Профилактический визит: какие документы запрашивает Роскомнадзор в 2023 году?
Обязательный профилактический визит является основным профилактическим мероприятием Роскомнадзора в области федерального государственного контроля (надзора) за обработкой персональных данных. В данной статье мы разберёмся какие документы запрашивает уполномоченный орган в рамках проведения данного профилактического мероприятия.
Нормативными актами не определен конкретный перечень документов, истребуемых в ходе проведения профилактического визита. В связи с этим территориальные органы Роскомнадзора самостоятельно составляют список необходимых им локальных актов, подтверждающих принятие мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Закон).
Проанализировав запросы различных региональных управлений Роскомнадзора можно сделать вывод о том, что наиболее часто запрашиваемыми документами являются следующие.
1. Документы о назначении ответственного за организацию обработки персональных данных (далее – ПДн). Копия должностного регламента (должностные обязанности) или должностная инструкция ответственного за организацию обработки ПДн.
К этим документам можно отнести Приказ о назначении ответственного за организацию обработки персональных данных.
2. Документы, определяющие политику оператора в отношении обработки ПДн.
Это непосредственно Политика или положение об обработке персональных данных.
3. Все изданные оператором действующие локальные акты, отражающие следующие вопросы обработки ПДн:
– цели обработки ПДн;
– правовое основание обработки ПДн (согласие, договор, норма/статья/пункт закона или подзаконного акта);
– категории субъектов ПДн, чьи ПДн обрабатываются;
– категории ПДн по каждой категории субъектов ПДн соответственно (ФИО, адрес и пр.);
– срок обработки ПДн субъектов ПДн (в электронной форме, на материальных носителях);
– срок хранения ПДн субъектов ПДн (в электронной форме, на материальных носителях);
– условия уничтожения ПДн субъектов ПДн и порядок его осуществления (в электронной форме, на материальных носителях), копии актов об уничтожении ПДн.
Данные вопросы могут быть как отражены в Политике или положение об обработке персональных данных, так и в отдельных документах, например в Приказе о применении мер по обеспечению выполнения обязанностей, предусмотренных Законом.
4. Копии документов, подтверждающих применение правовых, организационных и технических мер по обеспечению безопасности ПДн.
Наиболее оптимальным на наш взгляд решением является разработка Плана правовых, организационных и технических мер по обеспечению безопасности персональных данных на основании Политики оператора об обработке персональных данных.
5. Документы и (или) локальные акты, подтверждающие осуществление внутреннего контроля и (или) аудита соответствия обработки персональных данных Закону и принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных, политике оператора в отношении обработки персональных данных, локальным актам оператора.
К этому пункту относятся Заключения, полученные по результатам самостоятельного проведения внутреннего контроля или в рамках аудита соблюдения требований сторонними организациями.
6. Документы и (или) локальные акты, подтверждающие порядок оценки вреда, который может быть причинен субъектам персональных данных в случае нарушения Закона, соотношение указанного вреда и принимаемых оператором мер, направленных на обеспечение выполнения обязанностей, предусмотренных Законом.
Согласно требованиям Приказа Роскомнадзора от 27.10.2022 № 178 «Об утверждении Требований к оценке вреда, который может быть причинен субъектам персональных данных в случае нарушения Федерального закона «О персональных данных» результаты оценки вреда оформляются Актом оценки вреда.
7. Копии документов, подтверждающих ознакомление работников оператора, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных, в том числе требованиями к защите персональных данных, документами, определяющими политику оператора в отношении обработки персональных данных, локальными актами по вопросам обработки персональных данных, и (или) обучение указанных работников.
Подтверждением ознакомления работников с положениями законодательства Российской Федерации о персональных данных может служить Лист ознакомления с нормативно-правовыми актами.
