Проверки‚ проводимые Федеральной службой по надзору в сфере связи‚ информационных технологий и массовых коммуникаций (Роскомнадзор)‚ являются важным элементом контроля за соблюдением требований законодательства о персональных данных (152‑ФЗ) и о средствах связи. Операторы персональных данных‚ а также организации‚ обрабатывающие сведения‚ обязаны подготовить определённый пакет документов‚ которые контролёры вправе запросить и потребовать предъявить в ходе инспекции.

Правовая база‚ регулирующая проверку

Основные нормативные акты‚ определяющие порядок и предмет проверок:

• Федеральный закон № 152‑ФЗ «О персональных данных»;
• Приказ Роскомнадзора от № 353 «Об утверждении Положения о порядке проведения проверок операторов персональных данных»;
• Кодекс Российской Федерации об административных правонарушениях (КоАП РФ) – статья 19.4.1 (воспрепятствование проверке);
• Приказы и методические рекомендации Роскомнадзора‚ издаваемые ежегодно.

Кому и в каком виде предъявляются документы

Контролёры могут запрашивать документы в двух формах:

1. На месте проведения инспекционного визита – оригиналы или заверенные копии‚ представленные уполномоченному представителю организации;
2. В электронном виде – через портал «Госуслуги»‚ электронную почту или специализированную площадку Роскомнадзора (в зависимости от указаний в уведомлении о проверке).

Перечень обязательных документов

Документы‚ подтверждающие полномочия представителя

• Приказ о назначении должностного лица (уполномоченного представителя)‚ которое обязано представлять интересы юридического лица при проведении проверки;
• Приказ о назначении ответственного за организацию обработки персональных данных (далее – ОПД);
• Доверенность (если представителем выступает лицо‚ не являющееся сотрудником организации).

Документы‚ фиксирующие факт и цели обработки ПДн

• Уведомление в Роскомнадзор о начале обработки персональных данных (по форме‚ установленной Приказом № 353);
• Регистрация в реестре операторов персональных данных (если требуется по закону);
• Документ «Согласие субъекта персональных данных» (образцы согласий‚ журналы их получения);
• Политика конфиденциальности и правила обработки ПДн‚ размещённые на сайте (копия актуального варианта).

Внутренние локальные акты и регистры

• Положение об обработке персональных данных (внутренний нормативный акт);
• Журнал регистрации операций обработки персональных данных (журнал учета ПДн);
• Журнал учета запросов субъектов ПДн и их удовлетворения;
• Документ «Оценка воздействия обработки персональных данных на защищённость прав и свобод субъектов» (если проводится);
• Акт внутреннего аудита (результаты проверок соответствия 152‑ФЗ).

Договорные и технические документы

• Договоры с операторами‑обработчиками (третими лицами)‚ включающие обязательства по соблюдению требований 152‑ФЗ;
• Технические регламенты и схемы информационных систем‚ где хранятся ПДн (схемы сети‚ перечень серверов‚ места хранения);
• Сертификаты и лицензии (например‚ лицензия на обработку специальных категорий ПДн‚ если она требуется);
• Документы‚ подтверждающие наличие и актуальность средств защиты (антивирусные сертификаты‚ протоколы тестирования уязвимостей).

Документы‚ связанные с передачей ПДн за границу

• Согласие субъекта ПДн на трансграничную передачу (если требуется);
• Договоры с иностранными получателями‚ содержащие обязательства по защите ПДн;
• Отчёт о проведённой оценке риска при передаче данных за рубеж.

Прочие документы общего характера

• Устав (учредительные документы) организации;
• Список сотрудников‚ имеющих доступ к персональным данным (с указанием уровня доступа);
• Копии актов о проведении обучения персонала по вопросам защиты ПДн;
• Протоколы совещаний‚ где обсуждались вопросы обработки ПДн (при необходимости).

Права и обязанности контролёров

Контролёры Роскомнадзора в ходе проверки имеют право:

• Запрашивать любые документы‚ указанные в перечне выше‚ а также дополнительные материалы‚ необходимые для реализации их полномочий;
• Осуществлять осмотр помещений‚ оборудования‚ серверных помещений‚ а также копировать (фотографировать) документы;
• Брать интервью у сотрудников‚ ответственных за обработку ПДн;
• Составлять протокол проверки‚ в котором фиксируются выявленные нарушения и рекомендации.

Организация обязана:

• Обеспечить доступ к помещениям и документам без препятствий;
• Предоставить оригиналы или заверенные копии запрошенных документов в установленный срок;
• Своевременно отвечать на запросы контролёров (не более 5 рабочих дней‚ если иное не предусмотрено уведомлением);
• Не препятствовать работе инспекторов – в противном случае может быть наложен штраф по КоАП РФ.

Как подготовиться к проверке: практический чек‑лист

1. Назначьте ответственного за подготовку документов (обычно – Директор по информационной безопасности);
2. Соберите приказы о назначении уполномоченного представителя и ответственного за ОПД;
3. Проверьте актуальность уведомления о начале обработки ПДн и наличие всех подтверждающих копий;
4. Обновите журналы учёта операций и запросов субъектов данных за последние 12 месяцев;
5. Убедитесь‚ что политика конфиденциальности и положения об обработке ПДн соответствуют текущему законодательству;
6. Соберите все договоры с обработчиками и проверьте наличие пунктов о соблюдении 152‑ФЗ;
7. Подготовьте техническую документацию (схемы ИТ‑инфраструктуры‚ протоколы тестов защиты);
8. Если есть передача ПДн за границу – подготовьте согласия и договоры с иностранными партнёрами;
9. Сформируйте пакет обучающих материалов (протоколы обучения персонала);
10. Проведите внутренний «пробный аудит»‚ чтобы выявить возможные пробелы до приезда контролёров.

Последствия несоблюдения требований

Если в ходе проверки будет выявлено отсутствие обязательных документов или их несоответствие требованиям‚ к организации могут быть применены следующие меры:

• Выдача предписания об устранении нарушений в установленный срок;
• Наложение административного штрафа (от 100 000 до 500 000 рублей в зависимости от характера нарушения);
• При повторных или тяжких нарушениях – приостановление деятельности оператора персональных данных;
• Внесение информации о нарушении в публичный реестр операторов‚ что может негативно сказаться на репутации.

Контролёры Роскомнадзора имеют широкие полномочия по запросу документов‚ подтверждающих законность и безопасность обработки персональных данных. Чтобы избежать штрафов и сохранить репутацию‚ организациям необходимо заранее собрать и систематизировать весь перечень обязательных бумаг‚ а также обеспечить прозрачный доступ к ним во время инспекции. Регулярное обновление локальных актов‚ проведение внутренних аудитов и обучение персонала – лучшие практики‚ позволяющие успешно пройти проверку.

Дата актуализации: