Что делать, если на вас пожаловались в Роскомнадзор
Штрафные санкции для операторов персданных (персональных данных) в 2025 году выросли до сотен тысяч и десятков миллионов рублей. Если Роскомнадзор обнаружит нарушения, допущенные при работе с персональными данными, то бизнес ожидают серьезные проблемы. А как РКН узнает об этих нарушениях? Элементарно, к примеру, из жалобы недовольного гражданина.
А на вас жаловались в РКН? Даже если ответ — нет, эта статья вам все равно будет полезна.
Содержание статьи
Коротко о требованиях 152-ФЗ: что должны операторы персональных данных
Проинформировать Роскомнадзор о начале обработки персданных и об изменении ранее сообщенных сведений;
Сообщить о компрометации личной информации граждан;
Согласовать с РКН трансграничную передачу персданных;
Разработать комплект внутренней документации по работе с персданными;
Опубликовать свою политику работы с персданными;
Оформить с субъектами персданных согласия на обработку и передачу информации;
Обеспечить безопасность полученных данных и разработать меры по устранению допущенных нарушений. Предельная сумма штрафных санкций за нарушения в работе с персданными составляет до 3% годовой выручки оператора (от 25 000 000 ₽ до 500 000 000 ₽).
Как РКН проверяет операторов
Роскомнадзор контролирует работу всех операторов персданных (здесь и далее — операторов). А это практически все работодатели, а также предприниматели без сотрудников, которые имеют свой сайт (занимаются онлайн продажами, собирают данные клиентов).
Для выявления нарушений по 152-ФЗ регулятору предоставлен широкий выбор инструментов и методов, начиная от использования автоматизированных систем для мониторинга веб-ресурсов и заканчивая проведением очных проверок. Основанием для внеплановых контрольных мероприятий может послужить любая доступная информация, к примеру сведения из поступивших обращений граждан.
РКН рассматривает все поступившие жалобы и обращения физлиц. Стандартный срок — месяц. Если жалоба необоснованная (ее направил обидевшийся клиент или уволенный работник), регулятор все равно ее рассмотрит и даст свой ответ. Таким образом, реагирование на жалобы физлиц являются весьма эффективным способом контроля. Даже если в компании нет никаких нарушений, Роскомнадзор обратит на нее внимание и проверит.
Регулятор вправе запросить у оператора информацию или подтверждающие документы по существу вопросов. Подготовить и предоставить ответ необходимо в течение 10-ти рабочих дней. Если уложиться в этот срок не представляется возможным, то следует ходатайствовать о выделении дополнительного времени. Если РКН признает просьбу обоснованной, то выделит на исполнение еще 5 дней (всего получается до 15 дней).
По результатам проведенной проверки Роскомнадзор сформулирует предписание, которое компания или предприниматель должны будут выполнить (то есть устранить нарушения) в указанный в документе срок.
Также РКН вправе вообще приостановить работу оператора, пока тот не устранит допущенные нарушения, если такие действия оператора наносят вред интересам граждан (субъектов персданных).
Какие нарушения 152-ФЗ обнаруживает РКН
Ситуаций, когда операторы персданных не выполняют строгие требования законодательства в сфере персональной информации, очень много. Мы собрали в этом списке самые распространенные ошибки, указали санкции за такие нарушения и предложили способы устранения рисков.
- Не сообщили в РКН актуальную информацию о работе с персданными.
- Не оформили с субъектами согласие.
- Не разместили в открытом доступе политику оператора.
- Не утвердили полный комплект внутренних документов по 152-ФЗ
- порядок получения и работы с персданными,
- сроки хранения и уничтожения информации,
- процедуры защиты сведений и устранения последствий нарушений.
Во-первых, все операторы должны заблаговременно, то есть до начала работы с персданными, уведомить Роскомнадзор.
Во-вторых, при изменении любых сведений, сообщенных ранее, необходимо также уведомить РКН (направить информационное письмо). Причем сделать это нужно до середины следующего за изменениями месяца — до 15 числа. Таким же образом исправляются ошибки в реестре операторов.
Если не проинформировать РКН о работе с персданными, то штраф для бизнеса составит до 300 000 ₽, а в случае компрометации данных — до 3 000 000 ₽.
Что делать? Если не ставили в известность Роскомнадзор об обработке персданных — срочно направьте регулятору уведомление, заполненное по утвержденной форме. Если данные в реестре операторов устарели — актуализируйте сведения путем подачи информационного письма (также по утвержденной форме).
Операторы обязаны получить у каждого субъекта согласие на обработку его данных и отдельно — на распространение личной информации.
Если работодатель имеет только одно согласие работника — на обработку его данных, то он не имеет права публиковать эти сведения. Для распространения личной информации гражданина среди неопределенного числа лиц необходимо специальное согласие.
Согласие не требуется для выполнения функций, возложенных законом, например, для передачи данных в Соцфонд или военкомат, для исполнения судебного решения, для заключения договора и пр.
Также необходимо оформить согласие на направление рекламных рассылок и уведомлять пользователей о сборе куки-файлов на веб-сайте.
Отсутствие оформленного согласия (равно как и его неправильное оформление) карается штрафом до 700 000 ₽, а при повторных нарушениях — до 1 500 000 ₽.
Что делать? Во-первых, разработайте и утвердите формы согласий, содержание которых соответствует всем требованиям закона. В-вторых, оформите с субъектами персданных согласия в письменной форме (можно как в цифровом, так и бумажном виде). В противном случае будет сложно доказать Роскомнадзору законность обработки и передачи персданных.
Все операторы должны разработать собственную политику в отношении обработки, хранения, защиты и уничтожения персданных. Более того, они обязаны обеспечить беспрепятственный доступ всех желающих к этому документу. Например, если компания занимается сбором персданных через сайт, то на этом веб-ресурсе обязательно должна быть опубликована политика.
Отсутствие политики на сайте — штраф до 60 000 ₽.
Что делать? Разработайте политику работы с персданными с учетом актуальных требований и опубликуйте ее на всех веб-ресурсах компании.
Все операторы-юрлица должны иметь утвержденный комплект внутренних документов, которыми регламентируются:
Также компании обязаны назначить ответственных лиц за работу с персданными. И все без исключения операторы должны проводить на регулярной основе внутренний контроль.
Обработка персданных с нарушением закона, в частности, несоответствие сбора личных сведений физлиц заявленным целям, наказывается штрафом до 300 000 ₽, при повторных нарушениях — до 500 000 ₽.
Что делать? Проведите аудит имеющейся документации и составьте перечень документов, которые необходимо разработать или доработать в соответствии с актуальными требованиями закона. Конкретного списка обязательных для всех документов нет, этот перечень составляется с учетом специфики бизнеса и особенностей работы с персональной информацией.
Закажите аудит по 152-ФЗ у профессионалов! Эксперты «Консалт-групп» помогут выявить все потенциальные проблемы и устранить риски. Проанализируем ситуацию, предоставим рекомендации, подготовим ответ на запрос РКН, разработаем локальные акты и формы/шаблоны документов в сфере работы с персданными.
