Как проходит проверка Роскомнадзора сайта: какие документы запросят и как подготовиться

Роскомнадзор регулярно проверяет сайты, обрабатывающие персональные данные, размещающие рекламу или попадающие в другие категории регулирования. Проверка может быть как плановой, так и внеплановой — по жалобе пользователя, запросу прокуратуры или по результатам мониторинга. Вне зависимости от причины важно понимать, как проходит проверка и какие действия помогут избежать штрафов и блокировки.

Поводы для проверки сайта

Роскомнадзор может инициировать проверку:

• по плану (в рамках ежегодного графика проверок юридических лиц и ИП);
• по жалобе субъекта персональных данных;
• по запросу других госорганов (прокуратура, ФАС, МВД);
• после инцидента (например, утечки данных);
• при отсутствии уведомления об обработке ПДн.

Даже небольшой сайт с формой обратной связи подпадает под сферу регулирования закона №152-ФЗ, и его владелец — оператор персональных данных.

Этапы проверки сайта Роскомнадзором

1. Получение уведомления о проверке

Если проверка плановая, уведомление приходит за 3 рабочих дня до начала. В уведомлении указывается:

• основание проверки;
• перечень запрашиваемых документов;
• сроки и порядок предоставления информации.

При внеплановой проверке уведомление может не направляться заранее — владелец сайта узнаёт о проверке уже по факту.

2. Анализ открытых данных сайта

Инспектор анализирует сайт:

• наличие политики конфиденциальности;
• способ получения согласия на обработку ПДн;
• наличие контактных данных оператора;
• обработку cookies и других технических данных;
• соответствие пользовательского интерфейса требованиям закона.

Если обнаруживаются нарушения, фиксируются скриншоты и составляется акт осмотра.

3. Запрос документов

Роскомнадзор направляет письменный запрос, в котором требует предоставить:

• политику обработки персональных данных;
• формы согласия на обработку ПДн;
• положение об обработке ПДн (внутренний документ);
• приказ о назначении ответственного;
• договоры с третьими лицами, имеющими доступ к данным;
• уведомление в Роскомнадзор (если обязаны были подать);
• технические меры защиты ПДн (документация или договор с IT-подрядчиком);
• журналы учёта обращений субъектов данных (при наличии).

Срок ответа — 5 рабочих дней. Просрочка считается нарушением.

4. Оценка соответствия и составление акта

После анализа предоставленных данных составляется акт проверки. В нём фиксируются:

• выявленные нарушения;
• документы, не предоставленные или оформленные ненадлежащим образом;
• предложения по устранению нарушений.

5. Вынесение предписания и возможный штраф

Если нарушения зафиксированы, Роскомнадзор выносит предписание об устранении нарушений с указанием сроков. Также может быть составлен протокол об административном правонарушении, который передаётся в суд или рассматривается самим ведомством.

Размер штрафа — от 10 000 до 75 000 руб. за каждое нарушение.

Как подготовиться к проверке: рекомендации

Проведите аудит сайта

Проверьте, есть ли на сайте:

• политика конфиденциальности;
• форма согласия на обработку ПДн с чекбоксом;
• корректная публичная оферта (если есть онлайн-продажи);
• реквизиты владельца сайта;
• политика использования cookies (если применяются).

Подготовьте комплект документов

Минимальный набор включает:

• внутреннее положение об обработке ПДн;
• согласие на обработку ПДн (шаблон);
• приказ о назначении ответственного;
• уведомление в Роскомнадзор (если требуется);
• договоры с операторами (CRM, хостинг, маркетинговые платформы).

Проверьте порядок получения согласия

Согласие должно оформляться через отдельное действие пользователя — проставление галочки рядом с формой, обязательно со ссылкой на политику.

Проверьте сроки хранения данных

Данные не должны храниться дольше, чем нужно для достижения целей обработки. В политике конфиденциальности должны быть указаны сроки и порядок удаления.

Назначьте юриста ответственным лицом

Юрист играет ключевую роль:

• оценивает риски и даёт рекомендации по устранению нарушений;
• сопровождает процесс проверки, участвует в переговорах;
• готовит ответы на запросы;
• при необходимости — оспаривает действия Роскомнадзора в суде.

При подготовке статьи частично использованы материалы с сайта web2b.law — как проходит проверка Роскомнадзора сайта

Дата публикации: 29 мая 2022 года