Комплект документов для Роскомнадзора по ФЗ-152

Обязанность иметь комплект документов распространяется на всех операторов персональных данных, включая:

• ООО, АО, НКО;
  
• индивидуальных предпринимателей;
  
• самозанятых;
  
• владельцев сайтов, онлайн-сервисов, интернет-магазинов, блогов и каналов.
  

Масштаб бизнеса значения не имеет — критичен сам факт обработки персональных данных.

Состав комплекта зависит от деятельности, но обычно включает:

• политику обработки персональных данных;
  
• согласия на обработку и распространение ПД;
  
• положение о защите персональных данных;
  
• приказы о назначении ответственных лиц;
  
• регламенты доступа к персональным данным;
  
• инструкции для сотрудников;
  
• журналы учёта и контроля;
  
• документы по трансграничной передаче данных (при наличии);
  
• документы по реагированию на инциденты и утечки.
  

На практике полный комплект может включать 30 и более локальных нормативных актов.

Документы для сайта — это публичная часть системы защиты персональных данных.
Комплект для Роскомнадзора включает внутренние документы, которые сайт не отражает, но которые проверяются регулятором: приказы, регламенты, инструкции, журналы, схемы доступа.
Отсутствие внутренних документов — одна из самых частых причин предписаний.

Да. Комплект документов должен быть подготовлен заранее, а не «к моменту проверки».
При внеплановых проверках Роскомнадзор вправе запросить документы с ограниченными сроками на предоставление.
Отсутствие документов на момент запроса — самостоятельное нарушение.

В зависимости от выявленных нарушений возможны штрафы:

• до 60 000 ₽ — за отсутствие политики;
  
• до 300 000 ₽ — за отсутствие согласий;
  
• до 1,5 млн ₽ — при повторных нарушениях;
  
• более высокие санкции — при утечке персональных данных или системных нарушениях.
  

Роскомнадзор оценивает не один документ, а всю систему обработки и защиты ПД.

Типовые комплекты из интернета:

• не учитывают фактические процессы обработки;
  
• противоречат уведомлению Роскомнадзора;
  
• не отражают используемые сервисы и IT-системы;
  
• не согласованы между собой.
  

При проверке такие документы не принимаются как подтверждение соблюдения ФЗ-152.

Формально — да. На практике операторы сталкиваются с проблемами:

• используют устаревшие требования;
  
• не выстраивают систему документов;
  
• не обновляют документы при изменении процессов;
  
• не могут объяснить логику документов проверяющим.
  

Это приводит к предписаниям и штрафам.