Проверка персональных данных - это визит инспектора или запрос документов от Роскомнадзора, во время которого сверяют, законно ли компания собирает и хранит данные клиентов и сотрудников. Инспектор смотрит уведомление в РКН, согласия на обработку, политику конфиденциальности, состав и сроки хранения данных, меры защиты информационных систем. По итогам составляют акт, и при нарушениях выдают предписание или заводят дело по статье 13.11 КоАП.
Плановые проверки идут по графику, который Роскомнадзор публикует на своем сайте заранее, поэтому свою компанию в списке можно увидеть за месяц-два до визита. Внеплановые проверки случаются по жалобе субъекта данных, после утечки или по требованию прокуратуры - тут срок предупреждения короче, иногда всего несколько дней.
На самой проверке инспектор запрашивает пакет документов: уведомление об обработке ПДн, политику обработки, согласия клиентов и сотрудников, положение об обработке персональных данных, перечень информационных систем и меры защиты в них. Если чего-то из этого нет или документы оформлены формально, скопированы с чужого сайта без привязки к реальным процессам компании - это первое, что вызывает вопросы у инспектора.
Практический совет: не ждать письма с датой проверки, а провести самоаудит заранее. Если документы устарели или не отражают, как данные реально собираются и обрабатываются в компании, привести их в порядок до визита проще и дешевле, чем объясняться с инспектором постфактум.