Что такое внеплановая проверка РКН и чем она отличается от плановой
Роскомнадзор проводит два вида проверок операторов персональных данных: плановые и внеплановые. Плановая проверка включается в ежегодный план контрольных мероприятий, публикуется на официальном сайте ведомства и, как правило, не является неожиданностью для оператора. Внеплановая проверка - принципиально иной инструмент надзора.
Внеплановая проверка проводится вне утвержденного плана, инициируется при наличии конкретных оснований и направлена на проверку устранения ранее выявленных нарушений либо на реагирование на поступившие жалобы и сигналы. Именно поэтому к ней сложнее подготовиться заблаговременно.
Правовую основу для проведения внеплановых проверок составляет Федеральный закон от 31.07.2020 N 248-ФЗ. Этот закон установил общий порядок контрольно-надзорной деятельности, включая основания для внеплановых проверок, права и обязанности сторон, сроки уведомления.
Основания для проведения внеплановой проверки
Согласно ФЗ-248, внеплановая проверка может быть инициирована по нескольким основаниям. Понимание этих оснований позволяет оператору персональных данных заранее оценить свои риски.
Жалобы граждан и субъектов персональных данных
Наиболее распространенное основание - обращение физического лица, чьи права как субъекта персональных данных были нарушены. Если гражданин направил в РКН жалобу на незаконную обработку его данных, отказ в удалении информации или нарушение порядка согласия, это является достаточным основанием для инициирования проверки.
Сигналы от иных государственных органов
Роскомнадзор взаимодействует с Прокуратурой, Федеральной налоговой службой, Рострудом и иными ведомствами. Сведения о нарушениях законодательства о персональных данных, поступившие от других органов государственной власти, также служат основанием для внеплановой проверки.
Публикации в СМИ и интернете
Материалы, опубликованные в средствах массовой информации и свидетельствующие о нарушении прав граждан в части персональных данных, могут инициировать проверку. Особенно это актуально при утечках данных, которые становятся публичными.
Результаты самоконтроля и профилактических мероприятий
Если в ходе профилактических визитов или самоконтроля РКН выявил признаки нарушений, это служит основанием для проведения полноценной внеплановой проверки.
Повторные нарушения и неисполнение предписаний
Неисполнение ранее выданного предписания об устранении нарушений - одно из ключевых оснований для внеплановой проверки. В этом случае проверяется именно факт устранения нарушений.
Сроки уведомления и порядок проведения проверки
Ключевое отличие внеплановой проверки с точки зрения практики - сокращенный срок уведомления. По общему правилу ФЗ-248, оператор должен быть уведомлен о проведении внеплановой проверки не менее чем за 24 часа до ее начала. Для отдельных категорий оснований уведомление может не направляться вовсе (например, при угрозе жизни и здоровью граждан).
Срок проведения внеплановой проверки составляет до 10 рабочих дней. Для субъектов малого предпринимательства (МСП) этот срок сокращен до 5 рабочих дней.
Формы проведения проверки
Внеплановая проверка может проводиться в следующих формах:
- Документарная проверка - инспектор запрашивает документы и изучает их дистанционно, без выезда на место;
- Выездная проверка - инспектор лично посещает офис оператора;
- Дистанционная (онлайн) проверка сайта - анализ открытых данных с сайта оператора.
Таблица оснований и порядка проведения проверок
| Основание для проверки | Срок уведомления | Форма проверки |
|---|---|---|
| Жалоба субъекта персональных данных | Не менее 24 часов | Документарная или выездная |
| Сигнал от другого госоргана | Не менее 24 часов | Документарная или выездная |
| Материалы СМИ об утечке данных | Не менее 24 часов | Выездная или дистанционная |
| Неисполнение предписания | Не менее 24 часов | Выездная |
| Результаты профилактического визита | Не менее 24 часов | Документарная или выездная |
| Угроза правам граждан (экстренные случаи) | Без уведомления | Выездная |
Чек-лист подготовки к внеплановой проверке РКН: 15 пунктов
Поскольку уведомление приходит за 24 часа, документы должны быть готовы заранее. Ниже приведен чек-лист, который позволит оператору персональных данных убедиться в своей готовности к проверке в любой момент.
- Уведомление в реестре РКН. Убедитесь, что ваша организация зарегистрирована в реестре операторов персональных данных на портале pd.rkn.gov.ru. Проверьте актуальность сведений: цели обработки, категории субъектов, категории данных.
- Политика конфиденциальности. Документ должен быть актуальным, размещенным на сайте, содержать все обязательные разделы: цели обработки, правовые основания, перечень данных, срок хранения, права субъектов.
- Согласия на обработку персональных данных. Проверьте наличие и актуальность форм согласия для всех категорий субъектов: клиентов, сотрудников, посетителей сайта.
- Приказ о назначении ответственного за ПДн. В организации должен быть назначен ответственный за организацию обработки персональных данных (ст. 22.1 ФЗ-152).
