РКН Аудит
Чтобы подготовиться к проверке Роскомнадзора, определите вид мероприятия и его предмет, сверьте фактическую обработку с документами и уведомлением РКН, подготовьте доказательства исполнения обязанностей и проверьте сроки реагирования. Отдельно проверьте сайт, внутренние системы и готовность к инциденту: исправленная политика на сайте не заменяет работающие процедуры внутри организации.
Общий аудит обработки персональных данных помогает обнаружить несоответствия. Подготовка к конкретному контролю добавляет другую задачу: своевременно представить относящиеся к его предмету документы, объяснения и подтверждения устранения нарушений.
Как определить, какое мероприятие проводит Роскомнадзор?
В пункте 42 положения № 1046 перечислены инспекционный визит, документарная и выездная проверки. Отдельно предусмотрен контроль без взаимодействия с оператором.
| Формат | На что ориентироваться при подготовке |
|---|---|
| Инспекционный визит | Уточнить предмет и применимый порядок именно визита; не переносить на него правила выездной проверки |
| Документарная проверка | Подготовить документы и письменные объяснения по предмету проверки |
| Выездная проверка | Подготовить документы и сотрудников к предусмотренным решением действиям; возможен дистанционный формат |
| Контроль без взаимодействия | Проверить публичную информацию и сведения, которыми располагает регулятор |
Пункты 58–61 положения № 1046 предусматривают наблюдение за размещённой в интернете информацией и анализ сведений о деятельности оператора. Мониторинг сайта нельзя называть проверкой всей организации.
У контроля без взаимодействия тоже бывают последствия. Например, пункт 61 предусматривает требование об уточнении, блокировании или уничтожении недостоверных либо незаконно полученных данных в течение 10 рабочих дней, с информированием РКН об исполнении либо представлением мотивированных пояснений. Этот срок не отменяет более ранних обязанностей по блокированию и прекращению неправомерной обработки, установленных статьёй 21 закона № 152-ФЗ.
Что проверить сразу после получения решения или запроса?
Зафиксируйте дату получения и разберите документ по пунктам:
- Кто направил документ и какими полномочиями обладает подписавшее его лицо.
- Какой вид мероприятия указан, каковы его основание и предмет.
- Какие подразделения, процессы и периоды затронуты.
- Какие документы, объяснения и действия запрошены.
- Когда начинается мероприятие и когда требуется ответ.
Назначьте координатора ответов, подключите юриста, кадровую службу, владельцев информационных систем и подрядчиков по затронутым процессам. Удобно вести журнал передачи: запрос, срок, ответственный, версия документа, дата отправки и подтверждение получения. Это практический способ контроля, а не универсально обязательная форма журнала.
Выездная проверка
По пунктам 51–52 положения № 1046 копию решения направляют не позднее чем за 24 часа до начала. Продолжительность проверки — не более 10 рабочих дней. Возможны осмотр, опрос, письменные объяснения, истребование документов, инструментальное обследование и экспертиза. Проверка может проводиться с использованием дистанционного взаимодействия.
Документарная проверка
Различайте срок проверки и срок ответа. Согласно закону № 248-ФЗ:
- документы по требованию в ходе документарной проверки направляются в течение 10 рабочих дней со дня его получения;
- письменные объяснения выявленных ошибок и противоречий представляются в течение 10 рабочих дней;
- проверка длится не более 10 рабочих дней, но исчисление этого срока приостанавливается на предусмотренные законом периоды ожидания документов и объяснений.
Пункт 48 положения № 1046 указывает на срок в требовании: сопоставьте его с применимой нормой закона. При расхождении оперативно запросите уточнение, не оставляя требование без ответа. Сохраняйте подтверждения отправки и регистрации: пункт 49 связывает контрольные даты с регистрацией документов в системе регулятора.
Не переносите сюда автоматически продление на пять рабочих дней из статьи 20 закона № 152-ФЗ. У документарной проверки другой процессуальный порядок. Регулятор не вправе требовать документы вне предмета такой проверки и сведения, которые он может получить от других органов.
Как сверить фактическую обработку с уведомлением РКН?
