Подготовиться к проверке Роскомнадзора по персональным данным - значит заранее закрыть то, что проверяющий смотрит в первую очередь: документы, согласия, техническую часть сайта. Проверки бывают плановые (по графику, известному заранее) и внеплановые (по жалобе или инциденту) - готовность к ним одинаковая, разница только в том, сколько времени есть на подготовку.
Коротко
- Плановые проверки известны заранее - план публикуется на сайте прокуратуры и Роскомнадзора.
- Внеплановые проверки чаще всего связаны с жалобой субъекта данных или инцидентом с утечкой.
- Проверяющий запрашивает документы, смотрит сайт и может запросить пояснения по процессам.
- Готовность - это не разовое действие перед проверкой, а поддержание документов в актуальном состоянии.
- Устранение нарушения до вынесения постановления обычно снижает итоговую сумму штрафа.
Чем отличаются плановая и внеплановая проверки
Плановая проверка проводится по графику, который формируется заранее и публикуется в открытом доступе - у оператора есть время подготовиться. Внеплановая проверка назначается по конкретному поводу: жалоба субъекта персональных данных, сообщение об утечке, требование прокуратуры. У внеплановой проверки почти нет запаса времени на подготовку, поэтому важнее не готовиться к ней разово, а держать документы и техническую часть сайта в порядке постоянно.
Какие документы обычно запрашивают
- Политика обработки персональных данных
- Согласия субъектов на обработку данных - в той форме, в которой они реально собирались
- Уведомление об обработке персональных данных, поданное в Роскомнадзор
- Перечень информационных систем, обрабатывающих персональные данные, и модель угроз
- Приказ о назначении ответственного за организацию обработки персональных данных
- Договоры-поручения с подрядчиками, если обработка передаётся третьим лицам
Что смотрят непосредственно на сайте
Помимо документов, проверяющий может открыть сайт и посмотреть то же, что видит любой посетитель: опубликована ли политика и открывается ли она без ошибок, есть ли согласие в формах сбора данных, работает ли cookie-баннер и даёт ли он реальный выбор. Расхождение между тем, что написано в документах, и тем, что фактически происходит на сайте, - частая причина замечаний даже при формально полном комплекте документов.
Как подготовиться заранее
- Провести самостоятельный аудит сайта - технический и документарный.
- Сверить состав данных в документах с тем, что сайт реально собирает.
- Проверить, актуально ли уведомление, поданное в Роскомнадзор.
- Устранить найденные нарушения, а не только подготовить документы «на бумаге».
- Хранить документы так, чтобы их можно было предоставить быстро - при проверке на это обычно даётся ограниченный срок.
Что проверить у себя
- Актуальны ли документы: политика, согласия, уведомление в РКН, модель угроз
- Соответствует ли содержание документов тому, что сайт реально делает
- Назначен ли ответственный за обработку персональных данных приказом
- Есть ли договоры-поручения с подрядчиками, обрабатывающими данные по вашему поручению
- Можно ли предоставить весь комплект документов в течение нескольких дней, если потребуется
Частые вопросы
Сколько времени даётся на подготовку к плановой проверке? План проверок обычно известен заранее на год, но конкретное уведомление о дате приходит ближе к самой проверке - точный срок стоит уточнять по регламенту конкретного контролирующего органа.
Может ли компания снизить штраф, если нарушение устранено до проверки? Да, устранение нарушения до вынесения постановления - одно из оснований, которое на практике снижает итоговую сумму.
Нужно ли уведомлять Роскомнадзор о плановой проверке заранее самостоятельно? Нет, порядок обратный - о проверке уведомляет контролирующий орган, оператор со своей стороны готовит документы к указанному сроку.
Проверить готовность сайта к проверке Роскомнадзора можно самостоятельно и бесплатно - форма проверки покажет расхождения за минуту. Комплект документов, которые обычно запрашивают при проверке, собран на странице документов по 152-ФЗ.