Проверка роскомнадзора на 2019 год — как подготовиться, что проверяют

Планы проведения проверок контролирующими органами — это информация, которую ежегодно публикует Генеральная прокуратура РФ. На сайте ведомства уже опубликован сводный план проверок юридических лиц на 2019 год.

Тем, кто найдет в нем свое предприятие, лучше подготовиться к визиту проверяющих заблаговременно. О том, как искать свою компанию в реестре и что использовать при подготовке к приходу инспектора, читайте в статье.

КонсультантПлюс БЕСПЛАТНО на 3 дня

Получить доступ

Всю информацию о проверках юридических лиц и индивидуальных предпринимателей аккумулирует Генеральная прокуратура РФ; официальный сайт план проверок на 2019 год публикует в соответствии с требованиями части 7 статьи 9 главы 2 Федерального закона № 294 «О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля». Называется этот онлайн-ресурс «Сводный план проверок субъектов предпринимательства на 2019 год». Сайт Генеральной прокуратуры РФ сводный план проверок на 2019 год опубликовал в конце 2018 года.

Каждая организация и ИП должны искать себя сразу в двух списках: федеральном и региональном.

Планы проверок контролирующих ведомств в 2019 году

Кроме публикации на сайте Генпрокуратуры сводного реестра проверяемых, существует еще специальный сервис (оператором которого также является прокуратура России) — ФГИС «Единый реестр проверок».

Он отличается от информации на основном сайте Прокуратуры тем, что показывает сведения не только о планируемых контрольных мероприятиях, но и об уже завершенных или еще проходящих в настоящий момент.

Для использования этого ресурса нужно ввести не просто наименование организации, но и другие реквизиты. Форма для ввода выглядит так:

Хотя в Реестре информации больше, для того чтобы узнать, нужно ли ожидать визита проверяющих в 2019-м, достаточно сводного плана. Пользоваться им несложно.

Как узнать о плановом визите проверяющих

Всю информацию о контрольных мероприятиях проверяет, уточняет и публикует Генпрокуратура РФ (официальный сайт); план проверок на 2019 год покажет информацию по конкретной организации на основании ее наименования, ИНН и ОГРН в разрезе:

• месяца визита проверяющих;
• названия контролирующего ведомства.

Если есть опасения, что, например, вас собирается посетить Роспотребнадзор, и вы стремитесь узнать об этом заранее, посмотрите сначала на сайте регионального управления этого ведомства, ищите раздел «Плановые проверки Роспотребнадзора на 2019 год: план и график проверок».

На региональных сайтах ведомства и прокуратуры информация появляется раньше, чем на централизованном сайте. То же относится и к сведениям о том, что планирует Росздравнадзор: план проверок на 2019 год обязательно войдет в сводный реестр — информация там появится до конца года.

Если в списке свою компанию вы не найдете, то проверяющие не придут. Правда, они могут прийти внепланово, оснований для этого хватает. Кроме того, реестр не охватывает контрольных мероприятий, проводимых в рамках:

• следственных действий и оперативно-розыскных мероприятий;
• осуществления правосудия;
• прокурорского надзора;
• финансового и банковского надзора;
• валютного контроля;
• расследований причин и последствий чрезвычайных происшествий техногенного, природного или инфекционного характера;
• административного расследования (ранее открытого);
• расследования несчастных случаев на производстве;
• антимонопольного контроля на основании инсайдерской информации.

Отдельно нужно помнить о том, что с момента государственной регистрации юрлица или ИП для включения в реестр должно пройти не менее 3 лет. Аналогичный срок должен пройти с момента завершения последнего планового надзорного мероприятия тем же контролирующим органом.

До 31.12.2018, в соответствии с положениями статьи 26.1 ФЗ № 294-ФЗ, действовал запрет на плановые надзорные мероприятия в отношении субъектов малого предпринимательства.

Однако срок действия этого моратория истек в конце 2018 года. Но в конце декабря депутаты приняли ФЗ от 25 декабря 2018 г. N 480-ФЗ, который добавляет к ФЗ-294 статью 26.

2 и продлевает мораторий на проверки для малых предприятий до конца 2020 года.

Однако в указанной статье дан довольно внушительный перечень исключений. Мораторий на проверки МСП не действует, если:

• проверка проводится с использованием риско-ориентированного подхода (перечень см. ниже);
• объект проверки отнесент к особому перечню предприятий, на которые мораторий не распространяется (это здравоохранение, образование, социальная сфера, предприятия тепло-, электроснабжения, энергосбережения и энергоэффективности);
• ранее на предприятие была возложена административная ответственность, и с тех пор прошло менее 3 лет;
• компания ведет лицензируемую деятельность;
• проверка касается радиационной, атомной безопасности, сохранения гостайны и т.п.

Использование проверочных листов

Кстати, напоминаем, что с 01.01.2018 многие ведомства проводят контроль с использованием проверочных листов (к сожалению, Налоговая инспекция чек-листы не использует).

Если вы увидите, что и вашу компанию ожидают плановые проверки на 2019 год (официальный сайт прокуратуры включил в реестр и вашу организацию), советуем воспользоваться чек-листами ведомств, планирующих нанести вам визит. Это поможет подготовиться к контрольным мероприятиям. Найти чек-листы можно в соответствующих ведомственных приказах — вот лишь некоторые:

Источник: https://ppt.ru/news/141200

Оснований для проверки стало больше, сроки сократили

В правилах описаны плановые и внеплановые проверки: когда могут прийти, что попросят, сколько времени займут и чем это закончится. За одно нарушение закона о персональных данных можно получить штраф до 75 тысяч рублей. Если нарушений несколько, есть риск потерять сотни тысяч. И это касается всех, у кого есть даже небольшая рассылка или интернет-магазин.

Мы изучили правила, чтобы вам не пришлось читать 17 страниц постановления. Вот как это работает.

