РКН Аудит
Если вы собираете данные через сайт или ведёте клиентскую базу и сами определяете цели обработки, состав данных и действия с ними, вы — оператор персональных данных. Им может быть компания, ИП или физическое лицо. Статус возникает из деятельности, а не из регистрации в Роскомнадзоре. Оператору нужно определить основания обработки, информировать людей, защищать данные, выполнять применимые уведомительные обязанности и соблюдать сроки ответов, прекращения обработки и уничтожения.
Кто считается оператором и чем он отличается от обработчика?
По статье 3 закона № 152-ФЗ оператор организует или осуществляет обработку самостоятельно либо совместно с другими лицами и определяет её цели, состав данных и операции. Операторами могут быть также государственные и муниципальные органы. Персональные данные — информация о прямо или косвенно определённом либо определяемом человеке; хранение уже является обработкой.
Например, компания определяет, какие сведения запрашивать для заказов, ИП ведёт клиентскую базу, а репетитор-физлицо организует учёт учеников. В соответствующих процессах они выступают операторами.
Исключение по статье 1 закона № 152-ФЗ — обработка физлицом исключительно для личных и семейных нужд, если права субъектов не нарушаются. Коммерческая клиентская база под него не подходит. Закон охватывает не только электронные системы, но и бумажные картотеки, позволяющие искать данные по заданному алгоритму.
Обработчик по поручению действует в рамках целей и операций оператора: например, обслуживает его базу. Название договора само по себе роли не определяет — для собственных целей тот же подрядчик может быть самостоятельным оператором.
Что определить до начала обработки и когда необходимо согласие?
Составьте перечень процессов: заявки, продажи, кадровый учёт, поддержка, рассылки. Для каждого определите цель, категории людей и необходимые данные, операции, получателей, основание обработки и срок хранения.
Статья 5 закона № 152-ФЗ требует заранее определённых законных целей, неизбыточности и точности данных. Нельзя объединять базы с несовместимыми целями или хранить идентифицируемые данные бессрочно «на всякий случай». Срок хранения определяется целью, если иной срок не установлен федеральным законом или соответствующим договором.
Согласие — лишь одно из оснований статьи 6 закона № 152-ФЗ. Например, необходимые сведения можно обрабатывать для исполнения договора с человеком, заключения договора по его инициативе либо выполнения обязанности, установленной законом. «Законные интересы» применимы только при соблюдении прав и свобод субъекта. Для специальных категорий и биометрических данных нужно отдельно проверить специальные правила.
Если основанием служит согласие, по статье 9 закона № 152-ФЗ оно должно быть конкретным, предметным, информированным, сознательным и однозначным, оформленным отдельно от другой подтверждаемой или подписываемой информации. Форму выбирают так, чтобы можно было доказать получение; когда закон требует письменную форму, действуют специальные требования. Доказывать согласие или другое основание обязан оператор. Согласие не разрешает собирать лишние данные.
Какие документы, информирование и меры защиты нужны оператору?
По статье 18 закона № 152-ФЗ при сборе данных оператор по просьбе человека предоставляет информацию, предусмотренную статьёй 14 закона № 152-ФЗ. Если предоставление данных или согласия обязательно по федеральному закону, нужно объяснить юридические последствия отказа.
При получении данных не от самого человека его до начала обработки информируют об операторе, цели, основании, перечне данных, предполагаемых пользователях, правах и источнике получения. Статья 18 закона № 152-ФЗ предусматривает исключения: например, человек уже уведомлён либо сведения получены на основании закона или в связи с исполнением соответствующего договора.
Статья 18.1 закона № 152-ФЗ обязывает обеспечить неограниченный доступ к политике обработки и сведениям о реализуемых требованиях к защите. При сборе через интернет их публикуют в соответствующей сети, в том числе на страницах сайта, используемых для сбора, обеспечивая доступ к политике.
Оператор обязан принять необходимые и достаточные меры для исполнения закона, но их состав по статье 18.1 закона № 152-ФЗ определяет самостоятельно, если закон не устанавливает иное. Перечисленные в ней меры — не безусловный одинаковый набор для каждого оператора. В частности, к ним относятся:
- для юридического лица — документы о политике обработки и локальные акты, описывающие цели, категории и перечни данных и субъектов, способы и сроки обработки и хранения, порядок уничтожения и процедуры работы с нарушениями;
- внутренний контроль и/или аудит, оценка возможного вреда субъектам и соотношения вреда с принимаемыми мерами;
- ознакомление работников, непосредственно обрабатывающих данные, с требованиями и документами и/или их обучение.
