Персональные данные обрабатывают все компании без исключения: как минимум это данные сотрудников. Значит, проверка теоретически может прийти к каждому. Разберём, как она устроена и что делать.
Как узнают о проверке
Плановые проверки включаются в ежегодный план, который публикуется на сайте прокуратуры до конца декабря предыдущего года. Проверить себя можно по ИНН: если компании в плане нет, планового визита в этом году не будет.
О плановой проверке уведомляют не позднее чем за три рабочих дня. Внеплановая проводится по жалобе субъекта персональных данных, по поручению правительства или после выявленной утечки, и предупреждение о ней может быть за сутки.
Отдельный формат это документарная проверка: вам просто присылают запрос документов, и всё происходит по переписке. Он самый частый, и к нему готовятся так же, как к выездному.
Какие документы запрашивают
Список устойчивый, он повторяется из проверки в проверку:
- уведомление об обработке персональных данных, поданное в Роскомнадзор
- политика обработки персональных данных, опубликованная на сайте
- положение об обработке и защите персональных данных внутри компании
- приказ о назначении ответственного за организацию обработки
- перечень обрабатываемых данных с указанием целей и сроков хранения
- согласия субъектов там, где обработка идёт по согласию
- журнал учёта обращений субъектов
- документы о местах хранения и перечень допущенных лиц
- приказ об утверждении уровня защищённости информационных систем
Первое, на что смотрят, это соответствие политики реальности. Если в политике написано, что данные хранятся три года, а в базе лежат записи десятилетней давности, это нарушение.
Больше всего нарушений находят не в технике, а в бумагах: политика скачана из интернета, цели обработки не совпадают с фактическими, согласия оформлены формально или отсутствуют.
Что смотрят в системах
Техническая часть проверяется выборочно, но по понятным критериям:
Разграничение доступа. Кто именно имеет доступ к данным и на основании чего. Если у всей бухгалтерии общая учётная запись, это замечание.
Журналирование. Фиксируются ли действия с персональными данными и хранятся ли журналы.
Защита каналов. Как данные передаются между офисами и на удалённые рабочие места.
Работа с носителями. Порядок учёта флешек и внешних дисков, правила уничтожения.
Средства защиты. Наличие сертифицированных средств там, где они обязательны по уровню защищённости.
Типовые нарушения и штрафы
| Нарушение | Штраф на организацию |
|---|---|
| Обработка без согласия там, где оно требуется | 60 000 - 150 000 ₽ |
| Отсутствие политики или её недоступность | 60 000 - 100 000 ₽ |
| Невыполнение обязанности по уведомлению | 100 000 - 300 000 ₽ |
| Несоблюдение требований к защите | 50 000 - 100 000 ₽ |
| Повторное нарушение | до 500 000 ₽ и выше |
Суммы приведены ориентировочно и зависят от состава нарушения и того, первое оно или повторное. Отдельно стоит помнить про ответственность за утечки: за последние годы законодатель ужесточал её несколько раз, и штрафы за неуведомление о происшествии высокие.
Что успеть за две недели
Если уведомление уже пришло, действовать нужно по приоритету.
Дни 1-3. Проверить наличие уведомления в Роскомнадзоре и подать, если не подано. Поднять политику и положение, привести их в соответствие с реальностью.
Дни 4-7. Составить перечень обрабатываемых данных и целей. Проверить согласия: где они нужны, где обработка идёт по договору или закону.
Дни 8-11. Закрыть очевидные технические дыры: убрать общие учётные записи, отключить доступы уволившихся, проверить журналы.
Дни 12-14. Подготовить комплект документов в бумажном виде, назначить ответственного за общение с проверяющими, провести короткий инструктаж сотрудников.
Полноценное внедрение средств защиты за две недели не делается. Обещать такое нечестно, а вот привести в порядок документы и убрать грубые нарушения реально.
Как проходит визит
Проверяющие приезжают в согласованное время, предъявляют распоряжение о проверке. В нём указаны предмет и сроки: выходить за них они не вправе. Вы имеете право присутствовать при всех действиях, получать разъяснения и знакомиться с результатами.
По итогам составляется акт. Если найдены нарушения, выдаётся предписание с сроком устранения. Штраф назначается отдельным постановлением, и его можно обжаловать.
Полезная тактика: не спорить на месте, а зафиксировать замечания и устранить их в срок. Устранённое нарушение почти всегда смягчает исход.
Что делать заранее
Проверка это тест на то, велась ли работа до неё. Компании, у которых документы в порядке и техническая часть закрыта, проходят её за один день без последствий.
Мы собираем комплект документов и закрываем технические требования в рамках комплекса услуг по 152-ФЗ. Если проверка уже назначена, смотрите порядок срочных работ в решении соответствие 152-ФЗ.