Проверка Роскомнадзора: как оператору ПДн подготовиться и что показать
Проверка Роскомнадзора редко приходит неожиданно: оператор может оказаться в плане проверок, получить запрос по жалобе субъекта или после инцидента. Результат определяется не тем, как организация держится во время проверки, а тем, что у неё уже есть: документы, соответствующие реальным процессам, ответственный, ответы на обращения и подтверждения мер. Ниже порядок подготовки: пакет документов, внутренний аудит, роли и работа с запросами.
Оговорка. Статья не юридическая консультация. Процедура, формы и сроки государственного контроля устанавливаются законами о государственном контроле и документами самого Роскомнадзора; конкретные сроки ответа указаны в запросах и решениях, по ним действуйте с юристом. Общее правило закона о персональных данных: на запрос Роскомнадзора о необходимой информации оператор отвечает в течение десяти рабочих дней с возможным продлением не более чем на пять рабочих дней при мотивированном уведомлении (часть 4 статьи 20 152-ФЗ, сверено по базе «Гарант»); порядок ответа: жалоба субъекта и запрос Роскомнадзора. Мы описываем практическую подготовку, опираясь на структуру контроля в методике Группы Сбер (источник): это методика внутреннего контроля крупной группы компаний, мы пересказываем её своими словами.
Откуда приходит проверка
| Повод | Что это означает |
|---|---|
| План контрольных мероприятий | Организация включена в публикуемый план; её можно отследить заранее на сайтах территориальных органов Роскомнадзора |
| Жалоба субъекта | Человек обратился в надзорный орган, часто после игнорирования его запроса: запросы субъектов ПДн |
| Инцидент с ПДн | Информация об утечке из уведомления, СМИ или от третьих лиц: уведомление об утечке |
| Мониторинг сайтов | Надзорный орган проверяет открытые сведения: политику на сайте, формы сбора данных, наличие в реестре операторов |
Практический вывод: многое проверяется дистанционно по открытым данным до любого запроса. Дайте себе пять минут и посмотрите на свой сайт глазами проверяющего: есть ли политика на каждой странице со сбором данных, соответствует ли она реестру операторов.
Пакет документов, который должен быть готов
| Документ | Что проверяют |
|---|---|
| Запись в реестре операторов и уведомление | Присутствие в реестре, актуальность сведений, совпадение с фактическими процессами |
| Политика обработки ПДн | Опубликована и доступна на страницах сбора данных, не противоречит закону, совпадает с уведомлением |
| Локальные акты | Порядок выполнения требований, процедуры предотвращения и выявления нарушений, порядок уничтожения |
| Приказ об ответственном | Назначен ответственный за организацию обработки ПДн, подотчётный руководителю: роль ответственного |
| Перечень процессов и ИСПДн | Известно, где и зачем обрабатываются данные |
| Согласия и иные основания | Формы согласий, доказательства получения, основания по договорам: согласие на обработку ПДн |
| Договоры поручения | Условия по закону, перечень подрядчиков: поручение обработки |
| Модель угроз и акты уровней защищённости | Угрозы и уровни определены, меры выполнены: модель угроз и уровни |
| Оценка вреда | Акт оценки вреда: оценка вреда |
| Журнал обращений субъектов | Сроки соблюдены, ответы сохранены |
| Листы ознакомления и обучение | Работники ознакомлены с политикой, актами и требованиями |
| Акты уничтожения, трансграничные уведомления | Подтверждения уничтожения, уведомление о трансграничной передаче: уничтожение ПДн, трансграничная передача |
Общая оценка материалов проверяющим идёт по трём свойствам: информация полная, достоверная и подтверждающая выполнение обязанности. Документ, не соответствующий практике, хуже его отсутствия.
Шаг 1. Проведите внутренний аудит
- Пройдите базовые меры по самопроверке оператора ПДн и чек-листу оператора: если базовый минимум не закрыт, остальным заниматься рано.
