Плановых проверок нет до 2030 — но Роскомнадзор уже смотрит ваш сайт

Хорошая новость, с которой стоит начать: плановую проверку Роскомнадзора вашей компании, скорее всего, не назначат. Мораторий действует и продлён до 2030 года.

Плохая новость: из этого не следует, что вас не смотрят. Смотрят, просто иначе — и по закону имеют на это право. Разберу, что именно приостановлено, что осталось, и главное — что видно про вашу компанию снаружи прямо сейчас.

Что именно приостановил мораторий

Мораторий на плановые контрольные мероприятия ввело постановление Правительства № 336 от 10 марта 2022 года, а постановление № 372 от 10 марта 2023 года продлило его до 2030 года. Точную дату окончания источники не называют, поэтому и я её называть не буду — ориентир «до 2030 года».

Ключевое слово здесь — плановые. Мораторий не отменяет:

• внеплановые мероприятия по основаниям, установленным законом;
• надзорные мероприятия, которые проводятся без взаимодействия с компанией;
• проверки объектов чрезвычайно высокого и высокого риска, опасных производственных объектов II класса и гидротехнических сооружений II класса — на них мораторий не распространяется.

Так что читатель, который говорит «плановой проверки у меня не будет», прав. Разговор дальше о том, что происходит помимо неё.

Мероприятия без взаимодействия: как вас смотрят без визита

Вот норма, которую стоит знать наизусть. Часть 3 статьи 23.1 152-ФЗ говорит, что государственный контроль за обработкой персональных данных идёт по правилам 248-ФЗ — за исключением контрольных (надзорных) мероприятий, проводимых без взаимодействия с контролируемым лицом.

Формулировка сухая, а смысл простой: чтобы посмотреть на то, что вы и так показываете всему интернету, регулятору не нужно ни приходить к вам, ни предупреждать, ни укладываться в режим обычной проверки.

Сразу проведу границу, которую в статьях обычно размывают. Закон не говорит «Роскомнадзор сканирует сайты роботом». Он говорит про мероприятия без взаимодействия, а порядок их проведения утверждает Правительство — это постановление № 1046 от 29 июня 2021 года о государственном контроле за обработкой персональных данных. Что на практике это выглядит как автоматический просмотр сайтов, известно из наблюдений рынка и публикаций. Норма и практика — разные вещи, и смешивать их я не буду.

Что видно на вашем сайте со стороны

Откройте свой сайт прямо сейчас, в обычном браузере, как посетитель. Всё, что вы видите, видит и проверяющий. А это как раз самые частые нарушения:

• Есть ли политика обработки данных и открывается ли ссылка на неё с любой страницы.
• Как оформлены формы: есть ли чекбокс согласия, не проставлен ли он заранее, ведут ли ссылки на реальные документы.
• Какие счётчики и виджеты стоят и упомянуты ли они в политике.
• Где вы храните данные: зарубежные сервисы в формах и аналитике видно снаружи.
• Есть ли вы в реестре операторов — реестр публичный, сверка занимает минуту.

Ничего из этого не требует доступа внутрь вашей компании. Полная самопроверка сайта — в чек-листе аудита на 152-ФЗ, а про то, как правильно оформить политику, — в отдельной статье.

Найденное становится основанием прийти

Здесь замыкается цепочка, ради которой всё это писалось. Часть 4 статьи 23.1 152-ФЗ: сведения об угрозе причинения вреда, выявленные в ходе мероприятий без взаимодействия, служат основанием для решения о проведении контрольного мероприятия по статье 60 248-ФЗ.

Мониторинг сам по себе не штраф. Он — вход. Увидели, зафиксировали, появилось законное основание для настоящего мероприятия, уже с взаимодействием и запросом документов.

Утечка базы — отдельное приглашение регулятора

Отдельно про случай, который мораторий не закрывает вообще. Статья 60 248-ФЗ перечисляет ситуации, когда принимается решение о контрольном мероприятии, и среди них прямо назван факт распространения в интернете баз данных, содержащих персональные данные.

То есть утёкшая клиентская база — это не только штраф за саму утечку. Это ещё и самостоятельный повод для внепланового мероприятия, который работает поверх любого моратория. Сколько стоит утечка и как заранее ограничить штраф, разбирал в отдельной статье.