Вот примеры, которые попадают под действие этих документов:

1. Владелец сайта просит подписаться на рассылку. Посетители оставляют имя, фамилию и электронную почту.
2. Покупатели заказывают товары в интернет-магазине. Продавец получает от них имена, телефоны и домашние адреса для доставки.
3. Обычный магазин пробивает покупателю чек и отправляет его на номер телефона.
4. Самозанятый сдает квартиру и получает от арендатора адрес электронной почты и номер телефона для обязательной отправки чека из приложения.
5. Инфобизнесмен создает форум о криптовалютах, где люди регистрируются, добавляют свои фото и общаются.
6. Молодая мама создает сообщество для совместных закупок и обмена вещами. Там регистрируются такие же мамы, оставляют свои телефоны, профили в соцсетях и платежные данные.
7. Медицинский центр берет анализы у пациента и оформляет его на прием к врачу.
8. Компания нанимает работников по трудовым договорам, берет их паспортные данные, СНИЛС и домашние адреса.
9. Школа принимает заявления от родителей на прием детей в первый класс.
10. Бизнес-центр просит паспорт посетителя, чтобы оформить ему одноразовый пропуск.

Все эти владельцы сайтов, магазинов, бизнес-центров, форумов, рассылок и обычные работодатели — операторы персональных данных. Они должны соблюдать закон, оформлять документы и, когда положено, — уведомлять Роскомнадзор.

Персональные данные — это любая информация, которая прямо или косвенно относится к конкретному человеку и позволяет его идентифицировать.

Точного списка таких данных нет, но в методичке Роскомнадзора есть примеры:

1. Фамилия, имя, отчество.
2. Дата и место рождения.
3. Адрес.
4. Семейное и социальное положение.
5. Имущество и доходы.
6. Образование и профессия.
7. Специальные данные: раса, национальность, религия, здоровье, политические взгляды. Эти данные нельзя обрабатывать.
8. Биометрические данные: фотография, образец голоса, отпечатки пальцев.

Чтобы операторы персональных данных не раздавали информацию о своих клиентах всем подряд, надежно ее хранили и удаляли по требованию, Роскомнадзор проводит проверки, находит нарушения, выносит предупреждения и штрафует.

Права представителей Роскомнадзора строго регламентированы, но их немало. Вот что они могут делать во время проверки операторов персональных данных:

1. Запрашивать информацию и документы.
2. Посещать и обследовать помещения, где работает оператор.
3. Выдавать предписания об устранении нарушений.
4. Использовать технику и оборудование для проверки и наблюдения.
5. Получать доступ к программам и базам оператора, просматривать информацию, которая нужна именно для проверки условий хранения данных.
6. Требовать прекращения обработки и удаления данных, если нарушены требования.
7. Составлять протоколы об административном правонарушении.
8. Обращаться в полицию и прокуратуру, если оператор не пускает в помещение и мешает проверке.
9. Запрашивать устные и письменные пояснения в ходе проверки.

Эти права у проверяющих есть не только в ходе выездной проверки, но и при наблюдении за тем, как оператор персональных данных работает, что публикует и как собирает информацию. При этом оператор может об этом даже не знать. Дальше расскажем, что такое наблюдение и чем оно грозит операторам.

При проверке операторов персональных данных должностные лица из Роскомнадзора обязаны:

1. Вовремя находить и пресекать нарушения.
2. Проводить проверки только на основании приказа. Всегда требуйте этот документ.
3. Проводить выездную проверку только при исполнении служебных обязанностей.
4. Предъявлять удостоверение и копию приказа.
5. Не мешать руководителю или уполномоченным сотрудникам компании присутствовать при проверке, отвечать на их вопросы.
6. Рассказывать о результатах проверки.
7. Принимать меры с учетом тяжести нарушений.
8. Не ограничивать права и не нарушать интересы оператора без веских оснований.
9. Соблюдать сроки проверки.

Любое нарушение — повод обжаловать результаты проверки, ее продление и даже сам факт проведения. Если что-то идет вразрез с правилами, фиксируйте детали и отправляйте жалобу руководству управления Роскомнадзора.

Плановая проверка — это когда Роскомнадзор заранее, на год вперед, составляет план проверок и размещает его в открытом доступе. Кто угодно может проверить, придут к нему в этом году или нет. В плане указана дата проверки, так что можно подготовиться.

Как предупредят. О плановой проверке предупредят за три рабочих дня любым доступным способом: отправят копию приказа по почте, пришлют электронное уведомление или как-то еще.

Когда могут прийти. Раньше было три основания для таких проверок, теперь только эти:

1. Прошло три года с регистрации фирмы или ИП.
2. Последнюю плановую проверку проводили три года назад.

График плановых проверок нужно искать в реестре Генпрокуратуры.

Как часто. Плановые проверки проводят раз в три года. Но теперь могут приходить и каждые два года. Это особые случаи: например, обработка биометрических данных или передача информации за границу.

Сколько длится. Плановые проверки проводят максимум 20 дней. Так было и раньше. Один раз проверку могут продлить.

Внеплановая проверка — это когда визита проверяющих нет в графике и за три дня об этом не сообщают. То есть проверка внезапная, повод может возникнуть в любое время, а причина заранее неизвестна.

Как предупредят. О внеплановой проверке предупредят за сутки.

Когда могут прийти. Для внеплановой проверки все равно нужны основания. Все они перечислены в постановлении правительства, но список теперь новый — не такой, как был в регламенте.

Вот эти основания:

1. Оператору выдали предписание для устранения нарушений, а он его игнорирует.
2. Кто-то из людей пожаловался и приложил доказательства, что оператор нарушает их права.
3. Есть поручение президента или правительства.
4. Потребовал прокурор.
5. Руководителю принесли докладную записку по итогам наблюдения за оператором: мол, тут товарищи нарушают, надо бы их проверить. И глава управления Роскомнадзора согласился и решил: проверяйте. Раньше такой причины для проверок не было.

Последний пункт самый интересный. Смотрите: за вашим сайтом и бизнесом могут просто тихонько наблюдать. Вам при этом ничего не присылают, ничего не запрашивают.

Читают ваши пользовательские соглашения, проверяют галочки на формах подписки — эта процедура называется наблюдением, она предусмотрена правилами.

И если есть подозрения, что вы что-то нарушаете: не спрашиваете согласия, плохо защищаете данные или не предупреждаете об их сборе, — докладная на стол и встречайте внеплановую проверку. По правилам должны согласовать эту проверку с прокуратурой, но для вас будет сюрприз.

