Проверка состояния защиты персональных данных - это сравнение того, какие меры защиты вы применяете на практике, с тем, что должно быть при определенном для ваших систем уровне защищенности: инспектор смотрит, есть ли ограничение доступа, парольная политика, антивирусная защита, резервное копирование, и сверяет это с требованиями постановления Правительства N 1119.
Готовятся к проверке заранее и обычно документарно: у оператора запрашивают политику обработки персональных данных, формы согласий, уведомление об обработке ПДн, перечень информационных систем, акт определения уровня защищенности и список сотрудников, допущенных к данным. Дальше это либо сверяют по документам, либо приезжают и смотрят вживую, как процесс выглядит на практике.
Чаще всего находят не отсутствие защиты как таковой, а нестыковки: уровень защищенности по бумагам один, а фактические меры - слабее, нет оформленного акта, который определяет этот уровень, доступ к базе клиентов не разграничен по ролям, пароли не менялись годами, а данные хранятся в том числе на личных ноутбуках сотрудников.
Если находят нарушение, компания получает предписание устранить его в установленный срок, а отдельно может быть составлен протокол по статье 13.11 КоАП РФ. Поэтому имеет смысл провести такую сверку самостоятельно до прихода инспектора: пройтись по документам и по факту, а не полагаться на то, что «и так все в порядке».