Составьте рабочую карту обработки. Для каждой цели укажите:
- категории субъектов и перечень данных;
- источник получения и правовое основание;
- действия с данными, системы, бумажные носители и места хранения;
- получателей и обработчиков по поручению;
- сроки хранения и основания прекращения обработки;
- формы сайта и другие точки сбора.
Начните с реальных процессов: найма, работы с сотрудниками, заявок, заказов, поддержки. По статье 5 закона № 152-ФЗ цели должны быть конкретными и заранее определёнными, данные — неизбыточными, а хранение — ограниченным соответствующей целью или применимым законным сроком.
Затем сопоставьте карту с политикой, локальными актами, согласиями и уведомлением. Статья 22 требует указывать для каждой цели категории данных и субъектов, основания, действия и способы обработки. Проверьте также сведения об ответственном, дату начала обработки, срок или условие её прекращения, место нахождения базы данных, наличие или отсутствие трансграничной передачи и сведения о мерах защиты.
Не ограничивайтесь наличием записи в реестре. Сохраните поданные уведомления и подтверждения их направления. Внесение сведений регулятором занимает до 30 дней с даты поступления уведомления — это не срок, предоставленный оператору для его подачи. Если запись не найдена, используйте отдельный маршрут проверки статуса уведомления.
Какие документы и доказательства подготовить?
Статья 18.1 требует принимать необходимые меры и по запросу РКН представлять документы либо иным образом подтверждать их принятие. Готовьте не папку одинаковых шаблонов, а доказательства работающих процессов.
| Направление | Что собрать и сопоставить |
|---|---|
| Политика и локальные акты | Для оператора-юрлица — документы с целями, категориями и перечнями данных, способами, сроками обработки и хранения, порядком уничтожения и процедурами устранения нарушений |
| Ответственный | Документ о назначении, полномочия, подотчётность, подтверждения выполнения функций |
| Основания обработки | Применимые нормы, договоры, согласия и доказательства их получения — в зависимости от процесса |
| Работники | Подтверждения ознакомления с законодательством, политикой и локальными актами и/или обучения |
| Внутренний контроль | Результаты проверок, обнаруженные несоответствия и подтверждения исправлений |
| Оценка вреда | Оценка возможного вреда субъектам и её сопоставление с принимаемыми мерами |
Названия и способы фиксации доказательств могут различаться. Более подробный перечень приведён в материале о документах, запрашиваемых при проверке РКН.
По статье 22.1 ответственного назначает оператор — юридическое лицо. Он подотчётен исполнительному органу, контролирует соблюдение требований, информирует работников и организует приём и обработку обращений субъектов. Одного документа о назначении для подтверждения всей этой работы недостаточно.
Согласие не является единственным основанием обработки. Но если используется именно оно, статья 9 требует конкретности, информированности, однозначности и отдельного оформления от других подтверждаемых или подписываемых документов. Оператор доказывает получение согласия либо наличие другого законного основания. Для электронных форм полезно сохранять соответствующую версию текста и запись действия пользователя.
Проверьте фактические доступы работников, выгрузки и передачи подрядчикам. Правила доступа и учёта действий в ИСПДн предусмотрены статьёй 19, а обязанность обработчика по поручению соблюдать конфиденциальность — частью 3 статьи 6.
Поручение обработки должно определять данные, операции, цели, конфиденциальность, применимые требования части 5 статьи 18 и статей 18.1 и 19, предоставление подтверждающих документов по запросу оператора и уведомление его об инцидентах. Проверьте также основание самого поручения: по общему правилу требуется согласие субъекта, если федеральным законом не предусмотрено иное. Передача обработки подрядчику не снимает ответственности оператора перед субъектом.
Какие сроки должны работать внутри организации?
Проверьте не только тексты регламентов, но и маршрут обращения: кто получает письмо, устанавливает применимое основание, запускает действия в системах и контролирует подрядчика. Основные сроки установлены статьёй 20, статьёй 21 и статьёй 22 закона № 152-ФЗ.