Как часто. У внеплановых проверок нет периодичности. К нарушителям могут приходить хоть каждый месяц.

Если проверка документарная, бумаги должны быть готовы в течение пяти рабочих дней. То есть и этот срок сократили в два раза. С оригиналов документов нужно сделать заверенные печатью и подписью копии и передать в Роскомнадзор. Можно отправить через интернет с усиленной подписью. Дата представления документов — это не дата отправки, а дата штампа о приемке Роскомнадзором.

Если в документах найдутся противоречия, Роскомнадзор запросит пояснения. Их придется представить в течение трех рабочих дней. Раньше для уточнения давали 10 дней.

Любой человек, которому кажется, что его данные неправильно обрабатывают, передают кому-то без разрешения или не удаляют по требованию, может написать обращение в Роскомнадзор. Каждое такое обращение обязаны рассмотреть и дать на него ответ.

Выездную проверку проводят по месту работы или регистрации бизнеса. Если оператор персональных данных — физлицо без регистрации ИП, выездной проверки у него быть не может.

Когда начинается выездная проверка, представитель Роскомнадзора показывает удостоверение и приказ с информацией о сроках, основаниях и целях проверки. Еще до того как начнут проверять, оператору вручат запрос о представлении документов. Раньше такого не было. На подготовку документов дадут минимум два дня.

Во время проверки нужно предоставить проверяющим доступ в помещения и к компьютерам. Если мешать проверке, составят акт и пригласят полицию.

Если проверка придет и никого не застанет по указанному адресу, сроки приостановят. Если и потом никто не объявится, с внеплановой проверкой смогут прийти в любое другое время вообще без предупреждения.

1. В процессе проверки поступила информация о нарушении обработки персональных данных.
2. Случился форс-мажор на месте проверки: офис затопило или что-то загорелось.
3. Оператор персданных не представляет документы, которые у него просят.
4. Выяснилось, что предстоит много работы: сложные процессы, большой объем документов, несколько видов деятельности.

Проверку могут продлить только на основании приказа. С ним обязательно знакомят оператора в течение трех дней после того, как приняли решение увеличить срок.

Когда проверка закончится, составят акт в двух экземплярах. В нем напишут, что нарушений нет или что их нашли. Представитель оператора должен подписать акт. Если отказаться, от штрафов это не спасет: в акте сделают пометку об отказе и пришлют его по почте.

Если оператор персональных данных что-то нарушил, ему выдадут предписание: устраните нарушения в такой-то срок. Максимальное время для устранения — 6 месяцев. Но конкретному оператору могут дать и меньше. Раньше этот период регламент не ограничивал.

Когда нарушение устранят, об этом нужно сообщить в Роскомнадзор. Если предписание не исполнено или не все нарушения устранили, может прийти внеплановая выездная проверка. А если в результате нарушаются права тех, чьи данные обрабатывают, Роскомнадзор может вообще запретить обработку, пока все не исправят. Для бизнеса это может означать приостановление деятельности.

За нарушения при обработке персональных данных могут вынести предупреждение, а могут оштрафовать: юрлицо — отдельно, директора — дополнительно.

Чтобы находить нарушения, Роскомнадзор проводит специальные мероприятия, в которых сами операторы никак не задействованы и о которых они вообще не знают. Это наблюдение двух видов:

1. Как соблюдаются требования при размещении информации в СМИ и интернете.
2. Какие данные и документы оператор представляет в Роскомнадзор.

Это не проверка, а просто наблюдение, о котором вы даже не подозреваете. Но его результаты могут стать основанием для внеплановой проверки.

Для наблюдения должно быть задание. А для задания нужны причины:

1. поручение президента, правительства или руководителя Роскомнадзора;
2. обращения госорганов, компаний, предпринимателей, обычных людей;
3. публикации в СМИ и интернете о нарушении прав при обработке персданных.

Быть оператором персональных данных — это не значит обязательно регистрироваться в реестре и всегда запрашивать согласие. Если вы получаете и храните чьи-то данные, вы уже оператор. ИП и юрлиц могут проверить планово и внезапно, вам нужно оформлять документы и соблюдать закон.

При этом не все операторы должны регистрироваться в реестре Роскомнадзора. И не всегда нужно получать согласие: по закону обрабатывать данные можно и без согласия.

Например, если вы запрашиваете электронную почту для отправки чека, согласие не нужно. Если просите адрес для доставки пиццы, согласие тоже не нужно.

Но при этом вы оператор персональных данных и должны соблюдать остальные требования закона. Вас могут проверять, штрафовать и блокировать.

Источник: https://journal.tinkoff.ru/news/proverka-persdannye-2019/

План проверок Роскомнадзора на 2019 год

22 ноября 2018 года Управление Роскомнадзора по ЦФО опубликовало план проверок операторов персональных данных Москвы и Московской области на 2019 год.

В декабре в план были внесены изменения: удалён БИНБАНК, добавлены Яндекс.Такси, Яндекс.Драйв и Яндекс.Здоровье.

