План проверок Роскомнадзора на 2021 год

Список проверяемых операторов персональных данных в 2021 году, порядок осуществления проверки, что и как смотрят, как подготовиться к проверке?

Посмотреть список Узнать, что делать Получить консультации

• ЦФО
• СЗФО
• ЮФО
• СКФО
• ПФО
• УрФО
• СФО
• ДФО

Основания для включения в план

Роскомнадзор формирует план самостоятельно, включает организации в план с учётом собственных критериев, без какой-либо очевидной системы. Обычно в план включают несколько представителей следующих областей экономики:

• банки, страховые компании и финансовые организации
• операторы связи
• государственные органы
• транснациональные компании
• медицинские учреждения и фармацевтические компании

Также в план включаются операторы персональных данных, в отношении которых поступают массовые жалобы и замечания (например, коллекторские агентства).

Наличие или отсутствие уведомления об обработке персональных данных не является определяющей причиной попадания в план.

С 2015 года (с момента вступления в силу требований об обработке ПДн в базах данных на территории России) можно отметить увеличение количества проверяемых транснациональных компаний.

Порядок проведения проверки

Сроки проведения

Сроки и порядок проведения проверок операторов персональных данных определяются Правилами организации и осуществления государственного контроля и надзора за обработкой персональных данных, утверждённые Постановлением Правительства РФ от 13.02.2019 № 146.

Продолжительности проверки определяется планом проверок и обычно составляет 20 рабочих дней, однако указанный срок может быть продлён приказом руководителя Роскомнадзора еще на 20 рабочих дней, таким образом максимальная продолжительность может составить 40 дней.

О проведении проверки оператор уведомляется приказом не позднее чем за 3 рабочих дня до начала её проведения. Приказ содержит фамилии, имена, отчества должностных лиц (не менее 2), проводящих проверку, а также перечень запрашиваемых к началу проверки документов.

Методика

Методика проведения проверок определяется Постановлением Правительства. В частности, предметом государственного контроля (надзора) за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных являются:

• Документы, характер информации в которых предполагает или допускает включение в них персональных данных.
• Информационные системы персональных данных.
• Деятельность по обработке персональных данных.

Инспекторы имеют следующие права:

• во время проведения проверки запрашивать и получать от оператора информацию, документы, в том числе локальные акты, необходимые для реализации органом по контролю и надзору своих полномочий;
• посещать во время проведения выездной проверки помещения, используемые оператором при осуществлении деятельности по обработке персональных данных, и проводить их обследование;
• выдавать по итогам проведения проверки предписание об устранении выявленных нарушений;
• использовать во время проведения проверки или мероприятия по контролю без взаимодействия с оператором принадлежащие органу по контролю и надзору технику и оборудование;
• получать во время проведения выездной проверки доступ к информационным системам персональных данных оператора в режиме просмотра и выборки информации, необходимой для оценки законности деятельности по обработке персональных данных, в том числе на предмет соответствия содержания, объема, способов обработки и сроков хранения обрабатываемых персональных данных целям их обработки;
• во время проведения проверки или мероприятия по контролю без взаимодействия с оператором в пределах своей компетенции проверять и оценивать принятые оператором меры по обеспечению выполнения требований;
• по итогам проведения проверки или мероприятия по контролю без взаимодействия с операторами принимать в установленном законодательством Российской Федерации порядке меры по приостановлению или прекращению обработки персональных данных, осуществляемой с нарушением требований;
• по итогам проведения мероприятия по контролю без взаимодействия с оператором требовать от оператора уточнения, блокирования или уничтожения недостоверных или полученных незаконным путем персональных данных;
• по итогам проведения проверки или мероприятия по контролю без взаимодействия с операторами составлять протоколы об административном правонарушении по основаниям и в порядке, которые установлены законодательством Российской Федерации;
• в рамках проведения выездной проверки обращаться в правоохранительные органы, в том числе в органы прокуратуры, за содействием в предотвращении или пресечении действий, препятствующих осуществлению государственного контроля и надзора должностными лицами, а также в установлении лиц, виновных в нарушении требований;
• в рамках проведения проверки запрашивать и получать от оператора устные и письменные пояснения по вопросам, относящимся к предмету проверки.

