Изменения проверочного листа РКН при проверках ПДн

Глоссарий

Не так давно опубликован проект о внесении изменений в форму проверочного листа, применяемого Роскомнадзором при осуществлении федерального государственного контроля (надзора) за обработкой персональных данных, утвержденную Приказом РКН № 253.

Данный проект разработан в целях приведения списка контрольных вопросов в соответствие с многочисленными изменениями, которые произошли в законодательстве РФ в области ПДн за последние годы.

Для операторов персональных данных проверочный лист – эффективный инструмент самодиагностики. Имея доступ к утверждённым вопросам, организация может заранее оценить уровень своей готовности к проверке. Также можно выявить пробелы в документации и процессах и своевременно устранить несоответствия.

Рассмотрим, какие изменения предлагается внести в проверочный лист, на что нужно будет обращать внимание при проверках и как заранее подготовиться к нововведениям.

Проект содержит 5 новых проверочных вопросов, которые мы разберем более подробно:

1. Уничтожение или обезличивание ПДн по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом (ч. 5 ст. 5 152-ФЗ).

К чему нужно быть готовыми в части проверки требований об уничтожении ПДн:

Объяснить контролирующему органу, как вы определяете сроки обработки ПДн, что будет являться достижением цели обработки, в течение каких сроков ПДн в электронном и бумажном виде будут храниться после достижения цели.

Сроки хранения нужно будет обосновать требованиями НПА, устанавливающих такие сроки для различных видов документов с ПДн, либо сроками, прописанными в договоре, согласиях, номенклатуре дел или ином документе. РКН должен понять, что данный вопрос у вас проработан и вы четко следите за сроками обработки и проведением уничтожения.

Предоставить локальный акт, в котором прописан порядок уничтожения персональных данных при достижении целей их обработки или при наступлении иных законных оснований.

В комплекте ОРД сервиса 152DOC содержатся все необходимы локальные акты, необходимые для регламентации процедуры уничтожения.

Доказать, что по достижении целей и истечения сроков хранения вы проводите уничтожение ПДн в ИСПДн и на материальных носителях. Подтверждение уничтожения ПДн должно соответствовать требованиями приказа РКН № 179 – потребуется предоставить Акт уничтожения (форма необходимого Акта включена в пакет документов сервиса 152DOC) и (или) Выгрузку из журнала регистрации событий ИСПДн.

Подробнее об организации процесса уничтожения читайте в статье «Как соблюсти закон при уничтожении персональных данных и не удалить лишнее».

Если вы обезличиваете ПДн по достижении целей, то будьте готовы:

Предоставить пояснения о соблюдении требований и методов, утвержденных приказом РКН № 140 – обосновать выбранный метод обезличивания, показать, с помощью какого программного обеспечения производится обезличивание и каким образом формируются базы обезличенных ПДн, как они хранятся и тд.

2. Правильное оформление согласия на обработку ПДн (ч. 1 ст. 9 152-ФЗ):

соответствие содержания такого согласия конкретности, предметности, информированности, сознательности и однозначности;
отдельное оформление согласия от иных документов и информации, если иное не установлено федеральным законом.

Что сделать, чтобы быть готовыми «закрыть» данный вопрос:

Помните, что проверят только те согласия, которые вы берете. Если согласий нет, а обработка ПДн обоснована иным правовым основанием (договор, закон, законный интерес и тд.), то и вопрос соблюдения ч. 1 ст. 9 152-ФЗ отпадает сам собой.

Поэтому для начала рекомендуем провести аудит выбора правовых оснований обработки ПДн и во всех возможных случаях пересмотреть необходимость получения согласия. Это сократит количество получаемых согласий, которые может проверить контролирующий орган.

Если вы все-таки берете согласия, то:

1) Любое из них должно быть конкретным, предметным, информированным, сознательным и однозначным.

Это значит, что:

из согласия субъект должен понять, какова цель обработки ПДн (и эта цель должна быть четко сформулирована, а не размыта, не должна вводить субъекта в заблуждение, создавать для него впечатление, что обработка будет излишней или навязанной);
субъект должен понимать, кто будет принимать участие в обработке его ПДн (только оператор или будет передача). При передаче важно проинформировать человека о том, кому и зачем будут передаваться его ПДн;
должно быть предусмотрено активное действие субъекта по выражению согласия (никаких «предустановленных» галочек!).

2) Должно быть получено отдельно от других документов, которые принимает или подписывает субъект. Отдельно – это значит на отдельном материальном носителе.

Если при проверке вы предоставите инспектору РКН Договор/Заявление/Анкету, в которых будет написано, что «подписывая Договор/заявление/Анкету, я даю согласие на обработку ПДн» или будет отдельный пункт/раздел «Согласие на обработку ПДн», то это будет нарушением ч. 1 ст. 9 152-ФЗ.

В нашем блоге мы много писали о согласиях, их правильном оформлении, ошибках и рисках использования согласий, вреде избыточных согласий на обработку ПДн:

3. Правильное оформление согласия на обработку ПДн, разрешенных субъектом персональных данных для распространения (ч. 9 ст. 9 152-ФЗ).