План проверок операторов персональных данных на 2019 год

МесяцНаименованиеИННОГРНЯнварь

Февраль

Март

Апрель

Май

Июнь

Июль

Август

Сентябрь

Октябрь

Ноябрь

Декабрь

Общество с ограниченной ответственностью «Проктер энд Гэмбл»	7701032910	1027700413927
Общество с ограниченной ответственностью «Бургер Рус»	7719723690	1097746274009
Общество с ограниченной ответственностью «Эппл Рус»	7707767220	5117746070019
Общество с ограниченной ответственностью «ПИК-Комфорт»	7701208190	1027700082266
Публичное акционерное общество «Ростелеком»	7707049388	1027700198767
Министерство культуры Российской Федерации	7705851331	1087746878295
Министерство строительства и жилищно-коммунального хозяйства Российской Федерации	7707780887	1127746554320
Федеральная служба государственной регистрации, кадастра и картографии	7706560536	1047796940465
Федеральная служба по труду и занятости	7710538364	1047796269564
Общество с ограниченной ответственностью «АШАН»	7703270067	1027739329408
Центральный банк Российской Федерации	7702235133	1037700013020
Публичное акционерное общество «БАНК УРАЛСИБ»	0274062111	1020280000190
«Газпромбанк» (Акционерное общество)	7744001497	1027700167110
Публичное акционерное общество «Почта Банк»	3232005484	1023200000010
Общество с ограниченной ответственностью «Яндекс»	7736207543	1027700229193
Общество с ограниченной ответственностью «Яндекс.Такси»	7704340310	5157746192731
Общество с ограниченной ответственностью «Яндекс.Драйв»	7704448440	5177746277385
Общество с ограниченной ответственностью «Клиника Яндекс.Здоровое»	7704448842	5177746308394
Закрытое акционерное общество «КРОК инкорпорейтед»	7701004101	1027700094949
Общество с ограниченной ответственностью «Примоколлект»	7715936506	1127746767202
Общество с ограниченной ответственностью «АктивБизнесКоллекшн»	7736659589	1137746390572
Общество с ограниченной ответственностью «М.Б.А. Финансы»	7726626680	1097746177693
Общество с ограниченной ответственностью «Техкомпания Хуавэй»	7714186804	1027739023212
Акционерное общество «Мерседес-Бенц РУС»	7707016368	1027700258530
Акционерное общество «Сони Электроникс»	7703001265	1027700342625
Акционерное общество «АльфаСтрахование»	7713056834	1027739431730
Публичное акционерное общество «БИНБАНК»	5408117935	1025400001571
Публичное акционерное общество «Промсвязьбанк»	7744000912	1027739019142
Московская административная дорожная инспекция правительства Москвы	7707821043	5137746161790
Государственное казенное учреждение города Москвы «Администратор Московского парковочного пространства»	7714887870	1127747079790
Государственное казенное учреждение города Москвы — Центр организации дорожного движения правительства Москвы	7710350884	1027739355930
Общество с ограниченной ответственностью «Мицубиси Корпорейшн (РУС)»	7705540343	1137746421141
Общество с ограниченной ответственностью «Биолинк Солюшенс»	7743584327	1067746272868
Государственное унитарное предприятие города Москвы «Мосгортранс»	7705002602	1037739376223
Общество с ограниченной ответственностью «КЕХ еКоммерц»	7710668349	5077746422859
Общество с ограниченной ответственностью «ОСГ Рекордз Менеджмент Центр»	7713635976	1077761966413

Основания для включения в план

Роскомнадзор формирует план самостоятельно, включает организации в план с учётом собственных критериев, без какой-либо очевидной системы. Обычно в план включают несколько представителей следующих областей экономики:

• банки, страховые компании и финансовые организации
• операторы связи
• государственные органы
• транснациональные компании
• медицинские учреждения и фармацевтические компании

• Также в план включаются операторы персональных данных, в отношении которых поступают массовые жалобы и замечания (например, коллекторские агентства).
• Наличие или отсутствие уведомления об обработке персональных данных не является определяющей причиной попадания в план.
• С 2015 года (с момента вступления в силу требований об обработке ПДн в базах данных на территории России) можно отметить увеличение количества проверяемых транснациональных компаний.

Сроки и порядок проведения проверок операторов персональных данных определяются Административным регламентом предоставления Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций государственной функции по осуществлению государственного контроля (надзора) за соблюдением обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных, утвержденным Приказом Министерства связи и массовых коммуникаций Российской Федерации от 14.11.2011 № 312.

Продолжительности проверки определяется планом проверок и обычно составляет 20 рабочих дней, однако указанный срок может быть продлён приказом руководителя Роскомнадзора еще на 20 рабочих дней, таким образом максимальная продолжительность может составить 40 дней.

О проведении проверки оператор уведомляется приказом не позднее чем за 3 рабочих дня до начала её проведения. Приказ содержит фамилии, имена, отчества должностных лиц (не менее 2), проводящих проверку, а также перечень запрашиваемых к началу проверки документов.

Методика

Методика проведения проверок частично определяется Административным регламентом. В частности, предметом государственного контроля (надзора) за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных являются:

• Документы, характер информации в которых предполагает или допускает включение в них персональных данных.
• Информационные системы персональных данных.
• Деятельность по обработке персональных данных.

Инспекторы имеют следующие права:

• Использовать технику и оборудование, принадлежащие Службе или ее территориальному органу.
• Запрашивать и получать необходимые документы (сведения) для достижения целей проведения проверки.
• Получать доступ к информационным системам персональных данных в режиме просмотра и выборки необходимой информации.
• Требовать от Оператора уточнения, блокирования или уничтожения недостоверных или полученных незаконным путем персональных данных.
• Привлекать экспертов и экспертные организации при проведении контрольно-надзорных мероприятий, а также для анализа полученных материалов.

Проверка завершается:

• Составлением и вручением Оператору акта проверки.
• Выдачей Оператору предписаний об устранении выявленных нарушений требований законодательства Российской Федерации в области персональных данных.
• Составлением протоколов об административных правонарушениях в отношении Оператора.
• Подготовкой и направлением материалов проверки в правоохранительные органы для решения вопроса о возбуждении дела об административном правонарушении, о возбуждении уголовного дела по признакам преступлений, связанных с нарушением прав субъектов персональных данных, в соответствии с подведомственностью.

В ходе проведения проверки Роскомнадзор осуществляет следующие мероприятия по контролю:

• Рассмотрение документов Оператора, в том числе:
  • Уведомление об обработке персональных данных.
  • Документов, необходимых для проверки фактов, содержащих признаки нарушения законодательства Российской Федерации в области персональных данных, изложенных в обращениях граждан и информации, поступившей в Службу или ее территориальный орган.
  • Документов, подтверждающих выполнение Оператором предписаний об устранении ранее выявленных нарушений законодательства Российской Федерации в области персональных данных.
  • Письменного согласия субъекта персональных данных на обработку его персональных данных.
  • Документов, подтверждающих соблюдение требований законодательства Российской Федерации при обработке специальных категорий и биометрических персональных данных.
  • Документов, подтверждающих уничтожение Оператором персональных данных субъектов персональных данных по достижении цели обработки.
  • Локальных актов Оператора, регламентирующих порядок и условия обработки персональных данных.
• Исследование (обследование) информационной системы персональных данных, в части, касающейся персональных данных субъектов персональных данных, обрабатываемых в ней.
• Исследование (обследование) фактической деятельности по обаботке персональных данных.

