Подготовка ответа на требование Роскомнадзора о защите персональных данных

Что проверяет Роскомнадзор

Роскомнадзор выступает государственным регулятором в сфере персональных данных. В числе прочих функций он уполномочен контролировать, как осуществляют операторы данных свои обязательства по закону 152-ФЗ. А операторами являются практически все работодатели (компании и предприниматели), так как в процессе деятельности они обрабатывают с помощью средств автоматизации личные сведения работников, работающих по трудовому договору, клиентов и контрагентов физлиц.

Также бизнес активно использует веб-ресурсы для продажи своих товаров и услуг. Таким образом, сайты, приложения, чат-боты в соцсетях собирают и обрабатывают личные сведения граждан в информационных системах. А делать это можно только с прямого согласия физлиц (субъектов персональных данных), которое должно быть оформлено соответствующим образом.

Более того, закон обязывает операторов информировать граждан, какие сведения собираются, для чего используются, каким образом оператор обеспечит защиту этих данных и через какое время уничтожит. Все эти правила и принципы работы с персональной информацией должны быть зафиксированы в локальных документах, и в указанных случаях — размещены в свободном доступе.

Выполнение этих и других требований федерального закона 152-ФЗ, иных нормативных актов как раз и проверяет Роскомнадзор в порядке, установленном Постановлением Правительства № 1046 от 29.06.2021. Например, регулятор может самостоятельно изучить сайт какой-либо компании или ИП, и в случае обнаружения нарушений законодательства — потребовать их устранить.

Что интересует регулятора

Роскомнадзор требует строго выполнения бизнесом своих обязательств, как операторов персданных.

Во-первых, все операторы должны встать на учет в Роскомнадзоре. Для внесения в реестр операторов персональных данных необходимо направить в РКН уведомление об обработке персональных данных (до начала работы с такими данными). В случае прекращения работы с персданными либо при изменении указанных ранее сведений следует также сообщить регулятору. Дополнительно нужно сообщить в РКН о трансграничной передаче данных.

Во-вторых, операторам следует разработать и утвердить комплект локальных документов, в которых необходимо прописать принципы и правила обработки личной информации, ее защиты и уничтожения, включая перечень категорий данных и субъектов, цели сбора сведений, порядок хранения баз данных, способы обработки и обеспечения безопасности информации. Также необходимо назначить ответственных лиц за работу с персональными данными.

В-третьих, оператору необходимо обеспечить гражданам возможность ознакомиться с политикой оператора по работе с персданными. Например, на сайте компании или ИП обязательно должна быть опубликована политика конфиденциальности или положение о персданных.

В-четвертых, операторы должны собирать личную информацию о людях только после получения от них соответствующего согласия на сбор сведений, их передачу и т. д.

Когда вы рискуете получить письмо от Роскомнадзора

1.  Вы являетесь оператором персданных, но в специальном реестре РКН не состоите (работаете с личными данными граждан без постановки на учет в Роскомнадзоре).
2. У вас есть сайт (приложение), где вы собираете личную информацию граждан без оформленного согласия субъектов.
3. На вашем веб-ресурсе нет опубликованной политики — документа, в котором установлены принципы сбора, обработки, хранения и уничтожения личных данных граждан.
4. Вы не отвечаете в срок на запросы граждан относительно обработки их личных данных.

Что может запросить Роскомнадзор

В целях предупреждения нарушений управление Роскомнадзора может прислать письмо с запросом подтвердить либо опровергнуть наличие права работы с персональной информацией граждан.

Если ИП или компания не состоят на учете в РКН, необходимо срочно отправить уведомление о начале работы с персданными. Условия обработки персданных без уведомления уполномоченных органов перечислены в законе. В любом случае письменно ответить на запрос нужно в течение 10-ти дней с даты получения письма.

Часто Роскомнадзор проверяет наличие полного комплекта внутренней документации по персданным, включая приказы, инструкции, журналы учета и пр.

Также регулятор может запросить формы согласий субъектов персданных, сведения о местах хранения информации и производимых действиях для ее защиты. Если компания/ИП передает персданные аутсорсеру, то Роскомнадзор может запросить договор с аутсорсинговой компанией.

Что отвечать Роскомнадзору

Ответ на письмо регулятора составляется в соответствии с запросом. Какие проблемы чаще всего обнаруживает Роскомнадзор?

• На веб-ресурсе предпринимателя или компании нет политики обработки персданных либо документ устарел (содержание не соответствует актуальным требованиям) — нужно разработать и разместить на сайте, в приложениях/соцсетях политику конфиденциальности (положение о персональных данных).
• Оператор не имеет всех необходимых документов по 152-ФЗ — нужно разработать и утвердить полный комплект документации по работе с персданными, их защите и т. д. (правовые основания для обработки персональных данных).
• Функционалом сайта не предусмотрено предоставление согласия клиента — следует составить форму согласия и сделать на сайте отдельные чек-боксы, в которых клиент должен самостоятельно ставить галочку.

Обратите внимание: нужны отдельные согласия: 1) на сбор данных, 2) на передачу данных другим лицам, 3) на сбор куки-файлов, 4) на получение рекламы.

• Оператор не сообщил о начале работы с персональной информацией — подготовить и подать соответствующее уведомление в Роскомнадзор.

На исправление недочетов и подготовку ответа дается всего 10 дней. Уложиться в данный срок тем сложнее, чем больше несоответствий выявлено регулятором.

Подготовить полный комплект документации по персональным данным и составить мотивированный ответ на запрос Роскомнадзора помогут наши эксперты. При необходимости свяжемся с исполнителем РКН и уточним требования.

Частые ошибки при самостоятельной подготовке ответа

1. Несоблюдение установленных сроков на предоставление письменных ответов Роскомнадзору.
2. Предоставление неполных сведений в отношении запрашиваемой информации.
3. Неиспользование возможности продлить сроки подготовки ответа по ходатайству оператора.

Что мы сделаем за вас

Самая большая проблема для операторов персданных при получении запроса Роскомнадзора — слишком короткие сроки для подготовки ответа. За это время очень сложно устранить нарушения и отчитаться.

Эксперты «Консалт-групп» помогут оперативно изучить обращение РКН и подготовить аргументированный ответ. Вам останется только подписать документы и отправить регулятору (по почте или через онлайн-сервис).

Также наши юристы помогут устранить все нарушения и несоответствия: уведомить РКН, внести корректировки в реестр операторов, подготовить новые документы в области обработки и защиты персональной информации.