При этом юридическое лицо обязано назначить ответственного за организацию обработки. По статье 22.1 закона № 152-ФЗ он подотчётен исполнительному органу, контролирует соблюдение требований, информирует работников и организует работу с обращениями. Оператор предоставляет ему сведения, указанные в статье 22 закона № 152-ФЗ. Подробнее — об обязанностях ответственного.
По запросу РКН оператор представляет документы и локальные акты, указанные в статье 18.1 закона № 152-ФЗ, и/или иным образом подтверждает принятие предусмотренных ею мер. Отдельно статья 20 закона № 152-ФЗ устанавливает срок предоставления необходимой информации по запросу РКН.
Статья 19 закона № 152-ФЗ требует необходимых правовых, организационных и технических мер защиты либо обеспечения их принятия. В числе способов обеспечения безопасности она называет определение угроз, меры защиты информационных систем, оценку их эффективности, правила доступа и учёт действий, обнаружение несанкционированного доступа и восстановление повреждённых данных. Конкретный набор определяется применимыми требованиями и условиями обработки; публикация документов защиту не заменяет.
Отдельно статья 7 закона № 152-ФЗ обязывает оператора и иных лиц, получивших доступ к персональным данным, сохранять их конфиденциальность: не раскрывать третьим лицам и не распространять без согласия субъекта, если иное не предусмотрено федеральным законом.
Отдельно действует локализация: при сборе данных граждан РФ перечисленные в статье 18 закона № 152-ФЗ операции, включая запись, хранение и извлечение, с использованием зарубежных баз не допускаются, кроме прямо предусмотренных законом случаев. Обычное согласие самостоятельного исключения не создаёт.
Что меняется при привлечении подрядчиков, маркетинге и передаче за рубеж?
Поручение обработки. По статье 6 закона № 152-ФЗ оно допускается с согласия субъекта, если федеральный закон не предусматривает иного. В поручении определяют данные, операции и цели, конфиденциальность, требования локализации, организационных мер и безопасности. Закрепляют предоставление подтверждающих документов по запросу оператора и уведомление его об инцидентах, предусмотренных статьёй 21 закона № 152-ФЗ.
Обработчик сам получать согласие не обязан. Перед субъектом за его действия отвечает оператор; для поручения иностранному физическому или юридическому лицу закон предусматривает ответственность обоих.
Маркетинг через прямые контакты. По статье 15 закона № 152-ФЗ продвижение товаров, работ и услуг посредством прямых контактов с помощью средств связи требует предварительного согласия, которое доказывает оператор. По требованию человека такую обработку прекращают немедленно, не через общий срок ответа на запрос.
Трансграничная передача. По общему правилу статья 12 закона № 152-ФЗ требует отдельного предварительного уведомления РКН. Часть 15 этой статьи предусматривает специальные исключения для определяемых Правительством РФ случаев передачи в целях выполнения функций, полномочий и обязанностей государственных и муниципальных органов, возложенных международным договором РФ или законодательством РФ. До его подачи получают сведения об иностранном получателе, мерах защиты и условиях прекращения обработки; для страны вне перечня обеспечивающих адекватную защиту — также сведения о правовом регулировании. Оператор оценивает соблюдение получателем конфиденциальности и безопасности данных и указывает дату оценки в уведомлении.
В страны из перечня передача возможна после направления уведомления до решения о запрете или ограничении при соблюдении остальных требований закона. Для остальных нужно дождаться истечения срока рассмотрения — 10 рабочих дней с поступления уведомления с учётом приостановления при запросе информации; исключение предусмотрено для защиты жизненно важных интересов. На запрос РКН о сведениях, предусмотренных статьёй 12 закона № 152-ФЗ, отвечают за 10 рабочих дней с получения, с возможным мотивированным продлением максимум на пять. При запрете или ограничении оператор обеспечивает уничтожение ранее переданных данных иностранным получателем. Этот порядок не отменяет локализацию.
Когда уведомлять Роскомнадзор и обновлять сведения?
Общее правило статьи 22 закона № 152-ФЗ — направить уведомление до начала обработки. Исключения касаются:
- данных в государственных информационных системах, созданных для защиты безопасности государства и общественного порядка;
- обработки исключительно без средств автоматизации;
- предусмотренной законодательством обработки для транспортной безопасности.
Малый размер бизнеса или обработка только данных работников сами по себе исключением не являются. Порядок подачи разобран в инструкции по уведомлению РКН.