Перечень запрашиваемых документов при проверке вы можете скачать по следующей ссылке.

Проверки, проводимые Управлением РКН по ЦФО, существенно отличаются от проверок управлений по другим федеральным округам, что связано с большим опытом, более высокими компетенциями инспекторов и близостью к Центральному Аппарату, который определяет правовые позиции по сложным вопросам и осуществляет контроль выполнения каждой проверки. Особое внимание при проверках в ЦФО инспекторы уделяют оценке выполнения требований по размещению в России баз данных, содержащих персональные данные.

В состав проверяющих лиц помимо сотрудников Управления РКН по ЦФО обязательно включают сотрудников ЦА РКН, осуществляющих общий контроль. Результаты проверки в обязательном порядке согласовываются с ЦА.

Просто напишите нам письмо на почту , или позвоните по контактам в конце страницы.

У нас большой опыт участия в проверках Роскомнадзора.

Мы непосредственно сопровождали проверки на стороне оператора:

Наши сотрудники участвовали в проверках:

С перечнем оказываемых услуг вы можете ознакомиться на следующей странице.

Источник: https://www.radium-it.ru/brief/pd/plan-2019/

Проверка Роскомнадзора по защите персональных данных: как подготовиться и избежать штрафов

Согласно Федеральному закону №294-ФЗ плановая проверка Роскомнадзора осуществляется не чаще 1 раза в 3 года.

Таким образом, если в указанный период в вашей компании она проводилась и в дальнейшем вы не допускали каких-либо нарушений, в ближайшее время ожидать проверки не стоит.

Если же за последние 3 года инспекторы не были у вас в гостях, то самое время подготовиться к их визиту. Тем более что в настоящее время Госдума рассматривает законопроект о значительном увеличении штрафов за нарушения в обработке персональных данных.

Виды проверок Роскомнадзора

Проверки Роскомнадзора бывают плановыми и внеплановыми, документарными и выездными.

— Плановая проверка

О плановых проверках Роскомнадзор предупреждает заранее. За 3 дня по почте приходит  уведомление, в котором указано, какого числа будет проверка. Но каждая компания может заранее узнать, включена ли она в список тех, кого будут проверять в текущем году. План проверок опубликован на сайте Роскомнадзора.    

— Внеплановая проверка

Часто проводится по жалобам физических лиц. Например, люди могут жаловаться на нежелательную рекламную рассылку, SMS-спам, назойливые телефонные звонки. О внеплановой проверке Роскомнадзор предупреждает за 24 часа.

— Документарная проверка

В этом случае Роскомнадзор запрашивает список документов, копии которых необходимо отослать в территориальный орган Роскомнадзора.

— Выездная проверка

При выездной проверке в компанию приезжают инспекторы. Обычно несколько человек. Инспекторы на месте проверяют, как компания выполняет требования Федерального закона №152-ФЗ.

В случае и с плановой, и с внеплановой проверкой у компании слишком мало времени на то, чтобы подготовиться и исправить все нарушения. Поэтому делать все нужно заранее.

Как выполнить требования законодательства и подготовиться к проверке Роскомнадзора?

Федеральный закон №152-ФЗ требует от компаний выполнения определенных организационных, правовых и технических требований.

Чтобы выполнить их самостоятельно, нужно изучить не только сам закон, но и его подзаконные акты, разобраться в том, какие именно меры необходимо предпринять.

Но можно поступить проще — привлечь специалиста на аутсорсинге, который выполнит объем необходимой работы: изучит все процессы обработки персональных данных в компании, составит необходимые документы, внедрит средства защиты и т д.

Если привлечение внешнего специалиста для вас дорого, сделайте выбор в пользу бюджетного варианта и используйте специальные онлайн-сервисы для выполнения законодательства о персональных данных.

Если же вы решили действовать самостоятельно, то вам придется выполнить несколько шагов:

1. Для начала найдите в компании человека, который будет следить за выполнением законодательства в области персональных данных. Часто в компаниях малого и среднего бизнеса эта функция делегируется бухгалтеру, кадровику или юристу. Реже ее берет на себя руководитель. В крупных компаниях вопросами защиты информации может заниматься целый отдел.
2. Назначьте ответственного за организацию обработки персональных данных в компании. Скорее всего, это будет тот же человек, который  занимается вопросами персональных данных.
3. Изучите процесс обработки персональных данных в компании, например, какие персональные данные компания собирает, в каких целях. Компания может собирать персональные данные работников для выполнения трудового законодательства или данные клиентов для выполнения заключенных с ними договоров, ей также могут понадобиться персональные данные соискателей на вакантные должности. Возможно, компания передает эти данные в другую организацию,  например, данные сотрудников в бухгалтерию.
4. На основе полученной информации разработайте пакет документов, включающий политику компании в отношении обработки персональных данных, положение по неавтоматизированной обработке, приказ о назначении ответственных и ряд других положений, приказов, инструкций и актов. Разработанные документы необходимо утвердить.
5. Обязательно ознакомьте с утвержденными документами всех работников, которые имеют к ним отношение. Например, с положением по неавтоматизированной обработке нужно ознакомить только тех работников, которые работают непосредственно с бумажными документами, содержащими персональные данные.
6. Основной документ — политику компании в отношении обработки персональных данных — разместите в общедоступном месте, чтобы каждый желающий мог ее прочесть. Лучше всего копию документа разместить на информационном стенде. Если у компании есть сайт, на котором собираются персональные данные пользователей, например, ФИО, телефон и e-mail для регистрации, то на сайте также нужно разместить политику, причем в том месте, где она будет заметна пользователю.
7. Подайте уведомление в Роскомнадзор об обработке персональных данных. Уведомление оформляется в двух видах — электронном и печатном. 

Чтобы выслать уведомление в электронном виде, нужно на сайте Роскомнадзора заполнить электронную форму. После отправки электронного уведомления, распечатайте форму и отправьте ее по почте в территориальный орган Роскомнадзора.

В течение 30 дней Роскомнадзор рассмотрит ваше уведомление и добавит компанию в реестр операторов. Присутствие компании в реестре свидетельствует не только о выполнении одного из требований Федерального закона №152-ФЗ, но и о добропорядочности и прозрачности деятельности компании, что важно для контрагентов.