8. Копии документов и локальных актов, подтверждающих выполнение требований Положения об особенностях обработки ПДн, осуществляемой без использования средств автоматизации, утвержденного постановлением Правительства от 15.09.2008 № 687, а именно:
– документы, подтверждающие принятие мер при обработке персональных данных по обеспечению в отношении каждой категории персональных данных возможности определить места хранения персональных данных (материальных носителей) и установить перечень лиц, осуществляющих обработку персональных данных либо имеющих к ним доступ;
– документы, подтверждающие принятие мер по обеспечению раздельного хранения персональных данных (материальных носителей), обработка которых осуществляется в различных целях;
– документы, подтверждающие принятие мер по соблюдению условий, обеспечивающих сохранность персональных данных и исключающих несанкционированный к ним доступ при хранении материальных носителей. Установленный оператором перечень мер, необходимых для обеспечения таких условий, порядок их принятия, а также перечень лиц, ответственных за реализацию указанных мер;
– документы, подтверждающие информирование лиц, осуществляющих обработку ПДн без использования средств автоматизации (сотрудников оператора и (или) лиц, осуществляющих такую обработку по договору с оператором) о факте обработки ими ПДн, обработка которых осуществляется оператором без использования средств автоматизации, категориях обрабатываемых ПДн, а также об особенностях и правилах осуществления такой обработки, установленных нормативными правовыми актами федеральных органов исполнительной власти, органов исполнительной власти субъектов Российской Федерации, а также локальными правовыми актами оператора.
Подтверждением выполнения требований Положения будет являться Приказ об определении мест хранения персональных данных (материальных носителей) или аналогичный документ. Также необходимо подготовить Лист информирования работников о факте обработки ими ПДн, особенностях и правилах осуществления такой обработки.
9. Информация, подтверждающая соблюдение требований ч. 5 ст. 18 Закона в части обеспечения размещения баз персональных данных на территории Российской Федерации.
Подтверждением размещения баз персональных данных на территории Российской Федерации является договор с организацией, оказывающей Вам услуги хостинга, либо иное документальное подтверждения размещения серверных мощностей на территории России.
10. URL-адреса интернет-сайтов в сети «Интернет», используемых в деятельности оператора, посредством которых осуществляется обработка персональных данных.
Резюмируя приведенную выше информацию можно сделать вывод о том, что в ходе профилактического визита территориальными органами Роскомнадзора запрашивается около 10 различных локальных актов и документов. Подготовка каждого из них имеет ряд особенностей и требований, определенных в Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами.
Воспользовавшись ими Вы можете подготовиться к предстоящему профилактическому мероприятию уже сегодня либо доверить этот вопрос профессионалам EasyInspect!
Профилактический визит роскомнадзора что это значит
О профилактических визитах
Одним из актуальных направлений развития государственного контроля (надзора) в Российской Федерации является предупреждение нарушений обязательных требований и профилактика рисков причинения вреда (ущерба) охраняемым законом ценностям.
Указанная тенденция отражена в ряде нормативных правовых актов, принятых в последнее время. Нормами этих актов предлагается обновленный список профилактических мероприятий, который существенным образом пополнил арсенал надзорного органа.
Одним из таких мероприятий определен «профилактический визит».
В чем особенности и преимущества профилактического визита для контролируемого лица?
1. Профилактический визит — это профилактическое мероприятие, проводимое в форме профилактической беседы по месту осуществления деятельности контролируемого лица либо путем использования видео- конференц-связи.
2. Профилактический визит проводится только с согласия контролируемого лица либо по его инициативе.
3. О проведении профилактического визита контролируемое лицо уведомляется не позднее чем за 5 рабочих дней до даты его проведения.
4. Контролируемое лицо вправе отказаться от профилактического визита, уведомив Управление (не позднее чем за три рабочих дня до начала мероприятия).
5. При проведении профилактического визита контролируемое лицо информируется: об обязательных требованиях, предъявляемых к его деятельности либо к принадлежащим ему объектам контроля, их соответствии критериям риска, основаниях и о рекомендуемых способах снижения категории риска, а также о видах, содержании и об интенсивности контрольных (надзорных) мероприятий, проводимых в отношении объекта контроля исходя из его отнесения к соответствующей категории риска.
6. Разъяснения, полученные контролируемым лицом в ходе профилактического визита, носят рекомендательный характер.
7. Также в ходе профилактического визита может осуществляться консультирование контролируемого лица по всем установленным обязательным требованиям и вопросам, связанным с порядком осуществления государственного контроля (надзора), при этом консультирование осуществляется без взимания платы.
Перечисленные факторы делают профилактический визит одним из наиболее эффективных инструментов превентивных мер по выявлению (недопущению) нарушений.