В уведомлении отражают сведения об операторе, целях, мерах защиты, ответственных, начале и прекращении обработки, расположении базы и трансграничной передаче. Для каждой цели указывают категории данных и субъектов, основание, действия и способы обработки.
Изменения сообщают не позднее 15-го числа месяца, следующего за месяцем изменения. Прекращение обработки — в течение 10 рабочих дней с даты прекращения. Это разные сроки и события.
РКН вносит сведения в реестр в течение 30 дней с поступления уведомления; после уведомления о прекращении исключает их также в течение 30 дней. Проверка записи по ИНН показывает наличие записи, но не подтверждает законность всех процессов организации.
В какие сроки отвечать субъекту, исправлять и уничтожать данные?
Основание требования определяет действие и точку отсчёта. Нельзя всем обращениям назначать единый срок «30 дней». Правила установлены статьёй 14 закона № 152-ФЗ, статьёй 20 закона № 152-ФЗ и статьёй 21 закона № 152-ФЗ.
| Ситуация | Действие и срок | Норма |
|---|---|---|
| Обращение или запрос об обработке | Предоставить сведения за 10 рабочих дней с обращения или получения запроса; возможно продление до пяти рабочих дней | Статья 14 закона № 152-ФЗ |
| Информация о наличии данных и ознакомление | При обращении; при запросе — в течение 10 рабочих дней с получения, с возможным продлением до пяти рабочих дней | Статья 20 закона № 152-ФЗ |
| Законный отказ в предоставлении информации или данных | Письменный мотивированный ответ со ссылкой на основание — до 10 рабочих дней со дня обращения или получения запроса; возможно продление до пяти | Статья 20 закона № 152-ФЗ |
| При обращении или запросе выявлена неправомерная обработка либо неточность | Блокировать с момента обращения или получения запроса на период проверки. При неточности — если блокирование не нарушает права и законные интересы субъекта или третьих лиц | Статья 21 закона № 152-ФЗ |
| Представлены сведения, подтверждающие неполноту, неточность или неактуальность | Внести изменения за семь рабочих дней со дня предоставления сведений; при уточнении снять блокирование | Статьи 20 и 21 закона № 152-ФЗ |
| Субъект или представитель подтвердил незаконное получение либо ненужность данных для цели | Уничтожить за семь рабочих дней со дня представления подтверждающих сведений | Статья 20 закона № 152-ФЗ |
| Выявлена неправомерная обработка | Прекратить её за три рабочих дня с даты выявления | Статья 21 закона № 152-ФЗ |
| Обеспечить правомерность невозможно | Уничтожить за 10 рабочих дней с даты выявления неправомерной обработки, а не после окончания трёхдневного срока | Статья 21 закона № 152-ФЗ |
| Достигнута цель | Прекратить обработку и уничтожить данные в пределах 30 дней с достижения цели, с учётом исключений | Статья 21 закона № 152-ФЗ |
| Получен отзыв согласия | Прекратить обработку; если сохранение больше не требуется — уничтожить в пределах 30 дней с поступления отзыва, с учётом исключений | Статья 21 закона № 152-ФЗ |
| Получено требование прекратить обработку | Прекратить за 10 рабочих дней с получения; возможно продление до пяти, кроме случаев законного продолжения обработки | Статья 21 закона № 152-ФЗ |
| Получен запрос РКН о необходимой информации | Предоставить её за 10 рабочих дней с получения; возможно продление до пяти | Статья 20 закона № 152-ФЗ |
Продление в предусмотренных случаях требует мотивированного уведомления с причинами. Указанные 30 дней — не 30 рабочих дней. Для достижения цели и отзыва учитываются предусмотренные законом договорные условия, соглашения с субъектом и основания обработки без согласия. Отзыв не равен безусловному уничтожению всех сведений: подробнее — об отзыве согласия.
Ознакомление бесплатно. Запрос по статье 14 закона № 152-ФЗ должен содержать установленные реквизиты, сведения о связи с оператором либо факте обработки и подпись. Ответ предоставляют в форме обращения или запроса, если человек не указал иную, без неправомерного раскрытия чужих данных. После полного ответа повторный запрос обычно возможен через 30 дней после первоначального обращения или направления запроса; закон, нормативный акт или соответствующий договор могут устанавливать более короткий срок. При неполном ответе допускается более ранний обоснованный запрос.
По статье 20 закона № 152-ФЗ об изменениях и принятых мерах уведомляют субъекта или представителя, принимая разумные меры уведомить получателей данных. По статье 21 закона № 152-ФЗ субъекту сообщают об устранении нарушений или уничтожении; в предусмотренном этой нормой случае уведомляют также РКН.