Проверка завершается:

• Составлением и вручением Оператору акта проверки.
• Выдачей Оператору предписаний об устранении выявленных нарушений требований законодательства Российской Федерации в области персональных данных.
• Составлением протоколов об административных правонарушениях в отношении Оператора.
• Подготовкой и направлением материалов проверки в правоохранительные органы для решения вопроса о возбуждении дела об административном правонарушении, о возбуждении уголовного дела по признакам преступлений, связанных с нарушением прав субъектов персональных данных, в соответствии с подведомственностью.

В ходе проведения проверки Роскомнадзор осуществляет следующие мероприятия по контролю:

• Рассмотрение документов Оператора, в том числе:
  • Уведомление об обработке персональных данных.
  • Документов, необходимых для проверки фактов, содержащих признаки нарушения законодательства Российской Федерации в области персональных данных, изложенных в обращениях граждан и информации, поступившей в Службу или ее территориальный орган.
  • Документов, подтверждающих выполнение Оператором предписаний об устранении ранее выявленных нарушений законодательства Российской Федерации в области персональных данных.
  • Письменного согласия субъекта персональных данных на обработку его персональных данных.
  • Документов, подтверждающих соблюдение требований законодательства Российской Федерации при обработке специальных категорий и биометрических персональных данных.
  • Документов, подтверждающих уничтожение Оператором персональных данных субъектов персональных данных по достижении цели обработки.
  • Локальных актов Оператора, регламентирующих порядок и условия обработки персональных данных.
• Исследование (обследование) информационной системы персональных данных, в части, касающейся персональных данных субъектов персональных данных, обрабатываемых в ней.
• Исследование (обследование) фактической деятельности по обаботке персональных данных.

Проверки, проводимые Управлением РКН по ЦФО, существенно отличаются от проверок управлений по другим федеральным округам, что связано с большим опытом, более высокими компетенциями инспекторов и близостью к Центральному Аппарату, который определяет правовые позиции по сложным вопросам и осуществляет контроль выполнения каждой проверки. Особое внимание при проверках в ЦФО инспекторы уделяют оценке выполнения требований по размещению в России баз данных, содержащих персональные данные.

В состав проверяющих лиц помимо сотрудников Управления РКН по ЦФО обязательно включают сотрудников ЦА РКН, осуществляющих общий контроль. Результаты проверки в обязательном порядке согласовываются с ЦА.

Подготовка к проверке

Для минимизации количества нарушений при проверке оператор должен иметь:

• Комплект организационно-распорядительных документов, устанавливающих правила обработки персональных данных в организации.
• Назначенных и обученных ответственных лиц.
• Обученных сотрудников, осуществляющих обработку персональных данных.
• Налаженную и корректную обработку персональных данных (чёткие цели, определенные сроки, обоснованные правовые основания, легально собранные персональные данные с необходимыми согласиями).
• Перенесенные в Россию информационные системы (в крайнем случае, базы данных) персональных данных.
• Реализованную защиту персональных данных в информационных системах.
• Поданное уведомление об обработке персональных данных, отражающее действительную обработку персональных данных.
• Приведенные в соответствие требованиям правоотношения (договоры) с третьими лицами, в рамках которых осуществляется или может осуществляться передача персональных данных.
• Приведенные в соответствия хранилища материальных носителей персональных данных, в т.ч. личные дела работников.
• Свидетельства, подтверждающие выполнение возложенных на оператора обязанностей (акты об уничтожении персональных данных, ответы на запросы субъектов, результаты аудитов обработки персональных данных, и т.д.).
• Правовая позиция по отдельным вопросам обработки персональных данных, по которым у Роскомнадзора могут возникнуть замечания.
• Ответы на запросы Роскомнадзора.

Получить консультации

Наши компетенции

Наши клиенты

Мы работаем преимущественно с крупным иностранным бизнесом в России. Помогли пройти проверки:

С перечнем оказываемых услуг вы можете ознакомиться на следующей странице.

Планы прошлых лет

• План за 2020 год
• План за 2019 год
• План за 2018 год
• План за 2017 год