Для Управления Роскомнадзора по Уральскому федеральному округу профилактический визит стал региональным компонентом программ профилактики рисков причинения вреда (ущерба) охраняемым законом ценностям на 2022 год.
В рамках реализации указанных программ Управлением с начала марта проведено 10 профилактических визитов к подконтрольным субъектам, подтвердивших полезность и действенность этой формы взаимодействия проверяемого лица с надзорным органом.
Профилактические визиты Роскомнадзора к бизнесу: чего ожидать и можно ли отказаться?
Многие наши клиенты за последние месяцы столкнулись с получением уведомления из Роскомнадзора о проведении профилактического визита и запросом большого количества документов в сфере обработки персональных данных. Конечно, такие уведомления настораживают бизнес и вызывают ряд вопросов и опасений. В связи с чем проводятся такие мероприятия и какое значение имеют для бизнеса?
Кому может прийти уведомление о профилактическом визите РКН?
Если Вы подавали уведомление в Роскомнадзор об обработке персональных данных, то Ваша компания войдет в план профилактических визитов и Вы с большой долей вероятности получите такое уведомление, поскольку такие визиты должны проводиться в отношении всех операторов персональных данных и компаний, относящихся к особым категориям риска.
Обязательные профилактические визиты проводятся контролирующим (территориальным органом) в соответствии со статьей 52 Федерального закона «О государственном контроле (надзоре) и муниципальном контроле в Российской Федерации» в отношении объектов контроля, отнесенных к категориям высокого и значительного риска, а также в отношении контролируемых лиц, приступающих к осуществлению деятельности в сфере обработки персональных данных
Территориальный орган Роскомнадзора обязан предложить проведение обязательного профилактического визита компании, приступающей к обработке персональных данных, не позднее чем в течение одного года с момента начала такой деятельности.
Профилактический визит — это профилактическое мероприятие, оно проводится только с согласия проверяемого лица.
Формат проведения – это профилактическая беседа. Она может быть проведена очно — по месту осуществления деятельности компании либо посредством видеоконференцсвязи. Все чаще РКН применяет видеосвязь и предлагает проведение мероприятий в таком формате.
Главный возникающий у бизнеса вопрос: Можно ли отказаться от профилактического визита? Не будет ли каких-то негативных последствий для компании/директора вследствие отказа?
Законом предусмотрено право компании на отказ от профилактического визита без обоснования причин отказа.
Об отказе от проведения профилактического визита требуется уведомить об этом проверяющий орган не позднее чем за 3 рабочих дня до даты его проведения (ч. 6 ст. 52 Закона № 248-ФЗ).
Законом не предусмотрено никаких санкций за отказ от профилактического визита ни для компании, ни для ее исполнительных органов.
*В ряде случаев возможность отказа не предусмотрена. Особенности установлены Постановлением Правительства РФ от 10.03.2022 № 336. Например, не смогу отказаться от профилактического визита, если он проводится по поручению Президента РФ, Председателя Правительства РФ и др.
Цель мероприятия – минимизировать допускаемые предпринимателями нарушения. Как предусмотрено Постановлением Правительства РФ от 29.06.2021 № 1046, по итогам беседы составляются разъяснения рекомендательного характера. Выдача каких-либо предписаний не предусмотрена. Но есть исключение – если выявлена явная угроза причинения вреда (ущерба) охраняемым законом ценностям или такой вред (ущерб) причинен. В этом случае может быть принято решение о проведении уже контрольных (надзорных) мероприятий (проверки).
Профилактический визит Роскомнадзора в медицинской организации
Профилактический визит относится к видам контрольных мероприятий (ст. 45 Федерального закона от 31.07.2020 г. № 248-ФЗ "О государственном контроле (надзоре) и муниципальном контроле в Российской Федерации").
Профилактический визит может проводиться в форме:
1) профилактической беседы по месту осуществления деятельности контролируемого лица
2) путем использования видео-конференц-связи.
Из практики, чаще профилактические визиты проводятся инспектором Роскомнадзора посредством видео-конференции.