Если в ходе проверки будут установлены факты распространения ПДн (например, на сайте или в открытой группе социальной сети у вас есть страница с отзывами клиентов, в которых указаны их имя, фамилия, возраст и размещена фотография; или есть страница с информацией о работниках (фото, ФИО, должность и тп.), на открытой территории установлена доска почета с ПДн работников и тд), то вам нужно будет сначала подтвердить правовое основание.

Здесь также действуют общие правила. Вот несколько примеров:

может быть договор (например, работники по договору за дополнительную плату участвовали в съемке маркетингового ролика);
может быть закон, который обязывает вас размещать сведения о работниках в определенном объеме (например, как это делают образовательные учреждения)
может действовать положения ГК РФ об использовании изображения гражданина (например, если размещено общее фото с публичного мероприятия).

Если иного правового основания нет, то должно быть отдельное согласие для распространения по ст. 10.1 152-ФЗ. Требования к его содержанию предусмотрены приказом РКН № 18, который будет действовать до 1 сентября 2027 года. Подобное согласие быстро и правильно можно оформить в Конструкторе согласий сервиса 152DOC.

При распространении ПДн с согласия, предусмотренного ст. 10.1 152-ФЗ, не забудьте также опубликовать на сайте уведомление о наличии условий и запретов, установленных субъектами в данном согласии.

4. Представление в РКН уведомления об обработке ПДн, в котором для каждой цели обработки персональных данных указаны категории персональных данных, категории субъектов, персональные данные которых обрабатываются, правовое основание обработки персональных данных, перечень действий с персональными данными, способы обработки персональных данных (ч. 3.1 ст. 22 152-ФЗ).

Инспектор РКН проведет оценку информации, внесенной в Реестр операторов относительно вашей организации: есть ли вы в реестре, насколько информация соответствует новым требованиям закона, вашей фактической деятельности и локальным актам. Лучше скорректировать Уведомление до начала проверки, а не предоставлять исправленные данные во время нее.

О том, как правильно подать Уведомление в РКН – в статьях блога:

Также напомним, что новые формы уведомлений установлены приказом РКН № 180, и, если вы подавали Уведомление по старой форме или давно не актуализировали сведения, то рекомендуем внести изменения в Реестр операторов и привести их в соответствие с требованиями ч. 3.1 ст. 22 152-ФЗ и приказа РКН 180. Когда потребуется подать корректирующее Уведомление читайте в кратком чек-апе «Проверьте свою компанию на необходимость подачи корректирующего уведомления в РКН».

В сервисе 152DOC вы можете подать как первичное, так и корректирующее Уведомление, соответствующее новым требованиям закона и локальным актам организации.

5. Соблюдение обязательных требований по обезличиванию ПДн, за исключением случаев, указанных в п. 9.1 ч. 1 ст. 6 152-ФЗ (ч. 12 ст. 23 152-ФЗ).

Данное требование проверяется, если вы производите обезличивание ПДн по своей инициативе (например, для статистических исследований). При этом должны соблюдаться требования и методы, предусмотренные приказом РКН № 140.

На что важно обратить внимание при обезличивании:

Обезличенные данные остаются персональными.
Хранить обезличенные данные необходимо отдельно от иных ПДн.
При передаче обезличенных данных третьим лицам — не забываем про правовое основание.
При обезличивании необходимо использовать методы, указанные в приказе РКН №140. Простое «вымарывание» информации не является обезличиванием.
Обезличивать персональные данные вы можете только с помощью специального ПО, которое соответствует необходимым требованиям 152-ФЗ.

Если обезличивания нет – это не значит, что для исполнения данного пункта проверочного листа вам нужно срочно его провести — достаточно предоставить в РКН пояснения о том, что обезличивание ПДн вы не проводите.

В остальном проверочный лист не претерпел сильных изменений:

некоторые положения изложены в более актуальной редакции, устранены некорректные формулировки и отсылки к требованиям закона и приказам РКН (например, исключена отсылка к приказу РКН № 18, срок действия которого ограничен);
проведено разграничение проверяемых требований относительно юридических лиц и государственных/муниципальных органов;
исключена строка о проведении проверки ч. 1 ст. 19 152-ФЗ об организационных мерах защиты ПДн. Отметим, что технические меры защиты ПДн РКН и ранее не проверял – они отнесены к компетенции ФСТЭК и ФСБ, но вот документальную часть организации защиты проверка РКН все же будет касаться в рамках проверки соблюдения положений ч. 1 ст. 18.1 152-ФЗ.

Проверочный лист РКН повышает прозрачность взаимодействия между регулятором и бизнесом, делает контрольные мероприятия более объективными и даёт операторам понятный ориентир для выстраивания процессов обработки персональных данных. При этом важно понимать, что проверочный лист не заменяет комплексного соблюдения требований 152ФЗ и сопутствующих нормативных актов — он лишь очерчивает фокус внимания регулятора в рамках конкретной проверки. Рациональное использование проверочных листов в рамках регулярной самопроверки и внутреннего аудита — один из наиболее действенных способов обеспечить устойчивое соответствие требованиям законодательства и снизить правовые риски.

Изменения проверочного листа РКН: что нового ожидать в проверках контролирующего органа