- Плановые проверки проводятся по ежегодному плану РКН с уведомлением минимум за 3 рабочих дня
- Внеплановые проверки возможны без предупреждения — при жалобах, утечках данных или неисполнении предписания
- Инспекторы проверяют документы, сайт, формы согласий, локализацию и организацию защиты ПД
- Самые частые нарушения: отсутствие уведомления РКН, политики конфиденциальности и корректных согласий
- Подготовка к проверке включает аудит документов, форм сбора данных и назначение ответственного
Виды проверок Роскомнадзора
РКН проводит два типа проверок: плановые и внеплановые. Они существенно различаются по порядку проведения и поводам.
| Параметр | Плановая | Внеплановая | |---|---|---| | Уведомление | За 3 рабочих дня | Не требуется (с 2024) | | Повод | По реестру операторов | Жалоба, утечка, предписание | | Частота | Раз в 3 года | В любое время | | Срок проверки | До 20 рабочих дней | До 20 рабочих дней |
С марта 2024 года РКН получил право проводить внеплановые проверки без предварительного уведомления — если есть основания полагать, что произошла утечка персональных данных. На подготовку времени не будет.
Что проверяет Роскомнадзор
Проверяющий изучает соответствие деятельности оператора требованиям ФЗ-152 по нескольким блокам.
Документальный блок
Инспектор запросит:
- Политику обработки персональных данных — актуальная, опубликована на сайте
- Формы согласий — для каждого канала сбора данных (сайт, телефон, офис)
- Уведомление в РКН — подтверждение регистрации в реестре операторов
- Приказ о назначении ответственного за организацию обработки ПД
- Перечень обрабатываемых данных — что, где, зачем, как долго
- Договоры с третьими лицами — CRM, рассылки, колл-центры, облака
Технический блок
- Наличие защиты данных на серверах (СКЗИ для спецкатегорий)
- Разграничение прав доступа к ПД
- Наличие системы мониторинга инцидентов
- Локализация: сервера в России для первичного хранения
Сайт и формы
- Политика конфиденциальности доступна без регистрации
- Все формы содержат активный чекбокс согласия
- Cookie-баннер при необходимости
Типичные нарушения
По статистике РКН, 80% нарушений приходится на три позиции:
Нет уведомления в РКН. Компания обрабатывает данные, но не зарегистрирована в реестре операторов. Это нарушение ч. 1 ст. 22 ФЗ-152. Штраф — до 100 000 рублей.
Нет политики конфиденциальности или она устаревшая. Скопированный шаблон 2018 года, не отражающий реальную деятельность — это тоже нарушение. Проверяющий оценивает актуальность и полноту.
Нет согласий на обработку ПД. Форма «Оставьте заявку» без чекбокса, или чекбокс уже стоит галочкой по умолчанию — нарушение требований к форме согласия.
Ошибки при взаимодействии с проверяющими
Часто проблемы возникают не только из-за отсутствия документов, но и из-за неправильного поведения во время проверки.
Типичные ошибки:
- Попытка скрыть документы или отказ предоставить доступ
- Несогласованные ответы сотрудников инспектору
- Передача устаревших версий документов
- Отсутствие назначенного ответственного за взаимодействие с РКН
- Попытка срочно «дописать» документы уже после начала проверки
Даже при наличии всех документов сотрудники должны понимать, как проходит проверка и кто отвечает на вопросы инспектора. Несогласованные действия персонала часто становятся причиной дополнительных запросов со стороны РКН.
Пошаговый план подготовки к проверке
- Проверить наличие в реестре операторов ПД на pd.rkn.gov.ruобязательно
- Актуализировать политику конфиденциальности (год, виды данных, цели)обязательно
- Проверить все формы на сайте — наличие активных чекбоксов согласияобязательно
- Подготовить приказ о назначении ответственного за ПДобязательно
- Собрать пакет согласий в бумажном и/или электронном виде
- Составить перечень обрабатываемых персональных данных
- Проверить договоры с подрядчиками, которым передаются данные
- Убедиться, что сервера находятся в России или есть первичная копия
- Назначить ответственного для взаимодействия с проверяющим
Что происходит после проверки
Если нарушения выявлены, проверяющий составляет акт проверки и выдаёт предписание об устранении нарушений.
На устранение — 30 дней. После этого — контрольная проверка. Если нарушения не устранены — штраф.
Акт проверки можно обжаловать в течение 15 дней в вышестоящий орган РКН или в суд. На практике успешное обжалование возможно при процессуальных нарушениях со стороны проверяющего (несоблюдение сроков, неправильное оформление документов).