее, но и у того, кто принял и начал обрабатывать данные без понятного основания.

Перед проверкой полезны не только договоры. Нужны приказы о назначении ответственного за организацию обработки ПДн и утверждении документов, реестр процессов обработки, журнал обращений субъектов, журнал инцидентов и уведомлений, акты уничтожения персональных данных. Эти документы показывают, что правила существуют не только на бумаге.

Даже точные документы не помогут, если сотрудники продолжают действовать по привычке. Доступ к ИСПДн — по принципу необходимости для работы, роли и права фиксируются и пересматриваются при переводах и увольнениях, для подрядчиков — отдельные учетные записи (общий логин делает невозможным установить, кто именно совершал действия с данными).

Сроки хранения должны быть привязаны к процессам: архивация, очистка логов, удаление из рабочих контуров и резервных копий для электронных систем; режим хранения, ответственное лицо и акты уничтожения — для бумажных.

Обучение не должно сводиться к формальной подписи в листе ознакомления. В него стоит включить реальные рабочие вопросы: как ответить на запрос субъекта, как зафиксировать согласие на рассылку, что делать при отзыве согласия на распространение. Для команд, где ПДн ведут HR, бухгалтерия, маркетинг и ИТ, полезно провести короткое обучение по персональным данным под реальные процессы: запросы субъектов, согласия, рассылки, подрядчики, утечки и удаление данных.

Запросы субъектов лучше принимать через понятный канал — отдельный ящик или форму — с шаблонами реакций на доступ, исправление, удаление, ограничение, отзыв согласия и возражение. Инциденты требуют отдельного регламента: критерии события, участники, сроки уведомлений, шаблоны сообщений, журнал расследования.

Самопроверка работает как генеральная репетиция. Ее цель — найти расхождения до того, как это сделает проверяющий.

1. Сопоставьте документы и фактическую обработку. Формы сайта, сценарии CRM, приложение, рассылки, кадровые и бухгалтерские процессы, договоры с подрядчиками. Появились новые цели, категории данных или ИСПДн — обновите уведомление по ст. 22 152-ФЗ.

2. Пройдите проверочный лист как опросник. Правовые основания, согласия, обращения субъектов, локализация, трансграничная передача, хранение, безопасность, журналы. По каждому несоответствию — ответственный и дата исправления.

3. Проверьте сотрудников короткими интервью. Знает ли сотрудник, где найти политику и формы согласий, куда направить запрос субъекта, кто отвечает за инцидент, какие сроки хранения действуют в его процессе.

4. Проведите техническую верификацию. Действительно ли первичная запись данных российских пользователей попадает на инфраструктуру в России (ч. 5 ст. 18 152-ФЗ), корректно ли настроены логирование и резервное копирование, нет ли на сайте иностранных сервисов, из-за которых локализацию не соблюсти технически. Классический пример такого риска — Google Analytics: если текущая схема не дает соблюсти требования, его лучше заменить на отечественный аналог.

Перед проверкой удобно собрать набор артефактов, которые подтверждают работающую модель обработки. 

Этот чек-лист полезен не только юристу. Бухгалтерия видит свой контур (зарплата, отчетность, ЭДО, архивы), HR видит кандидатов и личные дела, ИТ видит ИСПДн и модель угроз, а руководитель видит, что подготовка — это управленческий процесс, а не просьба «сделать документы».

Назначьте одно контактное лицо, которое собирает документы, фиксирует сроки, контролирует ответы и переданные файлы — остальные подразделения взаимодействуют через него, чтобы компания не давала разные версии одной информации. Заранее подготовьте пакет: политики, актуальные согласия, уведомление, перечень ИСПДн, приказы, журналы обращений, акты уничтожения, договоры поручения, модель угроз.

Фиксируйте все запросы, сроки и ответы. Если требование непонятно, уточняйте. Если документ готовится, называйте реалистичную дату и статус, а не обещание исправить все потом. Если дефект уже выявлен, лучше сразу показать план устранения с ответственным и сроком.

На этом этапе часто видно, какие пробелы можно закрыть внутренними силами, а где риск затрагивает сразу документы, ИТ-системы и договоры с подрядчиками. В таких ситуациях помогает аудит соответствия 152-ФЗ: он позволяет сверить готовность к проверке и расставить приоритеты без лишней нагрузки на HR, юриста, ИТ и бухгалтерию.

