В интернет-магазине «Полка» продают посуду и текстиль для дома. Штат небольшой: владелец, два менеджера, бухгалтер на аутсорсе и Антон, который «немного разбирается в сайтах». В начале октября на почту пришло письмо: Роскомнадзор уведомлял о проверке и прикладывал перечень вопросов, на которые организация должна ответить.
Первое, что сделал владелец, — открыл поиск и набрал «ответ на уведомление о проверке Роскомнадзора образец». Он был уверен, что существует правильная формулировка, которая закрывает вопрос. Юрист Ирина, которую он позвал на следующий день, сказала неприятную вещь: шаблона нет, и письмо — не экзамен, к которому можно списать.
Дальше выяснилось, что папка с документами у магазина всё-таки была. В ней лежали политика обработки персональных данных, скачанная три года назад с чужого сайта, типовой договор с подрядчиком и распечатка уведомления, которое когда-то отправили в Роскомнадзор. Документы выглядели прилично, но ни один из них не описывал то, что происходило в магазине на самом деле.
Именно здесь становится понятно, что такое проверка. Она проверяет не наличие папки, а способность организации объяснить и показать, как она обрабатывает данные. Сначала словами, потом документами, потом практикой — и все три слоя должны совпадать.
Почему папка с документами не спасает
Роскомнадзор — уполномоченный орган, который следит за соблюдением закона о персональных данных. Инспектор приходит не для того, чтобы полистать папку, а чтобы понять, как устроена обработка: какие данные собираются, зачем, где лежат, кто имеет к ним доступ и что произойдёт, если доступ получит не тот человек. Именно поэтому проверка редко ограничивается одним документом — инспектор складывает ответы в общую картину.
Из этого следует простая вещь: проверка состоит из вопросов. Документ нужен не сам по себе, а как ответ на вопрос — подтверждение того, что цель определена, основание получено, доступ ограничен, а инцидент замечен. Если документ есть, но ответить на вопрос за ним нельзя, инспектор видит формальность.
Хуже того, документ, который расходится с практикой, работает против организации. Политика обещает, что данные не передаются третьим лицам, а на сайте стоит форма подписки, которая отправляет адреса во внешний сервис рассылок. Политика говорит об обезличивании, а в базе лежат фамилии и телефоны. Формально бумага есть — и именно она становится доказательством того, что организация не знает, что делает.
Важно. Проверка начинается не с папки, а с вопроса «покажите». Всё, что вы не можете показать и объяснить, для инспектора не существует — даже если документ подписан и лежит в нужной папке.
Поэтому разговор о проверке — это разговор не о бумагах. Он о том, кто и по какому поводу приходит, что он вправе спросить и где заканчиваются его полномочия. Без этого подготовка превращается в угадывание: какие бумаги попросят и в каком виде.
Какие проверки бывают и почему внеплановая не значит внезапная
Проверки делятся на плановые и внеплановые, и разница между ними не только в дате. Плановая проверка указана в плане, о ней предупреждают заранее, и у организации есть время собраться. В последние годы подход к плановым проверкам менялся: часть проверок заменили профилактическими визитами, а инспекторы могут опираться на индикаторы риска — признаки, по которым регулятор понимает, что где-то может быть проблема. Поэтому конкретный порядок стоит уточнять на момент проверки, а не по памяти.
Внеплановая проверка — реакция на что-то. Поводом может стать жалоба человека, который не смог отозвать согласие или получить ответ на обращение; истечение срока предыдущего предписания; инцидент с утечкой; сработавший индикатор риска. В части случаев такая проверка требует согласования с прокуратурой, но рассчитывать на то, что «без прокуратуры не придут», не стоит.
Формы тоже различаются. Документарная проверка проходит по запросу: вы присылаете копии документов и объяснения. Выездная — с осмотром помещений и техники. Есть ещё инспекционный визит, который занимает меньше времени, но тоже даёт инспектору право задавать вопросы и смотреть, как всё устроено. Во всех случаях он вправе запросить документы и объяснения, относящиеся к предмету проверки, и не вправе требовать то, что к нему не относится.
Практический вывод простой: внеплановая проверка не значит «без предупреждения». Уведомление обычно есть, просто времени на реакцию мало. Значит, подготовка — это не спринт за неделю до даты, а состояние, в котором организация находится всё время. Если документы живут отдельно от работы, любая проверка — плановая или нет — застанет врасплох.
Что просят показать и почему документы должны совпадать с реальностью
Запрос документов — самый предсказуемый этап. Обычно просят политику обработки, уведомление об обработке, согласия, внутренние приказы, журналы и договоры с подрядчиками. Но смысл запроса не в том, чтобы собрать комплект, а в том, чтобы сверить его с реальностью. Именно на сверке чаще всего и обнаруживаются расхождения.
Политика — это не украшение сайта, а описание того, как устроена обработка. Поэтому хорошая политика отвечает на вопросы: кто оператор, то есть кто определяет, зачем и как обрабатываются данные; какие данные и для каких целей собираются; на каком основании; кому передаются; сколько хранятся; как отозвать согласие и куда написать. Если политика написана несколько лет назад, в ней остался старый адрес, а в магазине уже другой сайт и другие формы, инспектор увидит не ошибку в тексте, а отсутствие контроля над документом.
С уведомлением об обработке та же логика. Организация обязана сообщить регулятору, что обрабатывает персональные данные, — в большинстве случаев до начала обработки. В уведомлении указываются сведения об операторе, целях, категориях данных, мерах защиты и месте хранения. Если магазин переехал, сменил хостинг или начал собирать новые данные, уведомление нужно обновить. Устаревшее уведомление — одна из самых частых находок, потому что его отправили один раз и забыли.
Согласия — ещё более тонкая часть. Согласие должно быть конкретным: человек понимает, какие данные, кому и зачем передаёт. Одна галочка «согласен с политикой и обработкой данных» на все случаи жизни этой конкретности не даёт, а согласие на рекламную рассылку вообще должно быть отдельным, потому что рассылка не входит в доставку заказа. И мало получить согласие — нужно уметь показать, когда и как оно было получено, и так же просто дать человеку его отозвать.
Дальше идут внутренние документы, которые обычно недооценивают. Приказ о назначении ответственного за обработку, перечень информационных систем, оценка вреда, который может быть причинён людям, модель угроз и документ об уровне защищённости — всё это не бюрократия, а способ доказать, что меры выбраны осознанно, а не скопированы. Журналы — обращения людей, доступ к данным, учёт носителей, инциденты — показывают, что процесс работает. Если журнала инцидентов нет, это значит не «не было инцидентов», а «их никто не фиксировал».
Отдельная история — договоры с подрядчиками. Сайт, хостинг, сервис рассылок, бухгалтерия, курьерская служба — все они в какой-то момент касаются данных. С каждым должно быть поручение на обработку: документ, в котором оператор разрешает подрядчику обрабатывать данные по его заданию и на его условиях. В нём описано, что именно подрядчик делает, как защищает данные, что делает при инциденте и где их хранит. Фраза «мы передали, теперь это их ответственность» не работает: оператором остаётся магазин.
С местом хранения связано то же самое. Закон требует, чтобы базы данных граждан России находились в России; это требование называют локализацией, и уведомление должно соответствовать реальности. Если в уведомлении указан один адрес, а база фактически лежит в зарубежном сервисе, расхождение обнаружится не потому, что инспектор угадает, а потому что вы сами покажете договоры и доступы. Зарубежные сервисы при этом не запрещены полностью — вопрос в том, где хранится основная база и что вы об этом заявили.
Наконец, утечки. Если инцидент произошёл, закон отводит на уведомление регулятора очень короткие сроки, а на результаты внутреннего расследования — чуть больше. Точные сроки лучше смотреть в актуальной редакции закона, но принцип важен: молчание считается отдельным нарушением. Поэтому журнал инцидентов и заранее назначенные роли — не формальность, а то, что позволяет уложиться в часы, а не вспоминать процедуру в панике.
Что видно на сайте без ваших документов
Пока организация собирает папку, инспектор может открыть сайт и увидеть часть картины без всяких запросов. Сайт — это витрина практики: здесь видно, как вы собираете согласия, что обещаете и насколько обещания совпадают с формами. Иногда сайт говорит о процессе больше, чем политика, потому что политику можно переписать, а форму — нет.
Первое, на что смотрят, — доступность политики. Если ссылка на неё есть только в договоре-оферте и не открывается из подвала сайта, это уже сигнал. Второе — форма согласия: что именно человек подтверждает, есть ли отдельная галочка на рассылку, не стоит ли она по умолчанию, можно ли отправить форму без согласия. Третье — cookie и аналитика: если счётчики и рекламные пиксели запускаются до того, как человек что-то выбрал, возникает вопрос, на каком основании обрабатываются данные, которые могут его идентифицировать.
Есть и менее очевидные вещи. Например, избыточные поля: зачем интернет-магазину посуды дата рождения и паспортные данные для обычной доставки, если они не нужны для исполнения заказа. Или текст вроде «продолжая пользоваться сайтом, вы соглашаетесь с обработкой данных» — это не согласие, потому что человек не совершал действия, которым можно подтвердить конкретное решение. Или политика, которая обещает одно, а форма делает другое.
Сайт удобен для проверки ещё и потому, что его видно целиком: формы, тексты, ссылки, порядок экранов. Инспектору не нужно верить документам — он может сравнить их с тем, что видит любой посетитель. Если политика говорит, что данные не передаются третьим лицам, а в коде страницы стоят счётчики и пиксели, вопрос возникает сам собой.
Отсюда следует, что подготовка к проверке не может быть только бумажной. Привести в порядок сайт часто проще, чем переписать политику, но именно сайт показывает, живёт ли документ в работе или лежит в папке. Если форма собирает данные иначе, чем описано в политике, проверяющий увидит это за минуту.
Что делать, когда уведомление уже пришло
Когда письмо уже пришло, порядок действий зависит от того, сколько времени осталось. Если до проверки месяц, есть смысл начать не с документов, а с инвентаризации: выписать, какие данные магазин собирает, для чего, на каком основании, где они лежат, кто к ним имеет доступ, кому они передаются и сколько хранятся. Это не отчёт для инспектора — это карта, без которой невозможно ответить ни на один его вопрос.
Инвентаризация почти всегда вскрывает одно и то же. Доступ к базе есть у всех менеджеров, включая тех, кто ушёл. Согласия собраны одной галочкой, а рассылка идёт через внешний сервис, о котором в политике ничего нет.
Дальше находятся расхождения посерьёзнее. Уведомление в Роскомнадзор отправлено давно и не обновлялось после переезда. С подрядчиком, который делает сайт, подписан договор об услугах, но не поручение на обработку. Резервные копии лежат в зарубежном облаке, потому что так удобнее. Ничего из этого не выглядит катастрофой по отдельности, но вместе это и есть картина обработки, которую увидит инспектор.
За неделю до проверки задачи другие. Нужно сверить документы с тем, что нашлось при инвентаризации, и переписать то, что расходится. Назначить человека, который будет говорить с инспектором, и убедиться, что он знает ответы, а не читает их с листа. Проверить сайт: открывается ли политика, какие формы работают, что записывается в журнал согласий. Собрать выборки, которые подтверждают слова: согласия, договоры, приказы, журналы. И убрать лишнее — не «следы», а данные, которые не должны храниться: старые заявки, копии паспортов, базы, которые «жалко удалять».
В день проверки важнее всего не красноречие, а совпадение слов и дел. Инспектор задаёт вопросы, и лучший ответ — короткий и проверяемый: «данные хранятся здесь, доступ у этих людей, согласие фиксируется так, вот пример». Если ответа нет, честное «уточню и представлю» лучше импровизации, потому что импровизация почти всегда расходится с документом, который инспектор уже видел. Не стоит подписывать объяснения, которые вы не проверили, и спорить о терминах, если можно показать практику.
По итогам проверки составляется акт, а если нарушения найдены — выдаётся предписание с перечнем и сроками устранения. С предписанием можно не согласиться и обжаловать его в установленном порядке, но чаще полезнее другое: разобрать каждый пункт, назначить ответственного и закрыть нарушения по существу, а не отпиской. Формальное «устранено» без изменения процесса приводит к тому, что при следующей проверке находится то же самое.
Совет. Перед проверкой проведите репетицию: пусть кто-то из коллег задаст неудобные вопросы — где лежат данные, кто их видит, что будет при утечке. Если ответы расходятся у двух сотрудников, значит, процесс описан только на бумаге.
Вернёмся к «Полке». Инвентаризация показала три вещи: согласие на рассылку было слито с согласием на обработку, база рассылки хранилась в зарубежном сервисе, а договор с подрядчиком не содержал поручения на обработку. Политику пришлось переписать под реальность, а не наоборот. Инспектор задал вопрос про доступ — и владелец смог показать, что после инвентаризации доступ есть у двух человек, а не у всех. По двум пунктам выдали предписание, магазин устранил их и подтвердил это документами.
Главное, что изменилось, — не папка. Изменилось то, что владелец впервые смог своими словами объяснить, где лежат данные клиентов и почему. Проверка была неприятной, но именно она заставила описать процесс, который до этого существовал сам по себе.
Главная мысль
Проверка Роскомнадзора — это проверка не документов, а способности организации объяснить и показать, как она обрабатывает данные. Документ в этой логике — не заклинание, а доказательство: он подтверждает ответ, который вы и так можете дать. Если ответа нет, документ только подчёркивает разрыв между обещанием и практикой.
Поэтому подготовка — это не сбор комплекта к дате, а приведение в порядок трёх вещей: понимания (какие данные, зачем, где), ответственности (кто отвечает и кто имеет доступ) и доказательств (согласия, договоры, журналы). Первое без второго не работает, второе без третьего невозможно показать, а третье без первого превращается в папку, которую инспектор раскроет первым же вопросом. И начинать логичнее с первого, а не с последнего.
И ещё одна мысль, которая важнее процедур. Проверка — это редкий момент, когда организация обязана посмотреть на себя со стороны. Если относиться к ней как к экзамену, побеждает тот, кто лучше списал. Если как к разговору о практике, побеждает тот, кто действительно знает, что происходит с данными. Второй вариант полезнее не только для инспектора, но и для людей, чьи данные вы храните.
Если хочется разобраться в основе, начните с разбора 152-ФЗ простыми словами и карточки закона с реквизитами. Отдельно стоит прочитать про облака и персональные данные — там подробно про локализацию и подрядчиков. А если встретили незнакомый термин, загляните в словарь.