Проверка Роскомнадзора: на что обращают внимание инспекторы?  

Прежде всего, инспекторы захотят ознакомиться со всеми необходимыми документами. Первое, на что обратят внимание проверяющие, — подавала ли компания уведомление в Роскомнадзор. Компания, которая не отправила уведомление и не попадает под исключения закона, будет привлечена к ответственности.

Какие персональные данные можно обрабатывать без уведомления:

1. данные, которые обрабатываются в соответствии с трудовым законодательством;
2. данные, полученные оператором в связи с заключением договора, стороной которого является субъект персональных данных, если персональные данные не распространяются, а также не предоставляются третьим лицам без согласия субъекта персональных данных и используются исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных;
3. данные, относящиеся к членам (участникам) общественного объединения или религиозной организации и обрабатываемые соответствующими общественным объединением или религиозной организацией, действующими в соответствии с законодательством РФ, для достижения законных целей, предусмотренных их учредительными документами, при условии, что персональные данные не будут распространяться или раскрываться третьим лицам без согласия в письменной форме субъектов персональных данных;
4. данные, сделанные субъектом персональных данных общедоступными;
5. данные, включающие в себя только фамилии, имена и отчества субъектов персональных данных;
6. данные, необходимые в целях однократного пропуска субъекта персональных данных на территорию, на которой находится оператор, или в иных аналогичных целях;
7. данные, включенные в информационные системы персональных данных, имеющие в соответствии с федеральными законами статус государственных автоматизированных информационных систем, а также в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка;
8. данные, обрабатываемые без использования средств автоматизации в соответствии с федеральными законами или иными нормативными правовыми актами РФ, устанавливающими требования к обеспечению безопасности персональных данных при их обработке и к соблюдению прав субъектов персональных данных.
9. данные, обрабатываемые в случаях, предусмотренных законодательством о транспортной безопасности, в целях обеспечения устойчивого и безопасного функционирования транспортного комплекса, защиты интересов личности, общества и государства в сфере транспортного комплекса от актов незаконного вмешательства.

Если уведомление было подано в Роскомнадзор, при проверке инспекторы будут ориентироваться на него и сравнивать его с реальными процессами обработки персональных данных в компании. Если информация не соответствует действительности, например, после подачи уведомления в компании поменялся ответственный за организацию обработки персональных данных, ее могут оштрафовать за то, что в Роскомнадзор вовремя не было отправлено информационное письмо о произошедшем изменении.

Роскомнадзор просматривает сайт компании. Если на сайте организован сбор информации (ФИО, телефон, электронный адрес пользователя), но не опубликована политика компании в отношении обработки персональных данных, компанию могут оштрафовать.

Во время проверки Роскомнадзор может попросить формы документов, в которых содержатся персональные данные. Например, это могут быть анкеты для соискателей вакантных должностей. Сами формы нужно подготовить заранее. Инспекторам также может быть интересна форма согласия на обработку персональных данных.

К ним относится информация о расовой, национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни.

Такие данные можно собирать только с письменного согласия человека и только на законных основаниях, например, если информация о состоянии здоровья работника нужна работодателю для понимания того, сможет ли он выполнять свои трудовые функции.

Если компания передает персональные данные другим компаниям (например, банкам в рамках зарплатного проекта), то следует  обратить внимание на то, как составлен договор с этими компаниями. Согласно ч.3 ст.

6 №152-ФЗ в договоре должно быть прописано следующее: с какой целью передаются персональные данные другой компании, какие действия она будет совершать с ними, обязанность компании обеспечивать конфиденциальность и безопасность полученных персональных данных.

В договоре должно быть указано, что компания, которой передаются персональные данные, принимает правовые, организационные и технические меры для защиты персональных данных. Роскомнадзор обязательно попросит копию договора.

В помещения, в которых обрабатываются персональные данные, должен быть контролируемый доступ. Это значит, что, например, клиент банка не должен иметь возможности подсмотреть персональные данные. Они могут быть доступны только работникам, которые имеют допуск к их обработке.

Также нужно обеспечить раздельное хранение документов, содержащих персональные данные разных физических лиц. То есть личные данные работников должны храниться отдельно от договоров с клиентами.

Если Роскомнадзор во время проверки увидит разбросанные документы с персональными данными на столах работников, к компании возникнут вопросы.

В целом проверка Роскомнадзора не так страшна, как многим кажется. Если в компании документы поддерживаются в актуальном состоянии, подано уведомление и информация в нем соответствует реальности, в компании приняты все организационно-правовые меры, то контролирующему органу придраться будет не к чему.

• Елена Республиканская
• Чего ждать бизнесу от закона о хранении персональных данных?
• 5 базовых принципов закона о персональных данных, о которых нужно знать  

Источник: https://kontur.ru/articles/1775

Роскомнадзор проверки | график 2019

В статье расскажем, что проверяет Роскомнадзор, как подготовиться к визиту инспекторов. Скачайте график проверок 2019 и образец уведомления об обработке персональных данных.

План проверок Роскомнадзора на 2019 год

Контрольные мероприятия Роскомнадзора проводятся в соответствии с ежегодным планом. Такой формат деятельности практикуется с 2009 года. В середине декабря на сайте организации размещают план на следующий год.

РКН планирует провести контрольные мероприятия в отношении организаций, которые имеют отношение к обработке персональных данных. Наибольший интерес у надзорного органа традиционно вызывают следующие отрасли: образование, медицина, туризм, финансовые услуги и управляющие компании. В подавляющем большинстве случаев речь будет идти о юридических лицах, а не об индивидуальных предпринимателях.

В график проверок Роскомнадзора на 2019 год включены как юрлица, подавшие уведомление об обработке персональных данных в реестр операторов, так и те, кто этого еще не сделал.

Проверки Роскомнадзора на 2019 год

Основные полномочия РКН определены в Федеральном законе от 27.07.2006 «О персональных данных» №152-ФЗ. Из этого документа следует, что у ведомства два главных направления деятельности:

• защита прав субъектов персональных данных;
• контроль и надзор за соответствием обработки персональных данных (ПДн) требованиям законодательства.

Иными словами, РКН следит за тем, чтобы ПДн граждан использовались строго по назначению, в соответствии с требованиями закона.

