Регулярно ужесточаются требования к обработке и хранению персональных данных. Роскомнадзор имеет право проводить подобные проверки без предупреждения. В 2025 году Роскомнадзор зафиксировал 103 нарушения. РЖД допустило утечку 17 млн. строк конфиденциальных данных. Крупная торговая сеть из 300 магазинов по всей России столкнулась с утечкой 850000 записей клиентов по картам лояльности и оштрафована на 15 млн. рублей. Штрафы жесткие.
Проверьте себя и свою компанию, чтобы не попасть в неприятную ситуацию с проверками. Делюсь Чек-листом, который я использую в работе организационного консультанта в консалтинговых проектах.
№
Что проверить
Статус
1
Политика обработки персональных данных утверждена приказом руководителя, содержит цели обработки, категории субъектов и данных, меры защиты, права субъектов
?
2
Политика актуальна (пересматривается не реже 1 раза в год, даже если ничего не менялось)
3
Политика опубликована на сайте организации (для всех операторов — ст. 18.1 152-ФЗ)
4
Приказ о назначении ответственного за организацию обработки ПДн (для юрлиц — обязательно)
5
В приказе указаны ФИО, должность ответственного, дата утверждения
6
Положение об обработке и защите персональных данных
7
Перечень ПДн, обрабатываемых в организации (какие данные, для каких целей)
8
Акт оценки возможного вреда субъектам ПДн (обязателен для всех операторов)
9
Инструкция по обработке ПДн без использования средств автоматизации (если есть бумажные носители)
10
Правила рассмотрения запросов субъектов ПДн (порядок и сроки ответа)
11
Журнал учёта обращений субъектов ПДн (запросы, ответы, сроки)
12
Журнал учёта инцидентов с ПДн — даже если ничего не происходило, журнал должен быть
13
Акты об уничтожении ПДн (при прекращении обработки или по требованию субъекта)
14
Перечень лиц, имеющих доступ к персональным данным
15
Согласия на обработку ПДн получены от всех сотрудников (на бумаге или с ЭЦП)
16
Согласия оформлены как отдельный документ (не встроены в трудовой договор)
17
В согласии указаны: ФИО, цель обработки, перечень данных, срок действия, порядок отзыва
18
Все сотрудники ознакомлены с Политикой под роспись (подтверждение хранится в личных делах)
19
Проведён инструктаж/обучение по работе с ПДн с документальным подтверждением
20
Сотрудники, работающие с ПДн, подписали обязательство о неразглашении
21
Приказы об ограничении доступа к ПДн для сотрудников, которым данные не нужны для работы
22
Уведомление в Роскомнадзор подано до начала обработки ПДн (ст. 22 152-ФЗ)
23
Уведомление подано всеми операторами (включая ИП — с 30 мая 2025 года)
24
В уведомлении указаны: цели обработки, категории данных, меры защиты, местонахождение базы данных
25
Уведомление об изменениях подано не позднее 15-го числа месяца, следующего за месяцем изменений
26
Уведомление о прекращении обработки подано в течение 10 рабочих дней
27
Организация включена в реестр операторов Роскомнадзора
46
Заключены договоры с операторами/подрядчиками, обрабатывающими ПДн (IT-компании, банки, курьеры)
47
В договорах указаны: перечень данных, цели обработки, меры защиты, условия уничтожения
48
Проводится ежегодная проверка подрядчиков на соответствие требованиям
Если вы уже получили уведомление о проверке:
Периодичность самопроверки:
Что проверяет Роскомнадзор в первую очередь
Приоритет
Что смотрят
Наличие уведомления в реестре операторов
Политика обработки ПДн на сайте
Согласия субъектов (формы, чекбоксы)
Приказ о назначении ответственного
Модель угроз и акт определения уровня защищённости
Локализация баз данных на территории РФ
И главное помните! Надёжность хранения ПД - это Ваш репутационный успех!
Отправляя данные вы подтверждаете пользовательское соглашение