Недели 1–2 — карта процессов, систем, категорий данных и контрагентов, первичный список пробелов (ответственный за ПДн, ИТ, HR, бухгалтерия, маркетинг). 

Недели 3–4 — обновление политики, положений, согласий, поручений, приказов, проверка уведомления (юрист, ИТ, HR, бухгалтерия). 

Недели 5–6 — самопроверка, тест запросов субъектов, локализация, уничтожение, модель угроз (ответственный за ПДн, ИТ, владельцы процессов). 

Недели 7–8 — сбор папки проверки, репетиция ответов, настольные учения по инциденту (контактное лицо, юрист, ИТ, HR, ИБ, бухгалтерия).

• На каком основании компания обрабатывает персональные данные и чем это подтверждается? 

• Как оформлено согласие на распространение и как субъект может его отозвать? 

• Как обеспечена локализация сбора данных российских пользователей? 

• Как компания исполняет запрос субъекта и проверяет личность заявителя? 

• Как регламентированы сроки хранения и уничтожения? 

• Какие контрагенты имеют доступ к данным и есть ли поручения? 

• Какие ИСПДн используются и определены ли модель угроз и уровень защищенности? 

• Как устроена процедура реагирования на инциденты?

Если на эти вопросы отвечают только юристы, а ИТ, HR, бухгалтерия и владельцы процессов не узнают свои участки в документах, подготовку нельзя считать завершенной.

Системное соответствие — это регулярный пересмотр процессов, актуализация уведомления и документов при изменениях, контроль доступов и сроков хранения, обучение новых сотрудников, проверка подрядчиков. Три опоры: точная карта процессов, документы, отражающие реальную ситуацию, и дисциплина исполнения — доступы, хранение, журналы, обучение, готовность к инциденту.

Начинать лучше с процессов и уведомления по ст. 22 152-ФЗ: проверить, что компания действительно обрабатывает, где это происходит, кто имеет доступ, какие подрядчики участвуют и какие основания указаны в документах. Затем обновить согласия, разнести обработку и распространение, проверить локализацию сбора данных, собрать технические артефакты по ИСПДн и настроить регулярную самопроверку.

Так подготовка к проверке перестает быть авралом перед визитом инспектора и становится управляемой частью операционной модели.

После внутренней самопроверки обычно становится ясно, какие пробелы закрываются силами юриста, HR, ИТ и бухгалтерии, а где нужна внешняя сверка документов, процессов и технических контуров. Для такой задачи можно проверить готовность компании к проверке Роскомнадзора, а для точечной доработки — оставить заявку.

Что Роскомнадзор проверяет по персональным данным? РКН смотрит не только политику на сайте. Проверяются цели обработки, правовые основания, уведомление по ст. 22 152-ФЗ, согласия, сроки хранения, локализация, подрядчики, запросы субъектов, инциденты и документы по безопасности ИСПДн.

С чего начать подготовку к проверке РКН? С карты обработки: какие данные собираются, где хранятся, кто имеет доступ, кому передаются, какие документы это подтверждают.

Достаточно ли иметь политику обработки персональных данных? Нет, она должна совпадать с фактическими процессами: сайтом, CRM, HR, бухгалтерией, подрядчиками, ИТ-системами и сроками хранения.

Кто должен участвовать в подготовке к проверке? Юрист или ответственный за ПДн координирует процесс, но факты дают разные подразделения: HR, бухгалтерия, ИТ, ИБ, маркетинг, владельцы бизнес-процессов и руководитель.

Что чаще всего находят перед проверкой? Неактуальное уведомление, старые формы согласий, отсутствие поручений с подрядчиками, бесконечные сроки хранения, неоформленное распространение ПДн, отсутствие технических подтверждений.

Нужно ли готовить технические документы? Да: перечень систем, доступы, сведения о мерах защиты, модель угроз, уровень защищенности, данные по резервному копированию, логированию, удалению и локализации.

Что делать после самопроверки? Составить план исправлений: что доработать, кто отвечает, к какой дате, какой документ или процесс будет результатом.

Проверьте готовность к проверке РКН

Поможем сверить документы, уведомление, согласия, подрядчиков, ИСПДн, локализацию, запросы субъектов и порядок реагирования на инциденты.

Имя^*

E-mail^*

Телефон^*

Отправить

Нажимая кнопку, я соглашаюсь с пользовательским соглашением, обработкой персональных данных и получением информационных и рекламных рассылок

Реклама: ООО «Б152», ИНН 5050091524, erid: 2W5zFGuU2PB