- Перечень обрабатываемых персональных данных. Актуальный реестр или перечень всех информационных систем, в которых обрабатываются ПДн.
- Локальные акты по защите ПДн. Положение об обработке персональных данных, инструкции для сотрудников, правила разграничения доступа.
- Договоры с операторами и поручениями. Если вы передаете данные третьим лицам (колл-центр, CRM, облачный провайдер), должны быть заключены договоры поручения на обработку ПДн.
- Технические меры защиты. Документация о применяемых средствах защиты: шифрование, антивирусная защита, журналы доступа.
- Модель угроз и нарушителя. Актуальный документ, соответствующий методологии ФСТЭК.
- Журнал обращений субъектов ПДн. Фиксируйте все обращения граждан с запросами о предоставлении информации, удалении или исправлении данных, а также ответы на них.
- Акты проверки и аудита. Если ранее проводились внутренние или внешние аудиты, их результаты должны быть задокументированы.
- Локализация данных. Подтверждение того, что первичная запись персональных данных граждан РФ осуществляется на серверах в России (ст. 18.1 ФЗ-152).
- Уведомление об инцидентах. Если были инциденты с ПДн, проверьте наличие уведомлений в РКН и НКЦКИ в установленные сроки (24 часа и 72 часа соответственно).
- Сроки хранения данных и факт их уничтожения. Акты об уничтожении персональных данных после истечения сроков хранения или достижения целей обработки.
- Обучение сотрудников. Документы, подтверждающие ознакомление персонала с требованиями законодательства о ПДн: подписи в листах ознакомления, сертификаты о прохождении обучения.
Что происходит при выявлении нарушений
Если в ходе проверки инспектор зафиксировал нарушения, последует типовая цепочка мер реагирования.
Предписание об устранении нарушений
Первый шаг - вынесение предписания об устранении выявленных нарушений с указанием конкретного срока. Оператор обязан устранить нарушения и отчитаться перед РКН в установленный срок.
Административный штраф
Одновременно с предписанием или независимо от него инспектор вправе составить протокол об административном правонарушении. Штрафы по КоАП РФ (статьи 13.11, 13.14) варьируются от 60 000 до 500 000 рублей для юридических лиц в зависимости от вида нарушения.
Включение в реестр нарушителей
При систематических нарушениях или неисполнении предписаний оператор может быть внесен в реестр нарушителей прав субъектов персональных данных, что влечет ограничение доступа к сайту на территории Российской Федерации.
Важно: игнорирование предписания РКН является самостоятельным основанием для внеплановой проверки и влечет дополнительную ответственность по статье 19.5 КоАП РФ - штраф для юридических лиц до 500 000 рублей.
Права оператора при проведении проверки
Оператор персональных данных не является беззащитным участником проверочных мероприятий. ФЗ-248 предоставляет операторам ряд прав, которыми важно пользоваться.
- Право на ознакомление с распоряжением о проверке. До начала проверки оператор вправе потребовать предъявления служебного удостоверения инспектора и копии распоряжения о проведении проверки с подписью руководителя контролирующего органа.
- Право на присутствие представителя. В ходе выездной проверки оператор вправе обеспечить присутствие своего представителя (в том числе юриста) при всех проверочных мероприятиях.
- Право на ознакомление с результатами проверки. По итогам проверки оператор вправе получить копию акта проверки и ознакомиться с выявленными нарушениями.
- Право на обжалование. Акт проверки, предписание и постановление о назначении административного наказания могут быть обжалованы в судебном или административном порядке.
- Право на дачу пояснений. Оператор вправе давать пояснения по любым вопросам, возникающим в ходе проверки, а также отражать свою позицию в акте проверки.
Как снизить риск внеплановой проверки: профилактические меры
Внеплановая проверка, как правило, является следствием жалобы или сигнала. Системная работа по следующим направлениям существенно снижает вероятность поступления жалоб и, следовательно, инициирования внеплановой проверки.
Прозрачность с субъектами персональных данных
Разместите на сайте актуальную и понятную Политику конфиденциальности. Обеспечьте простой и доступный механизм для обращений с вопросами и запросами об обработке данных. Отвечайте на обращения субъектов в установленные законом сроки (30 дней по ст. 20 ФЗ-152). Большинство жалоб в РКН поступает от граждан, которым отказали в предоставлении информации или удалении данных.
Контроль рассылок и маркетинга
Убедитесь, что все рекламные рассылки направляются только лицам, давшим явное согласие. Механизм отписки должен работать немедленно. Именно жалобы на спам являются одним из наиболее частых оснований для обращений граждан в РКН.
Реагирование на инциденты
При возникновении утечки или инцидента с персональными данными не пытайтесь скрыть информацию. Своевременное уведомление РКН и НКЦКИ (в течение 24 и 72 часов соответственно) является обязанностью оператора по ст. 21 ФЗ-152 и свидетельствует о добросовестности. Попытки скрыть инцидент лишь усугубляют ответственность.