Если уничтожение в установленные статьёй 21 закона № 152-ФЗ сроки невозможно, данные блокируют и обеспечивают уничтожение не более чем за шесть месяцев, если федеральный закон не установил иной срок. Это не универсальная отсрочка для всех требований. Уничтожение подтверждают по требованиям РКН; передача обработки подрядчику обязанность обеспечить результат не снимает.
Когда после инцидента действуют сроки 24 и 72 часа?
Статья 21 закона № 152-ФЗ устанавливает эти сроки при выявлении неправомерной или случайной передачи, предоставления, распространения либо доступа к данным, повлёкших нарушение прав субъектов. Не любой технический сбой автоматически соответствует этому условию.
Оба срока отсчитываются от выявления инцидента оператором, Роскомнадзором или иным заинтересованным лицом — не от завершения расследования.
| Срок | Что сообщить Роскомнадзору |
|---|---|
| В течение 24 часов | Факт инцидента, предполагаемые причины и вред правам субъектов, принятые меры устранения последствий, сведения об уполномоченном контактном лице |
| В течение 72 часов | Результаты внутреннего расследования и сведения о лицах, действия которых стали причиной инцидента, при наличии |
72 часа — общий срок от выявления, а не дополнительные 72 часа после первого сообщения. Практически полезно сразу зафиксировать момент обнаружения, назначить контактное лицо, ограничить неправомерный доступ и сохранить сведения для расследования. См. первые действия при обнаружении утечки.
Уведомления не заменяют устранение нарушений: если выявлена неправомерная обработка, действуют также три рабочих дня на её прекращение и, при невозможности обеспечить правомерность, 10 рабочих дней на уничтожение по статье 21 закона № 152-ФЗ.
Дополнительно статья 19 закона № 152-ФЗ предусматривает взаимодействие с ГосСОПКА, включая информирование органа, уполномоченного в области безопасности, о компьютерных инцидентах, повлёкших неправомерную передачу данных. Оно осуществляется в установленном этим органом порядке и не заменяет уведомления РКН.
За неуведомление о начале обработки и об инциденте предусмотрены отдельные составы в статье 13.11 КоАП РФ.
С чего начать проверку и чем поможет РКН ОК?
Практический порядок самопроверки:
- Перечислите процессы обработки, включая сайт, внутренние системы и бумажные документы.
- Сопоставьте каждую цель с необходимыми данными, основанием и сроком хранения.
- Проверьте информирование, политику, согласия и внутренние меры.
- Уточните роли подрядчиков, содержание поручений, расположение баз и зарубежные передачи.
- Сверьте уведомления РКН с фактическими процессами.
- Организуйте приём запросов, контроль сроков, уничтожение и реагирование на инциденты.
По предоставленному описанию продукта РКН ОК проверяет публично доступные страницы сайта и признаки нарушений на них. Наличие записи в реестре операторов проверяется по ИНН. Доступна бесплатная первичная проверка в пределах бесплатной квоты.
Сканер не отправляет формы и не подаёт уведомления за оператора, не проверяет CRM, внутреннюю базу, исполнение уничтожения данных или юридическую корректность рекламной кампании. Проверка сайта не гарантирует соответствие всей организации закону № 152-ФЗ. Её результат помогает начать проверку публичной части, но внутренние процессы требуют отдельного анализа.
Какие вопросы об операторе задают чаще всего?
Можно ли быть оператором без сайта?
Да. Статьи 1 и 3 закона № 152-ФЗ связывают статус с обработкой и определением её целей, а не с наличием сайта. Систематизированная бумажная картотека также может подпадать под закон.
Должен ли ИП назначать отдельного ответственного?
Статья 22.1 закона № 152-ФЗ прямо требует назначения от юридических лиц. Остальные применимые обязанности оператора у ИП сохраняются.
Нужно ли уведомлять РКН, если обрабатываются только данные работников?
Да, если не применимо одно из действующих исключений статьи 22 закона № 152-ФЗ. Обработка только данных работников сама по себе таким исключением не является.
Нужно ли уничтожать всё после отзыва согласия?
Нет, если остаётся предусмотренное законом основание обработки без согласия. Нужно оценить каждую цель и необходимость хранения по статьям 9 и 21 закона № 152-ФЗ.
Подтверждает ли запись в реестре соблюдение закона?
Нет. Она не удостоверяет наличие всех оснований, достаточность защиты и выполнение обязанностей перед субъектами.