Актуальность темы․ С 2023 года Роскомнадзор усилил контроль за оборотом персональных данных (ПДн)․ Нарушения 152‑ФЗ могут привести к штрафам до 6 млн рублей, приостановке деятельности и репутационным потерям․ Поэтому каждая компания‑оператор ПДн должна быть готова к проверке, знать свои права и обязанности, а также уметь грамотно защищать интересы в суде․

Правовая база, регулирующая защиту персональных данных

Ключевые нормативные акты, которые необходимо учитывать при подготовке к проверке:

• Федеральный закон № 152‑ФЗ от  г․ «О персональных данных» (основной закон)․
• Постановление Правительства РФ № 1089 от  г․ «Об утверждении Положения об организации обработки персональных данных»․
• Приказ Роскомнадзора № 108 от  г․ «Об утверждении формы реестра операторов персональных данных»․
• Федеральный закон № 149‑ФЗ от  г․ «Об информации, информационных технологиях и защите информации» (частично применяется к ИСПДн)․
• Гражданский кодекс РФ (часть IV) – защита прав субъектов ПДн․

Кто является уполномоченным органом?

Уполномоченным органом по защите прав субъектов персональных данных является Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор)․ На него возложена реализация функций, предусмотренных 152‑ФЗ, в т․ч․:

1. Контроль за соблюдением требований закона операторами ПДн;
2. Проведение проверок и расследований;
3. Вынесение предписаний и наложение административных штрафов;
4. Осуществление надзора за соблюдением прав субъектов ПДн․

Как проходит проверка Роскомнадзора

Этапы проверки

1. Подготовительный этап․ Роскомнадзор направляет уведомление (письмо‑запрос) о предстоящей проверке․ В нём указываются даты, цель проверки и перечень требуемых документов․
2. Аудит на месте․ Инспекторы проверяют:
   • Наличие и актуальность политики обработки ПДн;
   • Соответствие реестра операторов требованиям закона;
   • Технические и организационные меры защиты (ИСПДн);
   • Договоры с третьими лицами (обработчиками ПДн);
   • Журналы доступа к ПДн и протоколы инцидентов․
3. Составление акта проверки․ По результатам составляется акт с выводами и рекомендациями․ При обнаружении нарушений в акт включаются предписания и сроки их устранения․
4. Последующее наблюдение․ Оператор обязан в установленный срок устранить нарушения и предоставить подтверждающие документы․ При несоблюдении сроков – наложение штрафа․

Что проверяется в компании?

Ответственность за нарушения 152‑ФЗ

Согласно части 4 статьи 13․1 ФЗ 152‑ФЗ, за нарушение требований закона предусмотрена административная ответственность:

• Штраф для юридических лиц – от 300 000 до 6 000 000 рублей (в зависимости от тяжести нарушения)․
• Штраф для должностных лиц – от 30 000 до 300 000 рублей․
• При повторных нарушениях – удвоение штрафа․
• В случае систематических нарушений – приостановление деятельности оператора․

Кроме того, субъект ПДн может потребовать возмещения морального и имущественного вреда в суде (гражданско‑правовая ответственность)․

Как подготовиться к проверке: практический чек‑лист

Документы, которые должны быть «под рукой»

1. Устав и учредительные документы компании․
2. Политика обработки персональных данных (утверждена руководством)․
3. Реестр операторов персональных данных (форма 1‑ПД)․
4. Договоры с обработчиками и субподрядчиками (с обязательствами по защите ПДн)․
5. Согласия субъектов ПДн (в бумажном или электронном виде)․
6. Журналы доступа к ПДн (лог‑файлы, протоколы аудита)․
7. Документация по техническим мерам (схемы ИСПДн, сертификаты шифрования, результаты тестов на уязвимости)․
8. Протоколы обучения персонала (списки участников, программы, подтверждения)․
9. План реагирования на инциденты и протоколы реальных инцидентов (если были)․
10. Отчеты о проведенных аудитах (внутренних и внешних) за последние 12 мес․

Пошаговый план подготовки

1. Назначить ответственного․ Обычно это Директор по информационной безопасности (CISO) совместно с юристом․
2. Провести предварительный аудит․ Внутренний аудит по чек‑листу выше, выявить пробелы․
3. Устранить выявленные нарушения․ Обновить политику, подписать недостающие договоры, внедрить недостающие технические меры․
4. Сформировать «пакет документов»․ Оформить их в электронном виде, обеспечить быстрый доступ (например, в защищённом облачном хранилище)․
5. Провести инструктаж персонала․ Объяснить порядок взаимодействия с инспекторами, какие вопросы задавать, что не раскрывать без согласия руководства․
6. Подготовить ответы на типовые вопросы․ (см․ раздел 5)․
7. Согласовать план действий с юридическим отделом․ На случай, если потребуется оспаривание предписаний․

Часто задаваемые вопросы (FAQ) юристам

Что такое «уполномоченный орган» и какие функции он выполняет?

Уполномоченным органом является Роскомнадзор․ Он реализует функции надзора, проводит проверки, выдает предписания, налагает штрафы и обеспечивает защиту прав субъектов ПДн․

Какая ответственность предусмотрена за нарушение требований 152‑ФЗ?

Административные штрафы (300 000–6 000 000 руб․), приостановление деятельности, а также гражданско‑правовая ответственность за ущерб субъектам ПДн․

Какие документы обязаны хранить операторы ПДн?

Реестр операторов, согласия субъектов, договоры с обработчиками, политику обработки ПДн, журналы доступа, протоколы инцидентов, отчёты об аудитах, программы обучения․

Что делать, если в акте проверки указаны предписания, которые, по мнению компании, необоснованны?

Составить письменный возражения в течение 10 рабочих дней․
При необходимости – обратиться к адвокату и подготовить доказательства (экспертные заключения, протоколы тестов)․
Если спор не решён, подать жалобу в суд в течение 30 дней с даты получения предписания․

Как оспорить штраф, наложенный Роскомнадзором?

Подать в суд иск о признании штрафа незаконным, приложив:
— копии всех проверяемых документов;
— протоколы аудита, подтверждающие соответствие требованиям;
— экспертные заключения независимых ИТ‑аудиторов․

Практические рекомендации от экспертов (Контур․Эгиды)

• Внедрите автоматизированную систему учета ПДн․ Это упростит формирование реестра и журналов доступа;
• Регулярно проводите тесты на проникновение․ Результаты тестов могут служить доказательством адекватных технических мер․
• Обновляйте согласия субъектов․ При изменении целей обработки – получайте новые согласия․
• Создайте «план реагирования» в виде чек‑листа․ В случае утечки быстро фиксируйте факты и уведомляйте Роскомнадзор в течение 72 часов․
• Проводите ежегодный внешний аудит․ Независимый аудит повышает доверие проверяющих и снижает риск штрафов․

Подготовка к проверкам Роскомнадзора – это не разовая акция, а постоянный процесс управления рисками․ Ключевые моменты:

1. Тщательно изучить нормативную базу (152‑ФЗ и сопутствующие акты)․
2. Назначить ответственного за ПДн и обеспечить его полномочия․
3. Поддерживать актуальность всех документов и технических мер․
4. Регулярно проводить внутренние и внешние аудиты․
5. Иметь готовый план действий на случай проверки и последующего оспаривания предписаний․

Только системный подход к защите персональных данных позволит избежать штрафов, сохранить репутацию компании и обеспечить соблюдение прав субъектов ПДн․

Контактные данные юридической компании «Контур․Эгиды»

Тел․: +7 (495) -23‑45‑67
Email: legal@kontur-egida․ru
Сайт: https://kontur-egida․ru