Какие документы необходимо подготовить до регистрации в Роскомнадзоре

Регистрация в Роскомнадзоре в качестве оператора персональных данных (ПДн) — это только первый шаг. После внесения компании в реестр важно правильно организовать работу с персональными данными, чтобы избежать штрафов и претензий со стороны регулятора. Разберемся, какие действия нужно предпринять операторам уже сейчас.

Обеспечьте безопасность данных

В зависимости от типа данных, рисков и способов обработки необходимо позаботиться об их безопасности:

• Для неавтоматизированной обработки (например, бумажные документы):
  • хранить данные в сейфах или закрытых шкафах;
  • ограничить доступ сотрудников.
• Для автоматизированной обработки (базы данных, CRM, облачные сервисы)
  • использовать сертифицированные средства защиты с серверами в РФ(СЗПДн);
  • настроить разграничение прав доступа;
  • регулярно делать резервные копии.

Если обрабатываете данные, содержащиеся в государственной информационной системе, обязательна аттестация такой системы.

Все эти меры должны быть организованы еще до регистрации в Роскомнадзоре. Однако обрабатывать ПДн операторы могут только после включения в реестр.

Обрабатывайте ПДн с согласия субъектов

Если данные обрабатываются на основании согласия субъекта (например, клиента или сотрудника), важно:

1. Разработать корректную форму согласия (в письменном или электронном виде).
2. Хранить согласие в течение всего срока обработки.
3. Предусмотреть возможность отзыва согласия.

Исключение — случаи, когда согласие не требуется: например, обработка данных по трудовому договору или исполнение закона, выполнение оператором обязательств по договору с субъектом ПДн. Полный перечень оснований для обработки без согласия указан в ст.6 ФЗ №152-ФЗ.

Реагируйте на запросы субъектов ПДн

Субъект может запросить доступ к своим данным, а также потребовать блокировку, уточнение, удаление или прекращение обработки.

Что важно учитывать (ст. 21 ФЗ №152-ФЗ):

1. Блокировка данных.
Если обнаружена неправомерная обработка или неточные данные, оператор обязан:

• заблокировать данные или обеспечить их блокировку, если работа с ПДн ведется третьим лицом;
• сделать это с момента обращения (запроса субъекта, его представителя или Роскомнадзора);
• блокировка действует на период проверки, если это не нарушает права субъекта или третьих лиц.

2. Уточнение данных.
Если неточность подтвердилась:

• в течение 7 рабочих дней исправить данные (или обеспечить исправление);
• снять блокировку.

3. Прекращение незаконной обработки.
Если обработка ПДн незаконна:

• в течение 3 рабочих дней завершить ее;
• если исправить нельзя — уничтожить данные в течение 10 рабочих дней;
• оповестить об этом субъекта (или Роскомнадзор, если запрос был от них).

3.1. Утечка данных.
При утечке (неправомерной передаче данных):

• В течение 24 часов сообщить в Роскомнадзор:
  • о самом инциденте;
  • о возможных причинах и ущербе;
  • о принятых мерах.
• В течение 72 часов предоставить результаты внутреннего расследования.

4. Прекращение работы с ПДн при достижении цели.
Если данные больше не нужны:

• в течение 30 дней прекратить работать с ПДН и уничтожить их;
• исключение: если закон или договор требуют их хранения.

5. Отзыв согласия.
Если субъект отозвал согласие:

• в течение 30 дней закончить обработку и уничтожить данные (если их хранение не требуется);
• если обработка возможна без согласия (по закону) — можно продолжить.

5.1. Требование о прекращении обработки.
По запросу субъекта:

• в течение 10 рабочих дней завершить обработку (можно продлить еще на 5 дней с уведомлением);
• исключение: случаи, когда обработка разрешена без согласия (по закону).

6. Если уничтожение сразу невозможно — заблокировать ПДн и уничтожить их в течение 6 месяцев или в другой срок, предусмотренный законодательством.

7. Подтверждение уничтожения. Уничтожение данных должно быть оформлено в соответствии с Приказом Роскомнадзора от 28.10.2022 №179.

Проведем бесплатный аудит вашей организации или ИП на предмет соблюдения новых требований закона «О персональных данных»

Сделаем заключение на соблюдение требований Роскомнадзора

Запишитесь на бесплатный аудит

Заполните форму и мы свяжемся с вами

Нажимая кнопку "Отправить", я соглашаюсь на обработку моих персональных данных в соотв. с ФЗ от 27.07.2006 №152-ФЗ на условиях и для целей, определенных Согласием на обработку персональных данных

Нажимая кнопку "Отправить", я соглашаюсь на получение рассылки в соотв. с ФЗ от 13.03.2006 №38-ФЗ на условиях и для целей, определенных Политикой конфиденциальности

Отправить

Подавайте уведомления при изменениях в работе с данными

Если меняются цели обработки, категории или другие сведения, указанные в уведомлении о начале обработки ПДн, подайте новое уведомление — об изменении сведений.

Направить документ можно онлайн на сайте Роскомнадзора. Это нужно сделать не позднее 15 числа месяца, следующего за месяцем внесения изменений: например, если поменялся ответственный за работу ПДн или юридический адрес компании.

Будьте всегда готовы к проверкам РКН

Роскомнадзор проверяет компании несколькими способами:

1. Инспекционный визит:
   • проходит без предупреждения на территории оператора;
   • длится не более 1 рабочего дня;
   • инспектор может осматривать помещения, опрашивать сотрудников, запрашивать документы и объяснения.
2. Проверка документов:
   • проводится дистанционно (по предоставленным документам);
   • компания обязана направить запрошенные данные в установленный срок.

Проверки бывают:

• плановые – по графику, с предупреждением;
• внеплановые – без предупреждения, при жалобах или нарушениях.

Важно! В 2025 году действует мораторий только на плановые проверки, но внеплановые никто не отменял.

Роскомнадзор использует нейросети

Ведомство внедрило новую систему контроля за соблюдением законодательства о персональных данных. Специально обученная нейросеть автоматически сканирует российские сайты, выявляя использование зарубежных сервисов, таких как Google Analytics, Facebook Pixel и других.

Нейросеть анализирует код сайтов, определяя сторонние скрипты, которые могут передавать данные пользователей за границу. Если система обнаруживает потенциальное нарушение, информация передается в Роскомнадзор. После этого владелец ресурса получает уведомление с требованием устранить проблему в течение 10 дней.

Что делать владельцам сайтов:

1. Проверить используемые сервисы – если среди них есть иностранные аналитические системы, их нужно заменить на российские аналоги (например, Яндекс.Метрику).
2. Удалить или обосновать – можно либо отключить проблемный сервис, либо предоставить доказательства, что передача данных осуществляется законно (например, если серверы расположены в России).
3. Отправить ответ в Роскомнадзор – если нарушения устранены, штрафа можно избежать.

Важно: в 2025 году вступили в силу более строгие правила обработки персональных данных, но многое еще впереди. Предпринимателям уже сейчас стоит проверить свои сайты, чтобы не столкнуться с блокировками или штрафами в будущем.

Заключение

Регистрация в Роскомнадзоре — лишь начало работы с ПДн. Чтобы избежать штрафов и претензий, операторам необходимо выстроить четкую систему защиты, соблюдать сроки реагирования на запросы субъектов и быть готовыми к проверкам. Соблюдение этих правил не только защитит от санкций, но и повысит доверие клиентов и партнеров.