Дата актуализации: (по информации из открытых источников).

Роскомнадзор – федеральный орган исполнительной власти, осуществляющий надзор в сфере связи, информационных технологий и массовых коммуникаций. Одним из ключевых направлений его деятельности является контроль за соблюдением требований Федерального закона от № 152‑ФЗ «О персональных данных». Ниже представлены ответы на наиболее часто задаваемые вопросы, связанные с конфиденциальностью персональных данных при проверках и надзорных действиях Роскомнадзора.

Основные понятия

• Оператор персональных данных – любое лицо (организация, ИП, самозанятый), которое самостоятельно или совместно с другими лицами осуществляет обработку персональных данных.
• Конфиденциальность персональных данных – обеспечение недоступности данных неавторизованным лицам, их защита от неправомерного доступа, уничтожения, изменения, блокирования, копирования, предоставления и распространения.
• Уведомление в Роскомнадзор – обязательное информирование органа о начале обработки персональных данных, за исключением случаев, когда обработка носит неавтоматизированный характер и объём данных не превышает установленные перечни.

FAQ: Часто задаваемые вопросы

Кто обязан подавать уведомление в Роскомнадзор об обработке персональных данных?

Уведомление подают:

• Юридические лица и индивидуальные предприниматели, если они обрабатывают персональные данные автоматизированными средствами (например, с использованием компьютеров, серверов, облачных сервисов).
• Самозанятые, если обработка осуществляется автоматизированно и объём данных превышает установленные перечни.
• Органы государственной власти и местного самоуправления при обработке данных сотрудников и граждан в рамках своих функций.

Исключение: если обработка носит неавтоматизированный характер (например, ведение бумажных журналов) и объём данных не превышает установленные перечни – уведомление не требуется;

Нужно ли получать согласие субъекта персональных данных при обработке данных работников?

Согласно разъяснениям Роскомнадзора и положениям трудового законодательства, согласие не требуется, если:

• объём обрабатываемых данных не превышает установленные перечни (ФИО, должность, контактные данные, сведения о трудовой деятельности и т.п.);
• цели обработки соответствуют тем, что предусмотрены трудовым законодательством или законодательством о государственной гражданской службе.

В иных случаях (например, обработка биометрических данных, данных о здоровье) согласие обязательно.

Как документально оформить факт уничтожения персональных данных субъекта?

Требования к подтверждению уничтожения персональных данных утверждены приказом Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от № 179 «Об утверждении Требований к подтверждению уничтожения персональных данных».

Для подтверждения необходимо:

1. Составить акт уничтожения, в котором указать:
• наименование оператора;
• документ, основание для уничтожения (например, истёк срок хранения, отзыв согласия);
• список уничтожаемых данных (категории, объём);
• метод уничтожения (шредер, демагнитизация, криптографическое стирание и т.д.);
• дата и место проведения;
• подписи ответственных лиц и печать организации.
2. Приложить к акту:
• журнал учёта операций с персональными данными;
• документы, подтверждающие выбранный метод уничтожения (сертификаты, протоколы испытаний);
• при необходимости – выписку из системы учёта, показывающую удаление записей.
3. Хранить акт уничтожения не менее 5 лет со дня его составления.

Отсутствие надлежащего оформления может быть расценено как нарушение требований закона и повлечь штраф до нескольких миллионов рублей.

Можно ли хранить персональные данные граждан РФ на серверах, расположенных за пределами России?

Хранение персональных данных на территории иностранных государств допускается только при соблюдении одного из следующих условий:

• получение согласия субъекта персональных данных на трансграничную передачу;
• наличие договорных обязательств между оператором и иностранным получателем, обеспечивающих уровень защиты, не меньший, чем предусмотренный законодательством РФ (например, стандартные контрактные положения,Binding Corporate Rules);
• осуществление передачи в рамках международных договоров, участником которых является Россия.

В противном случае такая обработка считается незаконной и может повлечь административную ответственность.

Как Роскомнадзор узнаёт о факте обработки персональных данных оператором?

Роскомнадзор имеет доступ к базам Федеральной налоговой службы (ФНС) и может получать сведения о зарегистрированных юридических лицах, ИП и самозанятых. Кроме того, орган:

• анализирует publicly доступные информационные ресурсы (сайты, мобильные приложения) на предмет наличия форм сбора персональных данных;
• проводит выездные и документарные проверки по обращениям граждан и иных заинтересованных лиц;
• использует автоматизированные системы мониторинга сетевого трафика и обнаружения утечек данных.

Поэтому даже небольшие ИП и самозанятые, обрабатывающие данные клиентов (например, через платформы Авито, доставку, онлайн‑оплату), могут попасть в поле зрения надзора.

Какие штрафы предусмотрены за нарушение требований по защите персональных данных?

Согласно ст. 13.11 КоАП РФ, штрафы составляют:

• для должностных лиц – от 300 000 до 500 000 рублей;
• для индивидуальных предпринимателей – от 400 000 до 500 000 рублей;
• для юридических лиц – от 4 000 000 до 6 000 000 рублей (в зависимости от тяжести нарушения и наличия отягчающих обстоятельств).

При повторных нарушениях или причинении существенного вреда субъектам данных штрафы могут увеличиваться.

Нужно ли подавать уведомление, если обработка персональных данных ведётся неавтоматизированно?

Если обработка носит неавтоматизированный характер (например, ведение бумажных картотеки, ручное заполнение журналов) и объём данных не превышает установленные перечни, уведомление в Роскомнадзор не требуеться. Однако оператор всё равно обязан соблюдать общие принципы защиты персональных данных (конфиденциальность, целостность, доступность) и вести учёт обработки.

Как подготовиться к плановой проверке Роскомнадзора по персональным данным?

Рекомендуемый алгоритм подготовки:

1. Провести внутренний аудит:
• составить перечень всех категорий обрабатываемых персональных данных;
• определить правовые основания обработки (согласие, договор, законное интересы и т.д.);
• проверить наличие и актуальность уведомлений в Роскомнадзоре;
• оценить соответствие мер защиты (технических и организационных) требованиям закона.
2. Обновить внутренние нормативные документы:
• политику конфиденциальности;
• пользовательское соглашение;
• внутренние инструкции по работе с персональными данными;
• план действий при инциденте утечки данных.
3. Обеспечить обучение сотрудников:
• провести инструктаж по основам защиты персональных данных;
• ознакомить с порядком подачи уведомлений и актов уничтожения;
• напомнить о ответственности за нарушения.
4. Подготовить пакет документов для проверки:
• копии уведомлений;
• журналы учёта операций с ПДн;
• акты уничтожения и архивации;
• договоры с подрядчиками, обрабатывающими данные по поручению;
• сертификаты и протоколы тестирования средств защиты информации.
5. Назначить ответственного за взаимодействие с надзорным органом (например, специалиста по защите персональных данных или юриста).

Тщательная подготовка снижает риск выявления нарушений и помогает оперативно отвечать на запросы проверяющих.

Соблюдение требований конфиденциальности персональных данных при надзоре Роскомнадзора – это не только юридическая обязанность, но и важный элемент репутации организации. Понимание порядка уведомления, правил уничтожения данных, особенностей трансграничной передачи и готовности к проверкам позволяет минимизировать риски штрафов и потери доверия со стороны клиентов и партнёров.

Если у вас остались вопросы, рекомендуем обратиться к официальным разъяснениям Роскомнадзора, а также к специалистам в области защиты персональных данных.