Дата актуализации: (по информации из открытых источников).

Нормативная база, регулирующая проверку

• Федеральный закон № 152‑ФЗ «О персональных данных» – основной закон, определяющий понятия, принципы обработки, права субъектов и обязанности операторов.
• Кодекс об административных правонарушениях РФ, ст. 13.11 – устанавливает ответственность за нарушение законодательства в области персональных данных (штрафы, предупреждения, приостановление деятельности).
• Статья 23.1 ФЗ‑152 – регламентирует федеральный государственный контроль (надзор) за обработкой персональных данных, осуществляемый Роскомнадзором.
• Внутренние нормативные акты организации: политика обработки ПДн, регламенты работы с согласиями, инструкции по реагированию на инциденты.

Подготовка к проверке Роскомнадзора

Внутренний контроль и аудит

1. Провести комплексный аудит всех процессов обработки персональных данных (сбор, запись, систематизацию, накопление, хранение, уточнение, использование, передачу, обезличивание, блокирование, удаление, уничтожение).
2. Составить чек‑лист на основе рекомендаций КонсультантПлюс и Melling, Voitishkin Partners:
   • Наличие и актуальность согласия на обработку ПДн (письменное, электронное, подтверждающее факт получения согласия).
   • Соответствие целей обработки заявленным в уведомлении/политике конфиденциальности.
   • Ведение реестра операций обработки ПДн.
   • Обеспечение конфиденциальности и целостности данных (шифрование, контроль доступа, журналы событий).
   • Наличие процедур реагирования на запросы субъектов (уточнение, блокирование, уничтожение).
   • Документация по обучению персонала и проведению инструктажей.
3. Выполнить внутренний контроль (периодический мониторинг) – минимум раз в квартал, фиксировать результаты в журнале внутреннего аудита.

Документация, которую запрашивает Роскомнадзор

• Уведомление о начале обработки персональных данных (если требуется).
• Политика конфиденциальности и внутренние регламенты обработки ПДн.
• Образцы согласий на обработку персональных данных (включая согласие на распространение, если предусмотрено ст. 10.1 ФЗ‑152).
• Журнал учета запросов субъектов ПДн и ответов на них.
• Отчёты о проведённых внутренних аудитах и результатах проверок.
• Документы по обеспечению безопасности (СЗИ, антивирусная защита, системы DLP, журналы событий).
• Планы действий при возникновении инцидентов утечки или неправомерной обработки ПДн;

Этапы проведения проверки Роскомнадзора

1. Уведомление о проверке – организация получает официальное извещение (как правило, за 10 рабочих дней до начала проверки).
2. Подготовка запрашиваемых документов – формирование пакета согласно чек‑листу (см. пункт 2.2).
3. Выездная (или дистанционная) проверка – инспекторы Роскомнадзора:
   • Изучают представленные документы.
   • Проводят интервью с ответственными лицами (ДПО, руководители отделов, IT‑специалисты).
   • Выборочно проверяют фактическое соответствие обработки заявленным целям (анализ баз данных, логов, форм согласия).
   • Оценивают эффективность мер по защите ПДн (технические и организационные).
4. Формирование акта проверки – фиксируются выявленные нарушения, их степень тяжести, ссылки на нарушенные нормы.
5. Вручение акта и предписаний – организация получает копию акта, а также предписания об устранении нарушений в установленные сроки.

Действия при выявлении нарушений

Немедленное реагирование

• Обеспечить прекращение неправомерной обработки (например, удалить резюме соискателей, хранящиеся без согласия более 30 дней).
• Зафиксировать факт устранения нарушения в журнале инцидентов.
• Оформить внутреннее предписание о корректирующих мерах (изменение регламентов, дополнительное обучение, обновление технических средств).

Взаимодействие с субъектами ПДн

• При получении запроса на уточнение, блокирование или уничтожение персональных данных:
  1. Проверить наличие оснований для отказа (например, требование законодательства о хранении данных в течение определённого срока).
  2. В случае положительного решения – выполнить действие в срок, не превышающий 30 дней с момента получения запроса (в соответствии с разъяснениями Роскомнадзора).
  3. Уведомить субъекта о выполненных действиях и предоставить подтверждающие документы.
• Если нарушение выявлено в ходе внутреннего контроля без поступавшего заявления – действовать по той же схеме, как если бы запрос поступил от субъекта.

Уведомление Роскомнадзора об инциденте

В случаях, когда нарушение содержит признаки уголовно наказуемого деяния или представляет угрозу правам субъектов, необходимо:

1. Составить уведомление об инциденте (форма, утверждённая Роскомнадзором).
2. Направить его в Роскомнадзор в течение установленного срока (как правило, не позднее 24 часов после обнаружения).
3. Сохранить копию уведомления и подтверждение его получения.

Ответственность за нарушение законодательства о ПДн

• Ст. 13.11 КоАП РФ – штрафы от 30 000 до 150 000 рублей для должностных лиц, от 100 000 до 300 000 рублей для индивидуальных предпринимателей, от 300 000 до 600 000 рублей для юридических лиц (в зависимости от тяжести нарушения).
• При повторных нарушений – увеличение штрафов, возможная приостановление деятельности до устранения нарушений.
• В случаях, когда действия содержат признаки преступления (например, незаконный сбор данных в крупном размере), применяются положения УК РФ.

Рекомендации по профилактике нарушений

• Назначить ответственного за защиту персональных данных (ДПО) и обеспечить его независимость и ресурсы.
• Регулярно обновлять политику конфиденциальности и внутренние регламенты в соответствии с изменениями законодательства (поправки к ФЗ‑152, судебная практика).
• Проводить обучение персонала минимум раз в год с обязательным тестированием знаний.
• Внедрять технические средства защиты: шифрование данных при хранении и передаче, контроль доступа (RBAC), системы предотвращения утечки данных (DLP), журналы аудита.
• Вести регистр согласий с указанием даты, способа получения, объёма данных и цели обработки.
• Проводить внутренние аудиты не реже одного раза в полгода и фиксировать результаты в виде отчётов с планом корректирующих действий.
• Создать процедуру взаимодействия с Роскомнадзором: назначить ответственного за подготовку ответов на запросы, вести журнал переписки.

Проверка соблюдения законодательства о защите персональных данных – это не только формальная процедура, но и важный элемент управления рисками организации. Чёткое следование порядку действий, описанному выше, позволяет:

• Минимизировать вероятность выявления нарушений;
• Сократить сроки реагирования на запросы субъектов и предписания регулятора;
• Снизить финансовые и репутационные потери, связанные с штрафами и санкциями;
• Повысить уровень доверия со стороны клиентов, партнёров и регулирующих органов.

Регулярный внутренний контроль, актуальная документация и готовность к взаимодействию с Роскомнадзором – залог стабильной и законной работы с персональными данными в условиях постоянно меняющегося правового поля.