Проверка Роскомнадзора по защите персональных данных проходит каждый год согласно графику. Также нередки внеплановые проверки, которые проводятся после обращений (жалоб), либо после планового визита — чтобы убедиться в том, что все нарушения устранены. Надо помнить, что эксперты дополнительно осуществляют систематический контроль, то есть мониторят сайт организации.

Готовиться к проверке следует тщательно. Особенно важно подать в Роскомнадзор уведомление об обработке персональных данных. Если этого не сделать, то на организацию будет наложен штраф.

Это случится и в том случае, если реальные факты о деятельности компании противоречат указанным в документе.

Также необходимо разработать внутрикорпоративный документ, посвященный политике по обработке персданных, и ознакомить с ним всех сотрудников.

Приходя в организацию с проверкой, инспектор РКН в первую очередь интересуется тем, как проводится работа с персональными данными. Скорее всего, он будет изучать:

• документы, содержащие ПДн граждан, и условия их хранения;
• компьютеры и приложения, с помощью которых ведется обработка данных;
• внутренние документы, регулирующие обработку персональных данных, а также их исполнение;
• сайт организации.

При этом наличие и работоспособность средств технической защиты информационных систем, в которых хранятся персданные, проверке Роскомнадзора не подлежит. Экспертов этой организации в основном интересует контроль правовых оснований.

• Какие локальные документы по охране труда должны быть на предприятии

Что проверяет Роскомнадзор при плановой проверке

Как мы писали выше, этот вид инспекций проводится строго в соответствии с годовым планом. Согласно действующему Административному регламенту, о предстоящем визите организация уведомляется за три рабочих дня.

Как правило, длительность плановой проверки не превышает 20 дней, но в редких случаях РКН может потребовать еще 20 дней, например, для дополнительной экспертизы документов.

Всего в ходе плановой проверки эксперт может запросить у организации 31 документ, самыми значимыми из которых являются:

• Уведомление об обработке ПДн.
• Документ, определяющий ответственного за организацию этой обработки.
• Перечень сотрудников, допущенных к этому процессу.
• Документ, определяющие места хранения ПДн.
• Справка об обработке специальных и биометрических категорий персданных.
• Справка об осуществлении трансграничной передачи ПДн.
• Типовые формы документов с персональными данными.
• Порядок уничтожения ПДн.
• Порядок их передачи третьим лицам.
• Типовая форма согласия на обработку.
• Порядок учета обращений субъектов ПДн.
• Перечень информационных систем персональных данных (ИСПДн).
• Документы, регламентирующие резервирование данных в ИСПДн.
• Перечень используемых средств защиты информации.
• Матрица доступа.
• Модель угроз.
• Документ, определяющий уровни защищенности для каждой ИСПДн в соответствии с ПП-1119 от 01.11.2012 «Об утверждении требований к защите персональных данных при их обработки в информационных системах персональных данных».
• Журнал учета машинных носителей ПДн.

Внеплановые проверки Роскомнадзора

Проводятся на особых основаниях и случаются не так уж редко. По форме они бывают документарными (организацию обязывают предоставить определенные документы) и выездными (личный визит эксперта в организацию). О предстоящей проверке Роскомнадзор уведомляет за 24 часа до ее начала – как правило, по телефону или факсу.

Для этого мероприятия может быть несколько оснований:

• Контроль исполнения решений Роскомнадзора по итогам плановой проверки. Обычно это происходит путем запроса определенных документов.
• Обращения или жалобы граждан, либо юридических лиц. РКН обязан рассматривать такие обращения и реагировать на них в соответствии с Федеральным законом от 02.05.2006 № 59-ФЗ «О порядке рассмотрения обращений граждан Российской Федерации».
• Индивидуальное решение главы Роскомнадзора, либо руководителя его территориального подразделения.
• Выявление систематических нарушений при работе с персональными данными.

Следует готовиться к тому, что внеплановые проверки будут частыми. По статистике, количество обращений и жалоб на условия работы с ПДн или размещение определенного контента растет из года в год, а требования к работе с персональными данными ужесточаются.

►Узнайте, как проходят проверки Ростехнадзора>>>

Источник: https://www.trudohrana.ru/article/103576-18-m5-roskomnadzor-plan-proverok

Утвержден новый порядок проведения проверок Роскомнадзором — Право на vc.ru

13 февраля 2019 года было принято постановление правительства РФ № 146, которое устанавливает Правила организации и осуществления государственного контроля и надзора за обработкой персональных данных (далее — Правила).

Данные правила определяют порядок проведения проверок индивидуальных предпринимателей и юридических лиц, а также порядок осуществления надзора за операторами персональных данных. Правила не распространяются на контроль и надзор за выполнением организационных и технических мер согласно ФЗ «О защите персональных данных», ст. 19 Закона.

• Данные Правила определяют порядок действий:
• — Кто попадает под плановые проверки;
• — Основания проведения внеплановых проверок;
• — Порядок проведения проверок;
• — Порядок проведения документарных проверок;
• — Порядок проведения выездных проверок;
• — Порядок обжалования результатов проведения проверки;
• Кто попадает под плановые проверки?
• Запланированные проверки производятся в соответствии с ежегодными планами проверок, которые размещаются на официальных сайтах государственных органов.
• Ознакомиться с планом проверок Роскомнадзора на 2019 год можно здесь.
• Критерием для включения организации в план проверок является истечение 3 лет со дня государственной регистрации компании или проведения последней плановой проверки.
• Правила также устанавливают возможность проведения плановых проверок не чаще 1 раза в 2 года в следующих случаях:
• — Обработка персональных данных в государственных информационных системах ГИС (что такое ГИС смотреть здесь):
• — При обработке биометрических персональных данных или специальных категорий персональных данных;

— При трансграничной передаче персональных данных в страны, не обеспечивающие адекватную защиту прав субъектов. Список таких стран.