Подготовьтесь к проверке заранее
Внеплановая проверка РКН - серьезное испытание для оператора персональных данных, не имеющего системы управления ПДн. Но для тех, кто выстроил документооборот и технические меры защиты в соответствии с ФЗ-152, она не представляет угрозы.
Проведите самоаудит уже сегодня: проверьте все 15 пунктов из чек-листа, устраните выявленные пробелы и зафиксируйте результаты документально. Если у вас нет времени или компетенций для самостоятельной подготовки - обратитесь к специалистам 152fzpro.ru для проведения экспресс-аудита и приведения документации в соответствие с требованиями регулятора.
Документы, которые проверяет инспектор в первую очередь
Практика показывает, что в самом начале проверки инспектор запрашивает определенный базовый набор документов. Знание этого перечня позволяет подготовить папку с документами заблаговременно, чтобы передать ее инспектору сразу при первом контакте.
Базовый пакет документов для предъявления при проверке
| Документ | Правовое основание | Кто подписывает |
|---|---|---|
| Политика обработки персональных данных | ч. 2 ст. 18.1 ФЗ-152 | Руководитель организации |
| Приказ о назначении ответственного за ПДн | ст. 22.1 ФЗ-152 | Руководитель организации |
| Уведомление об обработке ПДн (копия с отметкой РКН) | ст. 22 ФЗ-152 | Уполномоченное лицо |
| Перечень информационных систем ПДн | Приказ ФСТЭК N 21 | Ответственный за ПДн |
| Образцы форм согласия на обработку ПДн | ст. 9 ФЗ-152 | Ответственный за ПДн |
| Договоры поручения с третьими лицами-обработчиками | ч. 3 ст. 6 ФЗ-152 | Руководитель / уполномоченное лицо |
Дополнительные документы при углубленной проверке
При углубленной проверке или по отдельному запросу инспектор может затребовать следующие документы:
- модель угроз безопасности персональных данных;
- акты классификации информационных систем ПДн;
- технические паспорта информационных систем;
- журналы учета обращений субъектов ПДн;
- акты об уничтожении персональных данных;
- договоры с провайдерами хостинга с указанием местонахождения серверов;
- инструкции по работе с персональными данными для сотрудников;
- результаты внутреннего аудита по ПДн за последние 12 месяцев.
Типичные ошибки при подготовке к внеплановой проверке
Опыт показывает, что операторы, не имеющие опыта прохождения проверок, допускают ряд типичных ошибок. Их знание поможет вам избежать лишних рисков.
Ошибка 1: Документы есть, но устарели
Наличие Политики конфиденциальности, датированной 2020 годом, в 2026 году - это фактически отсутствие актуального документа. Законодательство о персональных данных существенно менялось в 2022 и 2023 годах. Документы должны отражать актуальные требования.
Ошибка 2: Уведомление в РКН подано, но не обновлялось
Если организация расширила виды обрабатываемых данных, добавила новые цели обработки или передает данные новым третьим лицам, уведомление в РКН необходимо актуализировать. Расхождение между реальной деятельностью и сведениями в реестре - нарушение ст. 22 ФЗ-152.
Ошибка 3: Согласие получено, но не сохранено
Бремя доказывания правомерности обработки ПДн лежит на операторе (ч. 3 ст. 9 ФЗ-152). Если вы не можете подтвердить, что согласие было получено (нет записи, нет лог-файла, нет бумажного экземпляра), это равнозначно отсутствию согласия с точки зрения проверяющего.
Взаимодействие с инспектором: практические рекомендации
Поведение оператора в ходе проверки имеет значение не только с правовой, но и с практической точки зрения. Грамотное взаимодействие с инспектором может повлиять на объем выявленных нарушений и строгость предписания.
Что делать при получении уведомления о проверке
Как только получено уведомление о внеплановой проверке, необходимо незамедлительно:
- зарегистрировать уведомление в журнале входящей корреспонденции с фиксацией даты и времени получения;
- уведомить руководителя организации и ответственного за ПДн;
- собрать базовый пакет документов согласно чек-листу;
- при наличии юридической службы - привлечь юриста к сопровождению проверки;
- убедиться, что на сайте актуальная Политика конфиденциальности и формы согласия.
Как вести себя во время выездной проверки
Во время выездной проверки рекомендуется:
- обеспечить рабочее место для инспектора и предоставить запрашиваемые документы;
- не препятствовать проверке, но и не предоставлять документы, которые не были запрошены;
- фиксировать все запросы и действия инспектора (желательно письменно);
- при несогласии с выводами инспектора выражать свою позицию устно и в письменных пояснениях к акту;
- не подписывать акт проверки без внимательного прочтения всех выявленных нарушений.
После проверки: работа с актом
По окончании проверки оператор получает акт с перечнем выявленных нарушений. С момента получения акта начинается срок на его обжалование (при несогласии) и срок исполнения предписания (при наличии). Не игнорируйте акт: даже если вы не согласны с отдельными выводами, начните работу по устранению бесспорных нарушений немедленно.
