Проверка Роскомнадзора по персональным данным: как проходит и как подготовиться

Проверка Роскомнадзора по персональным данным не абстрактная угроза «когда-нибудь придут», а рутинная процедура со своим планом, регламентом и списком документов, который можно посмотреть заранее. Каждый год РКН проводит тысячи проверок операторов: от разовой выездной проверки до дистанционного мониторинга сайта без единого звонка в компанию. Разберём, какие виды контроля существуют, как понять, что проверка коснётся именно вас, что запрашивают инспекторы и как выглядит финальный этап: предписание и его обжалование. Материал закрывает хаб «Уведомление в Роскомнадзор»: если ещё не подавали уведомление об обработке данных, начните оттуда.

Какие бывают проверки: виды контроля

Роскомнадзор работает по нескольким сценариям, и они разные по формату и предсказуемости.

Плановая проверка. Организация попадает в сводный план проверок на год, его формируют по риск-ориентированному подходу: чем больше данных обрабатывает оператор и чем чувствительнее данные, тем выше вероятность включения в план. О такой проверке предупреждают заранее.

Внеплановая проверка. Чаще всего это реакция на жалобу субъекта данных (человек написал, что его данные использовали без согласия или не смогли удалить по запросу), на сообщение об утечке, на предписание прокуратуры или на признаки нарушения, которые сама служба обнаружила в ходе мониторинга. Внеплановую проверку могут назначить без предварительного уведомления, если речь о угрозе жизни и здоровью или по требованию прокуратуры.

Дистанционный мониторинг сайтов. Отдельный и всё более массовый инструмент: специалисты РКН открывают сайт компании и без всякого визита проверяют, есть ли политика конфиденциальности, работает ли она, стоит ли форма согласия под формами сбора заявок, оформлен ли баннер cookie. Если находят нарушение, это повод для предостережения, официального запроса или основания для внеплановой проверки.

Так что на вопрос «как проходит проверка роскомнадзора» точного единого ответа нет, формат зависит от того, что стало поводом.

Как узнать, что вас включили в план проверок

Сводный план проверок на текущий год публикуется на портале Генеральной прокуратуры и на сайте Роскомнадзора. Ищите свою организацию по ИНН или названию, если она в списке, увидите период (обычно указывают месяц) и территориальный орган, который будет проверять.

Отдельно закон обязывает РКН уведомить оператора о начале плановой проверки заранее, как правило, за несколько рабочих дней до её начала, с указанием даты, предмета проверки и перечня документов, которые нужно подготовить. Именно это уведомление служит сигналом начать сбор документов, а не сам факт проверки.

Если организации нет в плане, это не гарантия спокойствия: жалоба одного клиента или подрядчика способна инициировать внеплановую проверку в любой момент года.

Кто чаще попадает в план проверок

Риск-ориентированный подход означает, что не все операторы проверяются одинаково часто. Внимание РКН выше к тем, кто:

• обрабатывает специальные категории данных: здоровье, биометрию, сведения о судимости;
• работает с большими объёмами данных клиентов или пользователей (маркетплейсы, сервисы с личным кабинетом, финтех);
• уже получал жалобы или предписания в прошлые периоды: повторное включение в план для таких операторов происходит чаще;
• ведёт трансграничную передачу данных за пределы стран с «адекватной защитой».

Небольшой сайт-визитка с одной формой обратной связи формально тоже остаётся оператором персональных данных и может попасть в план или под дистанционный мониторинг, просто вероятность ниже, чем у крупного сервиса с базой в сотни тысяч записей.

Что запрашивает Роскомнадзор при проверке

Инспекторы смотрят не на сайт «на глаз», а на конкретный комплект документов, который должен быть у любого оператора. Обычно запрашивают:

• политику в отношении обработки персональных данных и подтверждение её публикации на сайте;
• локальное положение об обработке персональных данных внутри компании;
• приказ о назначении ответственного за организацию обработки ПДн;
• формы согласий субъектов данных по каждой цели сбора: отдельно на сайт, отдельно на рассылку, отдельно на передачу третьим лицам;
• копию уведомления, поданного в реестр операторов персональных данных, или обоснование, почему уведомление не требовалось;
• при наличии информационной системы персональных данных (ИСПДн): модель угроз, акт определения уровня защищённости и документы о технических мерах защиты;
• журналы учёта обращений субъектов данных и подтверждения того, как компания обрабатывала запросы на доступ, уточнение или удаление данных.

Полный перечень документов с пояснением, зачем нужен каждый пункт, и минимальный набор для простого сайта разобраны в отдельной статье: «Документы по 152-ФЗ: полный перечень для оператора». Если ни один из этих документов не оформлен, у проверки почти гарантированно найдётся, что зафиксировать.