1. — При обработке персональных данных по поручению иностранного государства.
2. Основания проведения внеплановых проверок
3. Правила содержат исчерпывающий перечень оснований для инициирования процедуры проведения внеплановой проверки:
4. — В случае неисполнения или частичного исполнения предписания Роскомнадзора;
5. — По результатам рассмотрения заявлений граждан, в случае установления факта нарушения прав граждан, определенных в ст. 14-17 ФЗ «О защите персональных данных»:
6. — Согласно поручению президента РФ или правительства РФ;
7. — Согласно требованию прокурора об осуществлении внеплановой проверки;
8. — По решению руководителя Роскомнадзора при проведении мероприятий по контролю за операторами без взаимодействия с ними;
9. Следует отметить, что проведение выездной проверки без согласования с прокуратурой невозможно, если проверка инициирована на основании жалоб граждан или по решению оператора в соответствии с результатами контрольных мероприятий.
10. Порядок проведения проверок

Проверки производятся в документарной (запрос документов) или выездной форме. Документарные проверки не могут быть внеплановыми. Все проверки проводятся на основании приказа, изданного должностным лицом.

• Роскомнадзор должен уведомить оператора о проведении плановой проверки не позднее чем за 3 рабочих дня до даты ее начала, путем направления приказа заказным письмом или отправкой документа на адрес электронной почты.
• При проведении внеплановой проверки Роскомнадзор должен уведомить оператора не менее чем за 24 часа до ее начала.
• В отношении чего проводится проверка?

Проверка проводится в отношении документов и локальных актов оператора, указанных в ст. 18.1. ФЗ «О защите персональных данных», а также в отношении принимаемых мер оператором персональных данных.

Дополнительная информация по данному вопросу доступна в открытых источниках в интернете.

Также проверка производится в отношении деятельности оператора и информационных систем персональных данных оператора, касающихся обработки. В данном аспекте Роскомнадзор на основе выборки изучает, каким образом производятся сбор и хранение персональных данных, кому они передаются в ходе обработки. Проверяются сроки хранения, порядок и способы прекращения обработки данных.

1. Какой срок проведения проверки?
2. Срок проведения плановой проверки составляет 20 рабочих дней, может быть продлен еще на 20 рабочих дней.
3. Срок проведения внеплановой проверки составляет 10 рабочих дней, может быть продлен еще на 10 дней.
4. Если проверка проводится в отношении организации, которая осуществляет деятельность на территории нескольких субъектов, то для каждого филиала устанавливается свой срок, при этом общий срок проведения проверки для компании не может превышать 60 рабочих дней.
5. На основании чего сроки проверки продлеваются?
6. — Если в ходе проверки контролирующим органом будут получены данные, свидетельствующие о нарушении оператором закона о персональных данных;

— При возникновении обстоятельств непреодолимой силы в месте проведения проверки (пожар, затопления и т.д.);

• — В случае непредоставления оператором документов, запрашиваемых контролирующим органом в ходе проверки;
• — При затруднениях в связи с большим объемом проверяемых данных или сложностью технологических процессов обработки.
• Порядок проведения документарных проверок

Документарная проверка проводится только при проведении плановой проверки посредством анализа запрашиваемых документов.

Многие коллеги зачастую неправильно расценивают запросы, направленные оператору в рамках ФЗ «О порядке рассмотрения обращений граждан РФ» по существу вопросов, указанных в обращении с документарной проверкой.

Еще раз обращаю внимание, что эти запросы не являются документарной проверкой!

Сроки проведения документарной проверки

В ходе проведения документарной проверки Роскомнадзору необходимо предоставлять документы в течение 5 рабочих дней с момента получения запроса. При этом, моментом получения таких документов будет являться дата с отметкой органа о получении.

Таким образом, на оператора возлагается ответственность за соблюдение сроков, даже при отправке документов почтой.

1. В случае непредоставления документов в указанный срок или пояснений по предоставленным документам в трёхдневный срок, Роскомнадзор в праве инициировать проведение выездной проверки.
2. Порядок проведения выездных проверок
3. Сразу скажу, что выездные проверки в отношении Операторов-физических лиц, не являющихся индивидуальными предпринимателями, не проводятся.
4. Выездная проверка должна начинаться:
5. — с предъявления служебного удостоверения должностного лица;
6. — c ознакомления с приказом о назначении выездной проверки и полномочиями должностных лиц, а также целями, задачами и основаниями проведения выездной проверки.

До начала проведения процедуры должностные лица должны предъявить письменный запрос о предоставлении документов и информации, необходимых для проверки.

Предоставляемые документы должны быть заверены печатью организации и подписью руководителя организации.

Если, какие-либо документы отсутствуют или их невозможно предоставить, то оператор обязан дать письменные пояснения по этому обстоятельству.

Важно оказывать содействие должностным лицам Роскомнадзора при проведении выездной проверки в т.ч. по предоставлению доступа к помещениям оператора или оборудованию, через которое может производится обработка персональных данных.

В противном случае проверяющая сторона может составить акт о воспрепятствовании проведению выездной проверки.

На основании такого акта могут быть привлечены сотрудники правоохранительных органов для оказания содействия в проведении проверки.

Сроки проведения выездной проверки

Срок для предоставления документов и информации не может составлять менее 2 рабочих дней со момента вручения запроса. Если полученных документов недостаточно для осуществления проверки, Роскомнадзор вправе запросить дополнительные сведения.

При таких обстоятельствах, проверяющий орган в праве провести плановую и внеплановую выездную проверку в течение 3 месяцев без предварительного уведомления оператора.

Результаты проведения проверки

Тут все просто. По результатам проверки устанавливается факт отсутствия нарушений либо их наличие с указанием нормативных актов, которые были нарушены.

Эти обстоятельства фиксируются в акте проверки, который составляется в двух экземплярах.

Если оператор уклоняется от подписания акта, то в нем делается соответствующая отметка, акт проверки направляется оператору на обычную или электронную почту в 10-дневный срок со дня подписания.

К акту должны быть приложены протоколы, справки, пояснения оператора и иные документы подтверждающие результаты проверки.

Спорный акт можно обжаловать во внесудебном порядке в вышестоящий орган Роскомнадзора, либо в судебном порядке с соблюдением правил подсудности.

Материал опубликован пользователем. Нажмите кнопку «Написать», чтобы поделиться мнением или рассказать о своём проекте.

Написать

Источник: https://vc.ru/legal/59122-utverzhden-novyy-poryadok-provedeniya-proverok-roskomnadzorom