Проверочный лист: официальные вопросы, по которым оценивают

Теперь приятная часть, о которой почти никто не пишет. Список вопросов, по которым инспектор оценивает компанию, — не секрет. Форма проверочного листа утверждена приказом Роскомнадзора от 24 декабря 2021 года № 253 (Минюст 63204) и действует до 1 сентября 2027 года.

Инспектор идёт по контрольным вопросам и ставит отметки. Вот характерные пункты оттуда:

• опубликована ли политика в отношении обработки персональных данных;
• локализована ли база данных на территории России;
• приняты ли организационные меры защиты;
• прекращается ли обработка по требованию человека;
• как оформлена трансграничная передача в страны без адекватной защиты данных.

Если посмотреть на это глазами собственника, картина обнадёживающая: экзамен с открытыми вопросами. Список известен заранее, вопросов в нём меньше, чем страхов вокруг темы, и по каждому можно спокойно проверить себя до того, как кто-то придёт.

Когда приходят внепланово

Мораторий закрывает плановые мероприятия, но не внеплановые. Основания для контрольных мероприятий установлены статьёй 57 248-ФЗ, а порядок принятия решения по сведениям о вреде — статьёй 60. Для сферы персональных данных типичные поводы такие:

• обращение человека, чьи права нарушены (пожаловался клиент или бывший сотрудник);
• факт распространения базы с персональными данными в интернете;
• сведения об угрозе, полученные в ходе мероприятий без взаимодействия;
• неустранённые нарушения по ранее выданному предписанию.

Обратите внимание на первый пункт: он самый частый и самый недооценённый. Один недовольный человек с жалобой запускает механизм не хуже любой плановой проверки.

Чего бояться не нужно

Блок для тех, кому уже успели продать тревогу. Наблюдение без взаимодействия — это не слежка и не «чёрные списки». Регулятор смотрит на то, что вы сами опубликовали в открытом доступе, и делает это в отношении всех операторов одинаково.

Для подготовки к такому надзору обычному бизнесу не нужны: срочный аудит за сотни тысяч, сертифицированные средства защиты «на случай проверки», отдельный сотрудник под комплаенс. Нужно другое — чтобы то, что видно снаружи, соответствовало тому, что вы делаете внутри. Это работа на несколько часов, а не на бюджет.

Самопроверка за час: чек-лист владельца

Переведу вопросы проверочного листа на человеческий язык. Отвечайте «да» или «нет»:

• На сайте есть политика обработки данных, и ссылка открывается с любой страницы.
• Политика описывает мои реальные данные и цели, а не скачана у чужой компании.
• В каждой форме есть непредзаполненный чекбокс согласия со ссылками на документы.
• Счётчики и виджеты, которые стоят на сайте, упомянуты в политике.
• Данные клиентов хранятся на серверах в России.
• Компания есть в реестре операторов, сведения в нём актуальны.
• Назначен ответственный за организацию обработки данных, и он работает у нас до сих пор.
• Понятно, кто и за какое время уведомит РКН при утечке.
• Известно, как прекратить обработку и уничтожить данные по требованию человека.

Каждое «нет» — это готовая задача на ближайшую неделю. Ничего из этого не требует подрядчика.

Что сделать на этой неделе

• Пройдите чек-лист выше и выпишите все «нет» в один список.
• Откройте свой сайт глазами постороннего: найдите политику, проверьте форму, посмотрите счётчики.
• Сверьтесь с реестром операторов по ИНН — как это сделать, разбирал отдельно.
• Проверьте, кто отвечает за данные и знает ли он про сроки уведомления при инциденте.

Короткий вывод

Мораторий на плановые проверки — это правда, и он работает до 2030 года. Но надзор устроен шире: закон разрешает смотреть компанию без взаимодействия, а найденное превращается в основание для настоящего мероприятия. Плюс есть открытый проверочный лист, по которому вас будут оценивать.

Отсюда спокойный вывод. Готовиться к проверке, которой не будет, смысла нет. Имеет смысл привести в порядок то, что видно снаружи, — это тот же список вопросов, только заданный себе самому и заранее. Светлая сторона тут именно в этом: правила открыты, и подготовка стоит вечера, а не бюджета.

Свежие разборы 152-ФЗ на языке бизнеса выкладываю в телеграм-канале.

Частые вопросы