- Сверьте документы между собой: уведомление, политика, согласия, договоры, ЛНА и реальные процессы должны описывать одни и те же цели, данные и действия.
- Проверьте сайт: политика размещена на каждой странице сбора данных, формы содержат отдельное согласие, нет сторонних скриптов, о которых вы не знаете.
- Опросите ответственных: знают ли они, где данные, кто имеет доступ, как отвечать на запросы.
- Сохраните результаты аудита и план устранения замечаний: ответственный, срок, подтверждающие документы.
Шаг 2. Определите роли и порядок общения
| Роль | Что делает |
|---|---|
| Руководитель подготовки | Координирует, принимает решения, докладывает руководству |
| Единая точка связи | Получает запросы и общается с надзорным органом; остальным сотрудникам запрещено давать устные комментарии |
| Юрист | Проверяет формулировки, сроки, права и обязанности |
| ИТ и ИБ | Подтверждают технические факты, готовят выгрузки и демонстрацию систем |
| Владельцы процессов | Объясняют процессы обработки в своих областях |
Заранее определите, кто и как показывает системы, и подготовьте безопасный способ демонстрации без раскрытия лишних данных.
Шаг 3. Работа с запросом
- Зарегистрируйте запрос в день получения и определите срок ответа по тексту запроса. Срок начинает идти сразу.
- Проанализируйте вопросы и распределите по ответственным. Отвечайте на то, о чём спросили, без инициативной информации.
- Соберите документы и убедитесь, что они актуальны и соответствуют практике; не создавайте документы задним числом.
- Согласуйте ответ с юристом и руководителем; подпишите уполномоченным лицом.
- Если нужно больше времени, направьте мотивированную просьбу о продлении до истечения срока.
- Сохраните запрос, ответ, подтверждения отправки.
Не создавайте документы «задним числом», не скрывайте факты и не противоречьте раньше поданным сведениям: расхождения хуже самого нарушения.
Если замечания найдены
- Составьте план устранения: мероприятие, срок, исполнитель, подтверждающий документ.
- Выполните то, что можно сделать немедленно (опубликовать политику, обновить уведомление, оформить приказ) и отразите это в ответе.
- Для сложных мер (модель угроз, шифрование) определите реалистичные сроки и согласуйте с юристом.
- Отслеживайте исполнение: невыполнение ранее выданных замечаний ведёт к дальнейшему контролю и штрафам: размеры штрафов.
Диагностика
| Симптом | Причина и что делать |
|---|---|
| Документы есть, но не совпадают друг с другом | Они писались в разное время. Проведите сверку и обновите уведомление, политику и согласия |
| Не знаем, где лежат данные | Нет перечней процессов и систем. Составьте их, назначьте владельцев |
| Запрос получили, но сроки не зафиксировали | Нет единой точки приёма. Назначьте адрес и ответственного, настройте напоминания |
| Сайт собирает данные без политики | Формы добавлялись без согласования. Введите проверку новых форм и сторонних скриптов в процесс изменений |
Где это в моделях
Материал продолжает раздел «Регуляторика ПДн» и относится к направлению «Безопасность данных» (материалы направления, карта зрелости). В методике Группы Сбер отдельный раздел описывает помощь компаниям в подготовке к проверкам Роскомнадзора: мониторинг планов, уведомление о проверке, обучение сотрудников порядку сопровождения.
Как проверить готовность
- Пакет документов собран, документы согласованы между собой и с практикой.
- Базовый минимум оператора закрыт, внутренний аудит выполнен в течение года.
- Назначена единая точка связи, определён порядок регистрации запросов и сроков.
- План устранения замечаний ведётся и выполняется.
Источники
- Методика осуществления контроля соблюдения фокусными компаниями законодательства РФ в области персональных данных, Группа Сбер: sberbank.ru.
- Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»: КонсультантПлюс. Порядок государственного контроля и сроки по конкретной проверке уточняйте в законах о государственном контроле и в документах Роскомнадзора.
- Реестр операторов, осуществляющих обработку персональных данных: rkn.gov.ru.
