С 2015 года в России действует Федеральный закон № 152‑ФЗ «О персональных данных», который регулирует сбор, хранение, обработку и защиту персональной информации. Одним из органов, контролирующих соблюдение этого закона, является Роскомнадзор. В последние годы в городе Арзамас (Нижегородская область) наблюдается рост количества проверок, связанных с обработкой персональных данных. В статье подробно рассмотрим, какие цели и процедуры у проверок, какие права и обязанности у организаций, а также как подготовиться к проверке, чтобы минимизировать риски.

Правовая база проверок

1. Федеральный закон № 152‑ФЗ «О персональных данных» – основной нормативный акт, определяющий порядок обработки персональных данных.
2. Федеральный закон № 149‑ФЗ «Об информации, информационных технологиях и о защите информации» – регулирует вопросы информационной безопасности.
3. Приказ Роскомнадзора от № 353 – порядок проведения проверок и порядок оформления актов проверки.
4. Региональные нормативные акты Нижегородской области, в т.ч. постановления администрации, которые могут уточнять порядок взаимодействия с органами контроля.

Цели проверок

• Выявление нарушений в сборе, хранении и передаче персональных данных.
• Оценка уровня защиты информации (технические и организационные меры).
• Контроль соблюдения требований к уведомлению субъектов данных.
• Проверка наличия и актуальности реестра операторов персональных данных.

Кому подлежит проверка?

Проверка может быть проведена в отношении:

• Организаций любого типа (коммерческих, государственных, некоммерческих), которые являются операторами персональных данных.
• Физических лиц‑предпринимателей, обрабатывающих персональные данные в рамках своей деятельности.
• Третьих лиц, предоставляющих услуги по обработке данных (аутсорсинг, облачные сервисы).

Как проходит проверка в Арзамасе?

Предварительный этап

Перед началом проверки Роскомнадзор обычно:

1. Отправляет письмо‑уведомление (в электронном виде или по почте) с указанием даты, времени и целей проверки.
2. Указывает перечень документов, которые необходимо подготовить (политика конфиденциальности, реестр операторов, договоры с обработчиками и т.д.).
3. Назначает ответственного представителя организации, который будет взаимодействовать с проверяющими.

Основной этап – инспекция

Во время инспекции проверяющие могут:

• Осмотреть помещения, серверные залы, места хранения бумажных документов.
• Провести интервью с сотрудниками, ответственными за обработку данных.
• Запросить доступ к информационным системам (лог-файлы, журналы доступа, системы контроля доступа).
• Проверить наличие и актуальность политики информационной безопасности и политики обработки персональных данных.
• Сделать выборочные выборки данных для проверки их законности обработки.

Завершающий этап – составление акта

После завершения проверки составляется акт проверки, в котором фиксируются:

• Выявленные нарушения (если есть).
• Рекомендации по устранению нарушений.
• Сроки исправления (обычно 30‑60 дней).
• Возможные штрафные санкции в случае несоблюдения рекомендаций.

Организация получает копию акта и обязана в установленный срок предоставить ответные документы о принятых мерах.

Типичные нарушения, выявляемые в Арзамасе

Как подготовиться к проверке?

Документальная подготовка

• Политика обработки персональных данных – актуальная, подписанная руководством.
• Реестр операторов персональных данных (в электронном виде).
• Договоры с обработчиками (аутсорсинг, облачные сервисы) с указанием обязательств по защите данных.
• Журналы доступа к информационным системам (лог-файлы) за последние 12 месяцев.
• Документы, подтверждающие получение согласий субъектов (бумажные формы, электронные подписи).
• Планы реагирования на инциденты и протоколы уведомления о нарушениях.

Техническая подготовка

1. Провести внутренний аудит ИТ‑инфраструктуры (сканирование уязвимостей, проверка шифрования).
2. Убедиться, что все серверы и рабочие станции защищены антивирусом и системой контроля доступа.
3. Настроить резервное копирование и проверку целостности резервов.
4. Обновить программное обеспечение до последних версий.

Обучение персонала

Регулярные тренинги по вопросам:

• Обработки персональных данных и получения согласий.
• Информационной безопасности (фишинг, социальная инженерия).
• Порядку действий в случае проверки (какие вопросы задавать, что показывать).

Назначение ответственного

Назначьте специального уполномоченного (например, ДПО – должностное лицо по обработке персональных данных), который будет вести диалог с проверяющими, собирать документы и контролировать выполнение рекомендаций.

Права и обязанности организации во время проверки

• Право на информацию – запросить у проверяющих копию их удостоверения и приказа о проведении проверки.
• Право на присутствие – в процессе осмотра и интервью может присутствовать представитель организации.
• Обязанность предоставить доступ к документам и информационным системам, но только в рамках законных требований.
• Право оспорить выводы акта в судебном порядке в течение 30 дней с момента получения.

Последствия несоблюдения требований

Если после проверки выявлены нарушения и они не устраняются в установленный срок, возможны следующие меры:

1. Штрафы – от 2 млн до 6 млн рублей за каждое нарушение (сумма может быть увеличена в случае повторных нарушений).
2. Приостановка деятельности – временное прекращение обработки персональных данных.
3. Лишение лицензий (для организаций, работающих в лицензируемых сферах).
4. Уголовная ответственность – в редких случаях, если нарушение привело к крупному ущербу субъектам данных.

Практический пример: проверка в одном из арзамасских предприятий

Ситуация: В марте 2024 года в арзамасском производственном предприятии «ТехноМаш» была проведена проверка Роскомнадзора.

• Выявлены недостатки в хранении персональных данных сотрудников (отсутствие шифрования на сервере).
• Не был оформлен реестр операторов, хотя предприятие обрабатывало более 500 записей.
• Отсутствовали протоколы согласия от новых сотрудников, нанятых после 2022 года.

Решения:

1. В течение 30 дней внедрили шифрование баз данных и ограничили доступ по ролям.
2. Составили и зарегистрировали реестр операторов в системе Роскомнадзора.
3. Разработали электронную форму согласия и провели повторный сбор согласий у всех сотрудников.

В результате проверка завершилась без наложения штрафа, но с рекомендациями по ежегодному внутреннему аудиту.

Рекомендации для арзамасских компаний

• Регулярно проводить внутренний аудит персональных данных (минимум раз в полугодие).
• Вести журнал обработки – фиксировать каждый случай получения, изменения и удаления данных.
• Обеспечить доступность документов в электронном виде (облачные хранилища с ограниченным доступом).
• Подготовить план реагирования на утечку данных и протестировать его минимум раз в год.
• Сотрудничать с местными ИТ‑консультантами, специализирующимися на защите персональных данных.

Проверки Роскомнадзора в Арзамасе становятся всё более частыми, и от готовности организаций к ним зависит не только финансовая безопасность, но и репутация компании. Соблюдение требований закона о персональных данных, системный подход к документированию и технической защите, а также постоянное обучение персонала позволяют минимизировать риски и успешно пройти любые проверки.

Помните, что проактивный подход – лучший способ избежать штрафов и сохранить доверие клиентов и партнёров.