С 1 сентября 2015 года требование хранить персональные данные россиян на серверах в РФ вступило в силу. Роскомнадзор уже формирует план проверок на 2016 год и публикует его на своём сайте. Попасть в этот план может любой оператор – компания, госорган, интернет-сервис. Вопрос не в том, придёт ли проверка, а в том, сможете ли вы за отведённые дни предъявить документы и доказать, что обрабатываете данные по закону.

Реестр операторов: первый фильтр

Роскомнадзор ведёт реестр операторов, осуществляющих обработку персональных данных. Если вы обрабатываете ПДн и не подпадаете под исключения статьи 22 152-ФЗ, вы обязаны подать уведомление до начала обработки. Отсутствие записи в реестре – самостоятельное нарушение, которое инспектор фиксирует первым.

Проверьте себя на сайте Роскомнадзора по ИНН. Если записи нет – подайте уведомление через электронную форму и продублируйте на бумаге. Если запись есть, но устарела (сменился адрес, цели обработки, перечень действий с данными, состав информационных систем), подайте информационное письмо об изменениях. Расхождение между реестром и фактической деятельностью инспектор трактует не в вашу пользу.

Отдельный пункт после 1 сентября – сведения о месте нахождения базы данных. В уведомлении теперь указывают, где физически хранятся ПДн граждан РФ. Если в форме стоит зарубежный дата-центр, проверка к вам придёт быстрее. Как привести инфраструктуру в порядок, мы разбирали в материале про локализацию персональных данных и в обзоре того, что меняется на практике после вступления нормы в силу.

Какие документы запросит инспектор

Плановая проверка проходит по типовому списку. Подготовьте заранее:

  • приказ о назначении ответственного за организацию обработки ПДн;
  • политику в отношении обработки персональных данных – она должна быть опубликована, если у вас есть сайт со сбором данных;
  • перечень информационных систем персональных данных и модель угроз;
  • положение о защите ПДн, инструкции для сотрудников, журналы учёта носителей и доступа;
  • формы согласий субъектов и порядок их отзыва;
  • договоры с подрядчиками, которым вы поручили обработку, с условиями о конфиденциальности и локализации.

Инспектор сверяет бумаги с реальностью: запрашивает скриншоты систем, опрашивает сотрудников, смотрит, где лежат базы. Документ без работающего процесса за ним проверку не проходит. Поэтому комплект должен описывать то, что у вас действительно происходит, а не идеальную картину из шаблона.

Документация как доказательство

Слабое место большинства операторов – не отсутствие защиты, а отсутствие доказательств. Антивирус стоит, доступ разграничен, но описать это одним связным комплектом компания не может. На проверке это выглядит так, будто процессов нет.

Закрыть этот пробел помогает полный пакет организационно-распорядительной документации под 152-ФЗ и приказы ФСТЭК: от модели угроз до журналов и регламентов реагирования. Документы пишем под вашу инфраструктуру и проверяем на соответствие текущей версии реестра. Отдельно настраиваем хранение подтверждающих материалов в электронном архиве, чтобы на запрос инспектора вы поднимали нужную версию документа за минуты, а не искали по почте.

Вывод

Соответствие 152-ФЗ – это не статус, а готовность показать его в любой день. Сверьте запись в реестре с фактической деятельностью, укажите место хранения базы и держите комплект документов в актуальном и доказуемом состоянии. Тогда проверка Роскомнадзора превращается из риска в формальность.