| Событие | Действие и срок |
|---|---|
| Обращение или запрос субъекта о его данных | При обращении — сообщить информацию и предоставить ознакомление; по запросу — в течение 10 рабочих дней с получения. Возможно продление до 5 рабочих дней с мотивированным уведомлением |
| Законный отказ в доступе к данным | Письменный мотивированный ответ со ссылкой на основание — до 10 рабочих дней с обращения или получения запроса; возможно такое же продление |
| Представлены сведения о неполноте, неточности или неактуальности | Внести изменения не позднее 7 рабочих дней со дня представления подтверждающих сведений |
| Субъект подтвердил незаконное получение или ненужность данных для заявленной цели | Уничтожить данные не позднее 7 рабочих дней со дня представления сведений |
| При обращении или запросе выявлена неправомерная обработка | Блокировать соответствующие данные с момента обращения или получения запроса на период проверки |
| Подтверждена неточность по статье 21 | Уточнить данные в течение 7 рабочих дней со дня представления подтверждающих сведений, затем снять блокирование |
| Выявлена неправомерная обработка | Прекратить её не позднее 3 рабочих дней с выявления; если обеспечить правомерность невозможно — уничтожить данные не позднее 10 рабочих дней с выявления |
| Достигнута цель обработки | Прекратить обработку и уничтожить данные не позднее 30 дней с достижения цели, с учётом исключений части 4 статьи 21 |
| Получен отзыв согласия | Прекратить обработку и, если сохранение больше не требуется, уничтожить данные не позднее 30 дней с поступления отзыва, с учётом исключений части 5 статьи 21 |
| Получено требование прекратить обработку | До 10 рабочих дней с получения; возможно продление до 5 рабочих дней с мотивированным уведомлением. Действуют исключения части 5.1 статьи 21 |
| Невозможно своевременно уничтожить данные в случаях частей 3–5.1 статьи 21 | Блокировать и обеспечить уничтожение в срок не более 6 месяцев, если федеральный закон не устанавливает иной срок |
| Получен запрос РКН по части 4 статьи 20 | Сообщить необходимую информацию в течение 10 рабочих дней с получения; продление до 5 рабочих дней требует мотивированного уведомления |
| Планируется начало обработки | Уведомить РКН до начала, если не применяется исключение части 2 статьи 22 |
| Изменились сведения уведомления | Сообщить обо всех изменениях не позднее 15-го числа следующего месяца |
| Обработка прекращена | Уведомить РКН в течение 10 рабочих дней с даты прекращения |
При выявлении неточности блокирование на период проверки обязательно, если оно не нарушает права и законные интересы субъекта или третьих лиц. Ознакомление субъекта с его данными бесплатно.
Не пропускайте завершающие действия: уведомление субъекта об изменениях и принятых мерах, разумные меры для уведомления получателей данных по статье 20, а в предусмотренных статьёй 21 случаях — сообщение РКН. Уничтожение подтверждается по требованиям, предусмотренным частью 7 статьи 21.
Отзыв согласия не означает автоматического уничтожения всех записей: отдельно оцените сохраняющиеся законные основания. Шестимесячный срок также не является обычным дополнительным временем на удаление.
Как проверить защиту внутренних информационных систем?
Составьте перечень ИСПДн: кадровые системы, CRM, базы заявок и другие системы, где обрабатываются данные. По статье 19 проверьте определение угроз, правила доступа, регистрацию и учёт действий, учёт носителей, обнаружение несанкционированного доступа, восстановление данных и контроль защитных мер. Для введённых в эксплуатацию ИСПДн проверьте подтверждение оценки эффективности мер защиты до ввода системы в эксплуатацию.
Постановление № 1119 устанавливает четыре уровня защищённости. Выбор зависит от актуальных угроз, категорий данных, количества субъектов и того, относятся ли они к сотрудникам оператора. Не назначайте уровень только по размеру компании.
Подготовьте обоснование применимого уровня и подтверждения выполнения требований: безопасность помещений, сохранность носителей, утверждённый перечень допущенных лиц и другие меры для соответствующего уровня. Ответственный за организацию обработки и ответственный за безопасность ИСПДн — разные функции; требование о последнем предусмотрено для третьего и более высоких уровней.
Сопоставьте выбранный уровень с приложением к приказу ФСТЭК № 21. Контроль выполнения требований постановления № 1119 проводится не реже одного раза в три года — самостоятельно и/или с привлечением лицензированных исполнителей, предусмотренных пунктом 17. Проверка публичных страниц не заменяет эту работу.
Что отдельно проверить на сайте?