Организации, которые подпадают под профилактические визиты:
- операторы персональных данных — медицинские организации, отнесенные Роскомнадзором к категориям высокого либо значительного риска;
- операторы персональных данных — медицинские организации, направившие уведомление в Роскомнадзор о начале обработки персональных данных и приступающие к обработке персональных данных в течение одного года с момента начала такой деятельности (ч. 7 ст. 52 Федерального закона от 31.07.2020 г. № 248-ФЗ "О государственном контроле (надзоре) и муниципальном контроле в Российской Федерации").
Профилактический визит проводится только с согласия контролируемого лица либо по его инициативе.
О проведении профилактического визита контролируемое лицо уведомляется не позднее чем за 5 рабочих дней до даты его проведения.
Срок проведения обязательного профилактического визита не может превышать 5 рабочих дней.
Контролируемое лицо вправе отказаться от профилактического визита, направив в адрес Роскомнадзора уведомление об отказе не позднее чем за 3 рабочих дня до начала мероприятия. Молчание организации после получения уведомления о проведении профилактического визита — означает согласие на его проведение.
1. Может ли Роскомнадзор запрашивать документы и как он их запрашивает?
Может, согласно п. 30 Постановления Правительства РФ от 29.06.2021 г. № 1046 "О федеральном государственном контроле (надзоре) за обработкой персональных данных":
при проведении по месту осуществления деятельности контролируемого лица — должностные лица Роскомнадзора предъявляют служебные удостоверения, вручают руководителю медицинской организации или иному уполномоченному представителю письменный запрос о представлении документов и информации, необходимых для проведения обязательного профилактического визита.
при проведении визита в режиме видео-конференц-связи должностное лицо Роскомнадзора направляют в адрес медицинской организации письменный запрос о представлении документов и информации, необходимых для проведения обязательного профилактического визита посредством использования электронных каналов связи (электронного письма на адрес электронной почты медицинской организации, подписанный электронной цифровой подписью).
2. Что проверяет Роскомнадзор и какие документы запрашивает?
Роскомнадзор проверяет документы Оператора — медицинской организации, подтверждающие соблюдение им законодательства в области персональных данных, принятие им мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных Федеральным законом № 152-ФЗ «О персональных данных».
Конкретный перечень документации Роскомнадзор определяет в запросе, как правило истребуются следующие документы:
- Устав
- Положение об обработке персональных данных
- Приказ о назначении ответственного лица за организацию обработки персональных данных
- Политика обработки персональных данных
- Локальные акты, устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений
- информацию о применение правовых, организационных и технических мер по обеспечению безопасности персональных данных в соответствии со статьей 19 Федерального закона № 152-ФЗ «О персональных данных»
- информацию по организации внутреннего контроля и (или) аудита соответствия обработки персональных данных настоящему Федеральному закону
- информацию об оценке вреда, который может быть причинен субъектам персональных данных в случае нарушения Федерального закона № 152-ФЗ «О персональных данных», соотношение указанного вреда и принимаемых оператором мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом № 152-ФЗ «О персональных данных»
- информацию об ознакомлении работников оператора, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных, в том числе требованиями к защите персональных данных, документами, определяющими политику оператора в отношении обработки персональных данных, локальными актами по вопросам обработки персональных данных, и (или) обучение указанных работников
- сведения об опубликовании документа, определяющего его политику в отношении обработки персональных данных, к сведениям о реализуемых требованиях к защите персональных данных с предоставлением адреса URL на сайте
3. Полномочия Роскомнадзора при проведении профилактических визитов
В ходе профилактического визита Роскомнадзор информирует об обязательных требованиях, предъявляемых к его деятельности либо к принадлежащим ему объектам контроля, их соответствии критериям риска, основаниях и о рекомендуемых способах снижения категории риска, а также о видах, содержании и об интенсивности контрольных (надзорных) мероприятий, проводимых в отношении объекта контроля исходя из его отнесения к соответствующей категории риска (Постановление Правительства РФ от 29.06.2021 г. № 1046 "О федеральном государственном контроле (надзоре) за обработкой персональных данных").
По итогам проведения профилактического визита в адрес Оператора направляются разъяснения по организации контролируемым лицом деятельности по обработке персональных данных, которые носят рекомендательный характер.
Консультирование Оператора по вопросам организации обработки персональных данных осуществляется без взимания платы.
4. Может ли Роскомнадзор оштрафовать при проведении профилактического визита?