РКН, 152-ФЗ и плановая проверка: что нашли при внутреннем аудите клиента

В конце этого года тема 152-ФЗ заметно оживилась. РКН проводит больше проверок, суммы штрафов по ст. 13.11 КоАП растут, а поправки, которые сейчас обсуждаются в Госдуме, обещают сделать нарушения при обработке персональных данных заметно дороже. На этом фоне к нам пришёл клиент - средний региональный ритейлер - с конкретной вводной: они в плане проверок РКН на следующий квартал. Нужно понять, что найдут инспекторы, прежде чем они придут сами.

Для нас это уже второй подобный проект за осень, и паттерн, который вырисовывается, начинает казаться системным.

Что проверяет РКН

Перед тем как лезть в документы клиента, важно понять логику инспекции. Плановая проверка по 152-ФЗ - это не случайное погружение в дела компании. У РКН есть методика: смотрят на наличие и актуальность ключевых документов, на то, выполняются ли обязанности оператора по закону, на соответствие фактической обработки тому, что задекларировано.

Типичный набор интереса инспекторов:

• Политика обработки персональных данных - есть ли, опубликована ли, соответствует ли реальной деятельности.
• Согласия субъектов - форма, содержание, архив.
• Уведомление об операторе в РКН - актуальность, полнота сведений.
• Документы по поручению обработки - если ПДн передаются третьим лицам.
• Организационные меры - приказы, регламенты, назначения ответственных.

И вот здесь начинается самое интересное.

Что нашли у клиента

Внутренний аудит перед проверкой - это всегда немного как разборка антресолей. Всё вроде бы где-то есть, но что именно и в каком состоянии - выясняется по ходу.

У клиента положение об обработке персональных данных существовало. Написано было года три-четыре назад, когда компания только разбиралась с требованиями 152-ФЗ. С тех пор компания выросла: появился интернет-магазин, запустили программу лояльности, наняли подрядчика на кол-центр. Положение ничего из этого не отражало. Оно описывало обработку ПДн сотрудников и покупателей в офлайн-магазинах - и на этом всё.

По факту компания обрабатывала персональные данные в четырёх каналах, положение покрывало два из них.

Вторая находка оказалась серьёзнее. Кол-центр работает через подрядчика - сторонняя компания обрабатывает обращения клиентов, имеет доступ к их данным. Это классическое поручение обработки ПДн по ст. 6 152-ФЗ: оператор вправе поручить обработку третьему лицу, но только на основании договора-поручения с конкретными условиями - перечнем действий, целями, обязанностью подрядчика соблюдать закон.

Договора с кол-центром на обработку ПДн не было. Был обычный договор на оказание услуг, в котором про персональные данные - ни слова. И журнала поручений - реестра того, кому и на каких основаниях переданы ПДн - тоже не было.

Для плановой проверки РКН это два отдельных нарушения, а не одно.

Почему это не редкость

Объяснение простое: большинство компаний делали документацию по 152-ФЗ один раз - когда закон только начал применяться или когда кто-то из руководства вдруг обратил на него внимание. Потом документация лежала и не трогалась, а бизнес менялся.

Интернет-магазин, мобильное приложение, SaaS-CRM, аутсорс-колл-центр, партнёрские программы - всё это возникает по операционной необходимости, а не по регуляторным соображениям. Что документацию надо обновлять - понимают не всегда.

РКН при этом смотрит на реальное состояние дел, а не на то, что было актуально три года назад.

Что делаем

Работу разбили на два блока - срочный и плановый.

Срочный - подготовить к проверке то, что инспекторы запросят в первую очередь. Переписали положение об обработке ПДн: включили интернет-магазин, программу лояльности, кол-центр, описали все каналы сбора данных и цели обработки. Оформили договор поручения с подрядчиком кол-центра - он, к счастью, оказался договороспособным и согласился подписать нужные условия без долгих переговоров. Завели журнал поручений обработки ПДн - реестр с датами, получателями, основаниями.

Плановый - более глубокая инвентаризация. Проверяем, нет ли ещё каналов, которые мы не учли. Смотрим на согласия: в интернет-магазине форма согласия на обработку ПДн есть, но её формулировка вызывает вопросы - слишком широкая, без конкретизации целей. Это отдельная задача.

Где сейчас

Срочный блок закрыт, клиент с обновлённым пакетом документов. Плановый - в процессе. Проверка РКН - в первом квартале, время есть, но без лишних запасов.

Главный вывод из этого проекта - и из нескольких аналогичных за этот год: разрыв между тем, что написано в документах по 152-ФЗ, и тем, как реально обрабатываются данные, накапливается незаметно. Не потому что компании намеренно нарушают закон, а потому что бизнес меняется быстрее, чем кто-то вспоминает про документацию.

Плановая проверка РКН - неплохой повод провести аудит соответствия требованиям 152-ФЗ до того, как инспекторы придут сами.