Пройдите путь посетителя: заявка, регистрация, обратная связь, подписка. Сопоставьте поля, подключённые скрипты и получателей данных с картой обработки. Проверьте, соответствует ли описанная цель действительной работе формы и не собираются ли лишние сведения.
По части 2 статьи 18.1 должны быть доступны политика и сведения о реализуемых требованиях защиты. При сетевом сборе публикация требуется в соответствующей сети, в том числе на страницах сайта, используемых для сбора данных. Проверьте доступность документов с таких страниц, отдельное оформление согласий там, где они необходимы, и возможность подтвердить их получение.
РКН ОК проверяет публично доступные страницы сайта и признаки нарушений на них, а наличие записи в реестре операторов — по ИНН. Есть бесплатная первичная проверка в пределах бесплатной квоты.
Сканер не отправляет формы, не подаёт уведомление за оператора, не проверяет CRM, внутреннюю базу, исполнение уничтожения данных или юридическую корректность рекламной кампании. Его результат не гарантирует соответствие всей организации закону № 152-ФЗ.
Что подготовить на случай утечки?
Заранее определите, кто фиксирует инцидент, ограничивает неправомерный доступ, сохраняет технические следы, проводит расследование и направляет сообщения регулятору. Проверьте, как сведения поступят от обработчика по поручению.
Часть 3.1 статьи 21 применяется при установлении факта неправомерной или случайной передачи, предоставления, распространения либо доступа к данным, повлёкшего нарушение прав субъектов. С момента выявления такого инцидента оператором, РКН или иным заинтересованным лицом необходимо уведомить РКН:
- В течение 24 часов — об инциденте, предполагаемых причинах и вреде, принятых мерах по устранению последствий; сообщить сведения об уполномоченном контактном лице.
- В течение 72 часов — о результатах внутреннего расследования и, при наличии, о лицах, действия которых стали причиной инцидента.
Оба срока отсчитываются от выявления, а не последовательно. Не откладывайте первое сообщение до завершения расследования. Одновременно исполняйте применимые обязанности по прекращению неправомерной обработки, блокированию и уничтожению данных.
Отдельно учитывайте часть 12 статьи 19: взаимодействие с ГосСОПКА, включая информирование о компьютерных инцидентах, повлёкших неправомерную передачу данных, осуществляется в установленном порядке. Сообщение в РКН не заменяет проверку этой обязанности.
Что ещё нужно знать перед проверкой?
Достаточно ли проверить только сайт?
Нет. Публичные страницы не подтверждают законность обработки в CRM, исполнение запросов субъектов, уничтожение данных и защиту внутренних систем.
Нужно ли получать согласие на любую обработку?
Нет. Статья 6 закона № 152-ФЗ предусматривает и другие основания, включая исполнение договора и обязанности по закону. Применимое основание нужно подтвердить для каждой цели.
Любой запрос Роскомнадзора означает документарную проверку?
Нет. По пункту 50 положения № 1046 запрос информации по вопросам из обращений граждан и других лиц сам по себе не является документарной проверкой.
Можно ли продолжать обработку после отзыва согласия?
Да, если для соответствующей цели сохраняется предусмотренное законом основание обработки без согласия. Сам по себе отзыв не разрешает продолжать любые операции с данными.
Что делать до, во время и после проверки?
До проверки:
- Сверить процессы, документы, сайт и уведомление РКН.
- Устранить выявленные несоответствия, не оформляя документы задним числом.
- Проверить сроки обращений, уничтожение данных и сценарий инцидента.
- Собрать подтверждения принятых мер и распределить задачи.
Во время проверки:
- Отвечать по предмету и в применимые сроки.
- Проверять согласованность объяснений и документов.
- Фиксировать переданные материалы и подтверждения их получения.
- Документировать исправления, выполненные в ходе мероприятия.
После проверки:
- Изучить результаты и предписание, если оно выдано.
- Распределить мероприятия по устранению нарушений с учётом указанных сроков.
- Подтвердить исполнение и проверить, что изменения работают на практике.
Пункты 49(1) и 52(1) положения № 1046 предусматривают выдачу предписания, если нарушения не устранены до окончания соответствующей проверки. Поэтому подготовка заканчивается не отправкой документов, а проверкой фактического исполнения обязанностей.