«Визитная карточка» для Роскомнадзора: как защитить персональные данные клиентов и избежать проверок
Поделиться • 26 февраля 2025
«Визитная карточка» для Роскомнадзора: как защитить персональные данные клиентов и избежать проверок
«Визитная карточка» для Роскомнадзора: как защитить персональные данные клиентов и избежать проверок
Текст: Людмила Соболевская, управляющий партнер адвокатского бюро Sollars
Фото: Tim Gouw/Unsplash
По действующему мораторию, плановых проверок Роскомнадзора не будет до 2030 года. Однако нарушения со стороны бизнеса могут спровоцировать регулятора на незапланированный визит. Помнить об этом особенно важно в свете ужесточения наказаний за утечку персональных данных. Как защититься от штрафов и претензий, не превращая офис в режимный объект, а сотрудников — в параноиков, рассказала «Инк.» юрист, эксперт в делах на стыке гражданско-правовой и уголовной сфер, управляющий партнер адвокатского бюро Sollars Людмила Соболевская.
Механизмы и специалисты Роскомнадзора ведут систематическое наблюдение за сайтами операторов персональных данных. Достаточно одной жалобы (а их количество в 2023 году выросло на впечатляющие 30%), утечки данных или даже отсутствия вашей компании в реестре — и регулятор посетит вас, заручившись поддержкой прокуратуры.
Помнить о наказании
Если обнаружено три или более расхождений между информацией на сайте компании и в реестре операторов, это также может стать основанием для внеплановой проверки.
В напряжении весь рынок держит и новая 272 статья УК РФ, превращающая незаконные манипуляции с персональными данными в уголовное преступление. С 11 декабря 2024 года нарушения могут привести к штрафам в размере до 3 млн руб. или выплате дохода за четыре года.
Если несоблюдение норм повлекло за собой тяжкие последствия, срок лишения свободы может достигать 10 лет. До введения новых штрафных санкций ситуация была менее критичной — компании часто закладывали возможные штрафы в бюджет, поскольку их размер не представлял существенной угрозы для бизнеса.
А с 30 мая 2025 года произойдут значительные изменения в сфере административной ответственности.
- За утечку данных теперь придется заплатить штрафы в размере от трех до 20 млн руб.
- За повторное нарушение — 1–3% годовой выручки (20-500 млн руб.).
Подготовиться к атаке
Роскомнадзор использует риск-ориентированный подход при проведении проверок, уделяя первоочередное внимание наиболее серьезным сбоям, поскольку именно они представляют наибольшие угрозы для субъектов данных и организаций. Поэтому начать следует именно с устранения критических рисков, снижая вероятность значительных санкций и репутационных потерь. Вот как это сделать.
Шаг 1. Предпринять базовые меры защиты. Необходимо обратить внимание на те аспекты, которые Роскомнадзор может проверить, даже не приходя к вам в офис.
Первым делом нужно зарегистрироваться в реестре операторов персональных данных. Компания, которая этого не сделала, — серьезный красный флаг для регулятора. В уведомлении важно расписать все максимально подробно: зачем вы собираете данные, какие именно, чьи они, как вы с ними работаете и на каком основании. Этот перечень информации станет вашей «визитной карточкой» для Роскомнадзора.
На сайте должны быть размещены все необходимые документы и материалы. В списке значатся политика конфиденциальности, соответствующие формы согласий и регистрации, cookie-баннер.
Шаг 2. Собрать комплект внутренних документов, регламентирующих работу с персональными данными. Первое, что нужно сделать:
- назначить ответственного за персональные данные и составить для него должностную инструкцию;
- решить и зафиксировать документально, кто имеет доступ к данным, какие у них права и обязанности.
В списке необходимых документов также:
- общая политика конфиденциальности компании,
- положение по организации обработки и обеспечению безопасности персональных данных вместе с формами документов,
- правила контроля защищенности данных,
- акт оценки вреда, который может быть причинен субъектам персональных данных,
- формы согласий на обработку персональных данных,
- документы, регламентирующие взаимодействие с третьими лицами по обработке данных.
Шаг 3. Трансформировать документальную базу в действующую систему защиты бизнеса. Ключевой этап — создание реестра процессов обработки персональных данных. Это централизованная система учета всех информационных потоков компании и баз данных, в которых осуществляется обработка. Реестр становится единой базой знаний компании и включает в себя:
- цели и правовые основания обработки ПД,
- категории субъектов ПД,
- объем обрабатываемых данных,
- описание процессов хранения, уничтожения и передачи информации.
Без такого реестра вся документация компании рискует остаться формальными шаблонами, не интегрированными в реальные бизнес-процессы. Именно на основе этой системы учета формируется большинство других нормативных документов организации.
Быть настороже
Систему безопасности данных необходимо постоянно поддерживать.
- Следить за актуальностью регуляторных требований. Постоянно мониторить изменения в законодательстве, отслеживать новые разъяснения регулятора и формировать практические рекомендации для бизнеса. Важно не только фиксировать изменения, но и оценивать их влияние на текущие процессы компании.
- Проверять соответствие документов стандартам обработки персональных данных. Выявлять устаревшие положения, анализировать новые бизнес-процессы и своевременно обновлять документацию с учетом текущих требований законодательства.
- Проводить аудиты. В ходе проверок анализировать технические и организационные механизмы, соответствие документации требованиям закона и практическую реализацию регламентов. Оптимальный подход сочетает внутренние проверки с внешними аудитами, позволяющими получить независимую оценку системы.
- Консультировать сотрудников подразделений. Важно настроить программу под реальные задачи каждого отдела, уделяя особое внимание практическим аспектам и разбору типичных ошибок.
Законодательство, касающееся персональных данных, предъявляет настолько обширные требования, что достичь полного соответствия практически невозможно. Более того, простое наличие пакета документов не гарантирует защиту от проверок и утечек данных. Но гибкая, управляемая система позволит оперативно реагировать на изменения и новые угрозы.
