Проверки Роскомнадзора в сфере персональных данных
Особенностью проверки Роскомнадзора является наличие у него полномочий проверить любую организацию и индивидуального предпринимателя, которые имеют дело с персональными данными и являются их операторами. Работа юрлиц, ИП и самозанятых позволяет Роскомнадзору проверять без ограничений на предмет соблюдения требований законодательства о персданных. Знание о нюансах проверок сложно переоценить по причине сумм штрафов за нарушение требований законодательства в сфере персданных. Сегодня административный штраф за такие нарушения составляет в том числе и миллионные цифры. В материале исследуем нюансы проверок, которые проводит Роскомнадзор, анализируем практические ситуации, которые возникают при проверках, также в материале представлена информация об ответственности за нарушение законодательства о персданных.
Предмет проверки
Роскомнадзор проверяет как соблюдаются обязательные требования при работе с персональными данными физических лиц (например, есть ли согласие на обработку персональных данных, правильно ли хранятся эти данные, своевременно ли уничтожаются персональные данные в случае их отзыва субъектом и при истечении срока хранения ПД). Поскольку товары, работы, услуги предоставляются физлицам, то в основном своем большинстве субъекты экономической деятельности, продающие товар, оказывающие услуги или выполняющие работы для физлица, являются операторами ПД.
Как только продавец/исполнитель совершает «касание» с потенциальным клиентом, то становится оператором персданных. При этом не имеет значения, внесено ЮЛ, физлицо в реестр операторов или нет. Когда лицу, предлагающему товар, работу, услугу (КТРУ), передаются персданные потенциального приобретателя (например, фамилия и имя), то такое лицо является уже оператором персданных со всеми вытекающими последствиями, установленными для операторов персональных данных Законом о персональных данных № 152-ФЗ.
Вероятность проверки
Должностные лица Роскомнадзора при проверке устанавливают, соблюдаются ли проверяемым обязательные требования при работе с персональными данными:
- своих сотрудников (включая кандидатов, которые рассматриваются на должности в компании);
- клиентов (покупателей, заказчиков, пациентов, учащихся и т.п.), в том числе если проверяемый собирает их данные через сайт.
До 2030 г. в отношении отдельных организаций не проводятся плановые мероприятия, даже если их объекты контроля отнесены к категории высокого риска. Однако могут проводиться обязательные профилактические визиты.
Плановые и внеплановые проверки Роскомнадзора
Плановые контрольные (надзорные) мероприятия проводятся в соответствии с планом на календарный год. Такой план можно найти на сайте Роскомнадзора. План на очередной календарный год размещается в декабре года, предшествующего году проведения проверок.
Внеплановые проверки проводятся по определенным основаниям, например по требованию прокурора или по жалобе, поступившей в Роскомнадзор.
Контрольные мероприятия без взаимодействия с проверяемым (ЮЛ или ИП)
Должностные лица Роскомнадзора уполномочены провести контрольно-надзорное мероприятие по заданиям, которые утверждает руководитель Роскомнадзора (его уполномоченный заместитель). Основанием может быть, например, поручение Правительства РФ. В этом случае проверка может проводиться без взаимодействия с лицом, в отношении которого проводится проверка.
Заранее возможно узнать только о плановом мероприятии. Предварительно о проверке обязаны уведомить только в случае проведения выездной проверки. Уведомление осуществляется путем направления копии решения о проведении выездной проверки.
О плановой или внеплановой выездной проверке уведомляют не менее чем за 24 часа до начала ее проведения. В отдельном случае о проведении выездной проверки могут не уведомить. В отношении иных мероприятий с взаимодействием либо прямо предусмотрен запрет на уведомление (инспекционный визит), либо об этом ничего явно не сказано (документарная проверка).
Последствия проверки и ответственность за нарушения
Штраф за обработку персональных данных без письменного согласия физического лица может достигать 700 тыс. руб. для юрлиц и 300 тыс. руб. для должностных лиц, а за повторное нарушение - 1,5 млн руб. для юрлиц и 500 тыс. руб. для должностных лиц.
Штраф за нарушение требований по обработке персональных данных россиян с использованием баз данных, находящихся в РФ (если данные хранятся не в России, а за рубежом), - до 6 млн руб. для организаций и до 200 тыс. руб. для должностных лиц.
ВАЖНО!
Одновременно могут наказать и организацию, и должностное лицо. Кроме того, Роскомнадзор может инициировать процедуру блокировки интернет-ресурса.
Ключевая проблема проверок
Трудность для проверяемого состоит в том, что для него не всегда очевидно, ЧТО именно могут проверить. Отсюда трудность в подготовке к проверке: нет однозначного понимания, что именно нужно подготовить к проверке.
Кроме того, важно не допустить нарушений при взаимодействии с должностными лицами Роскомнадзора в ходе самого мероприятия, так как за это установлены отдельные штрафы.
До 2030 года установлены особенности проведения плановых контрольных (надзорных) мероприятий.
Для подготовки к проверке Роскомнадзора и минимизации риска привлечения к ответственности в материалах Системы рекомендуем следующее:
и иные материалы из ИБ «Ответственность за нарушение часто применяемых норм».
Для прогнозного анализа ситуации в Системе представлены материалы в ИБ «Позиции судов по спорным вопросам. Административная ответственность и проверки»:
В ИБ «Перспективны и риски в СОЮ» представлены материалы, помогающие пользователю провести оценку своей ситуации через перспективы и возможные риски при рассмотрении спора в суде:
Если у Вас не установлена система КонсультантПлюс, или в комплекте нет указанных материалов, Вы можете протестировать их на индивидуальном тест-драйве.
Автор материала: эксперт по юридическим вопросам ИЦ «Искра» Старовойтова Анастасия
#проверкаРоскомнадзора
#Роскомнадзор
#персональныеданные