Как проходит проверка: этапы и сроки

Проверка обычно строится по одной и той же логике, независимо от того, плановая она или внеплановая.

1. Уведомление о начале проверки (для плановых) с указанием предмета, сроков и перечня запрашиваемых документов.
2. Запрос документов. Проверка может быть документарной: все материалы направляются по запросу без визита инспектора. Или выездной, когда сотрудники РКН приезжают в офис и дополнительно смотрят, как процессы работают на практике: где физически хранятся бумажные согласия, кто имеет доступ к базе клиентов.
3. Анализ. Инспекторы сверяют документы между собой: совпадает ли перечень данных в согласии с тем, что реально собирает форма на сайте; актуальны ли сроки хранения; действует ли ответственный, указанный в приказе.
4. Акт проверки. Фиксирует все выявленные несоответствия: от отсутствия политики до просроченного согласия.
5. Предписание (если нарушения найдены) с конкретным сроком устранения каждого пункта.

Срок проведения самой проверки, а также срок на устранение нарушений по предписанию, каждый раз указывается в соответствующем документе. Унифицированного числа дней «на все случаи» закон не задаёт, поэтому ориентироваться нужно на конкретные даты в уведомлении и предписании, а не на общие ожидания.

Предписание Роскомнадзора: что дальше

Если проверка выявила нарушения, оператор получает предписание — официальное требование устранить конкретный перечень несоответствий в указанный срок. Это не финал разбирательства, а начало отдельной процедуры:

• Устранить нарушения. Каждый пункт предписания нужно закрыть по существу, а не формальной отпиской: разместить политику, донастроить форму согласия, отправить недостающее уведомление.
• Отчитаться. В большинстве случаев предписание требует направить в РКН подтверждение исполнения: со скриншотами, копиями обновлённых документов, актом.
• Обжаловать при несогласии. Предписание можно оспорить в вышестоящем органе Роскомнадзора в административном порядке или в суде. Но обжалование само по себе не приостанавливает срок исполнения. Если компания собирается спорить, стоит одновременно готовиться выполнить требования на случай, если жалобу не удовлетворят.

Неисполнение предписания в срок — самостоятельное нарушение с отдельной административной ответственностью, поэтому игнорировать документ или затягивать с ответом дороже, чем один раз устранить претензию по существу. Полная картина возможных штрафов, не только за неисполнение предписания, но и за все составы, которые обычно всплывают при проверках, собрана в статье «Штраф за нарушение 152-ФЗ: полная таблица составов КоАП».

Как вести себя во время проверки

Несколько практических правил, которые снижают риск получить лишние пункты в акте:

• Отвечайте на запросы письменно и в срок. Устные обещания «донесём документ позже» инспектор не фиксирует: фиксируется то, что реально предоставлено к дедлайну.
• Не подписывайте акт не глядя. Прочитайте формулировки каждого пункта: иногда нарушение описано шире, чем есть на самом деле, и это стоит уточнить сразу, а не после того, как акт подписан.
• Назначьте одного ответственного за коммуникацию с проверяющими. Логично сделать им того же сотрудника, который отвечает за обработку ПДн по внутреннему приказу. Разрозненные ответы от разных отделов увеличивают шанс противоречий в документах.
• Не пытайтесь задним числом досоздать документы под конкретный запрос проверки: расхождение в датах создания и содержании обычно заметно и работает против оператора сильнее, чем честное признание пробела с планом его закрытия.

Чеклист «папка к проверке»

Соберите это заранее, тогда любое уведомление о проверке не застанет врасплох:

• Политика в отношении обработки персональных данных опубликована на сайте и доступна по прямой ссылке из футера.
• Положение об обработке персональных данных утверждено и хранится у ответственного.
• Приказ о назначении ответственного за обработку ПДн подписан и актуален.
• На каждой форме сбора данных стоит отдельное согласие под конкретную цель: без «пакетных» формулировок.
• Уведомление в реестр операторов подано, а если данные о деятельности изменились, обновлено вслед за ними.
• Для ИСПДн есть модель угроз и акт определения уровня защищённости.
• Журнал обращений субъектов данных ведётся, а запросы на удаление и уточнение данных обрабатываются в срок.
• Договоры с подрядчиками, которым передаются данные (аналитика, рассылки, CRM, доставка), содержат условие об обработке ПДн.
• Cookie-баннер на сайте требует активного действия пользователя, а не молчаливого согласия.
• Проведён внутренний аудит и закрыты найденные несоответствия по шагам из чеклиста аудита персональных данных.

Этот список закрывает всё, что реально спрашивают на проверках: от базового документа до технической части. Если не уверены, что сайт проходит хотя бы первые пункты (политика, согласия, cookie-баннер), быстрее всего это увидеть через автоматическую проверку сайта, а не гадать до прихода инспектора.