Статья: Проверки Роскомнадзором правил обработки персональных данных

(Суворова Т.)

(«Учреждения здравоохранения: бухгалтерский учет и налогообложение», 2019, № 5)

«Учреждения здравоохранения: бухгалтерский учет и налогообложение», 2019, № 5

Персональными данными считается любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу. Такие данные охраняются законодательно, и соблюдение правил по их обработке, защите и хранению является предметом мероприятий, проводимых Роскомнадзором. Постановлением Правительства РФ от 13.02.2019 № 146 утверждены Правила организации и осуществления контроля и надзора за обработкой персональных данных (далее — Правила № 146), которые вступили в силу с 23.02.2019. Сегодня рассмотрим, как и что будет проверять контролирующий орган, а также в чем отличие новых правил от ранее действовавших.

За обработкой персональных данных осуществляется государственный контроль и надзор. Напомним, что согласно ст. 3 Закона № 152-ФЗ <1> обработкой считается любое действие, совершаемое с персональными данными. К ним относятся сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление и уничтожение персональных данных.

---

<1> Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных».

Организация проверок

Как следует из Правил № 146, Роскомнадзор может прийти как с плановой, так и внеплановой проверкой. Первые проводятся в соответствии с ежегодными планами. Основанием для включения организации в него является истечение трех лет со дня:

• государственной регистрации оператора в качестве юридического лица, индивидуального предпринимателя;
• окончания последней плановой проверки оператора.

Отметим, что согласно ранее действовавшему Административному регламенту проведения контрольно-надзорных мероприятий <2> было еще одно основание для осуществления такой проверки: начало обработки персональных данных. В настоящее время это не является основанием для проверки.

---

<2> Утвержден Приказом Минкомсвязи России от 14.11.2011 № 312.

Плановая проверка проводится не чаще раза в два года со дня окончания последней плановой проверки в следующих случаях:

• обработка персональных данных осуществляется в информационных системах, имеющих в соответствии с федеральными законами статус государственных информационных систем;
• происходит сбор биометрических и специальных категорий персональных данных;
• осуществляется трансграничная передача персональных данных на территорию иностранного государства, не обеспечивающего адекватную защиту прав субъектов персональных данных;
• обработка персональных данных осуществляется по поручению иностранного государственного органа, юридического или физического лица, которые не зарегистрированы в установленном порядке на территории РФ.

Помимо плановых проверок Роскомнадзор может проводить и внеплановые. В пункте 8 Правил № 146 указано пять оснований для этого. Обратите внимание, что к основаниям, установленным действовавшим ранее Административным регламентом, в новом документе добавилось новое. Проверку смогут провести по решению руководителя Роскомнадзора или его территориального органа по итогам рассмотрения докладной записки. Из нее должно следовать, что есть нарушения, которые выявлены в ходе контрольных мероприятий, проведенных без взаимодействия с оператором (например, при наблюдении за тем, как организация размещает информацию в Интернете и СМИ).

Примечание. Проверки проводятся на основании приказа органа по контролю и надзору.

Если внеплановая проверка осуществляется по результатам обращения граждан или же на основании требования прокурора, ее проведение должно согласовываться с органами прокуратуры (п. 9 Правил № 146).

Порядок проведения проверок

О проведении плановой проверки организация уведомляется Роскомнадзором не позднее чем за три рабочих дня до ее начала. Копия приказа о проверке направляется:

• заказным письмом с уведомлением о вручении;
• на адрес электронной почты организации в виде электронного документа;
• иным доступным способом.

Для внеплановой проверки установлен более короткий срок уведомления: не менее чем за 24 часа учреждение должно быть извещено о контрольном мероприятии.

Согласно п. 16 Правил № 146 срок проведения плановой проверки не может превышать 20 рабочих дней. При необходимости она может быть продлена, но не более чем на 20 рабочих дней.

Срок проведения внеплановой проверки сокращен. Ранее он составлял также 20 дней, а теперь не может превышать 10 рабочих дней. Внеплановая проверка также может быть продлена, но не более чем на 10 рабочих дней.

Основания для продления срока контрольного мероприятия названы в п. 19 Правил № 146. Например, это может быть непредставление организацией необходимых документов. При этом Роскомнадзор должен уведомить ее о продлении проверки. На это отводится три рабочих дня с даты издания приказа о продлении проверки. Ранее такого требования не было.

Документарные проверки осуществляются путем анализа документов и информации, полученных от оператора по письменному запросу контролирующего органа.

Примечание. С 23.02.2019 документарными могут быть только плановые проверки (п. 25 Правил № 146).

Учреждение обязано представить Роскомнадзору документы и информацию, необходимые для проведения документарной проверки, в течение пяти рабочих дней (ранее — десяти рабочих дней) со дня получения запроса. Документы могут представляться в виде:

• копий, заверенных печатью (при ее наличии) и подписью уполномоченного представителя оператора;
• электронных документов, подписанных усиленной квалифицированной электронной подписью.

В целом порядок проведения выездных проверок не изменился. Как и прежде, контролеры выезжают по месту нахождения оператора и (или) по месту фактического осуществления им деятельности по обработке персональных данных. Должностное лицо Роскомнадзора предъявляет удостоверение, ознакомляет представителя учреждения с приказом о проведении проверки, а также вручает письменный запрос о представлении документов и информации, необходимых для ее проведения.

Таким образом, теперь у организации появилась обязанность до начала проверки представить документы по запросу проверяющих. Это необходимо сделать (п. 35 Правил № 146):

1. в срок, указанный в запросе, который составляет не менее двух рабочих дней со дня вручения запроса;

2. в виде копий, заверенных печатью (если она есть) и подписью представителя организации, или в форме электронного документа, заверенного усиленной квалифицированной электронной подписью.

Результаты проверок

Согласно п. 42 Правил № 146 по результатам проверки составляется акт проверки, в котором говорится либо об отсутствии нарушений требований законодательства, либо о выявленных нарушениях с указанием статей и (или) пунктов нормативных правовых актов, которые были нарушены.

Акт составляется в двух экземплярах. Он может быть оформлен как в бумажном, так и в электронном виде. В последнем случае документ подписывается усиленной квалифицированной подписью представителя контрольного органа. К акту проверки прилагаются протоколы, справки, пояснения оператора и иные документы, подтверждающие заключение по результатам проверки.

Если организация не согласна с решением, принятым по результатам проверки, она вправе подать в Роскомнадзор в письменной форме возражение, а также обжаловать результаты в досудебном и судебном порядке. Досудебный порядок обжалования определен п. 61 — 65 Правил № 146.

В случае выявления по результатам проверки нарушения требований Роскомнадзор выдает предписание об их устранении.

Примечание. Срок для устранения организацией нарушений, выявленных в результате проверки, составляет не более чем шесть месяцев (п. 47 Правил № 146).

Если неисполнение предписания нарушает права и законные интересы субъекта персональных данных, организации направляется требование о приостановлении обработки персональных данных до устранения нарушений, указанных в предписании.

В заключение акцентируем внимание на основных изменениях в порядке проведения проверок по сравнению с ранее действовавшим Административным регламентом.

1. Количество оснований для плановых проверок сокращено до двух (было три).

2. Появилось новое основание для внеплановых проверок — по итогам рассмотрения служебной записки.

3. Сокращены сроки внеплановой проверки — максимум десять дней.

4. Внеплановая документарная проверка больше проводиться не будет.

Т. Суворова

---