Роскомнадзор направил запрос, требование или уведомление
нужен пакет документов для запуска нового проекта
уведомление об обработке персональных данных не подано, содержит ошибки или не соответствует фактическим процессам
документы были подготовлены шаблонно и/или противоречат друг другу
поступило требование субъекта об удалении или прекращении обработки данных
необходимо проверить локализацию данных, трансграничную передачу и оформление отношений с подрядчиками
нужно подготовиться к проверке либо подтвердить принятые меры
Где данные собираются
Формы обратной связи, регистрация, заявки, личные кабинеты, рассылки, отзывы и другие пользовательские сценарии.
Проверяем
Собирается автоматически
Системы аналитики, пиксели, cookie и другие инструменты, собирающие данные без отдельного действия пользователя.
Проверяем
Кто получает доступ к данным
CRM, облачные сервисы, рассылки, хостинг, подрядчики и внешние интеграции формируют фактический контур обработки.
Проверяем
Где данные хранятся
Места хранения, локализация, трансграничная передача, сроки обработки и дальнейшее использование данных.
Проверяем
Как обработка оформлена
Политика, согласия, локальные акты, договоры, поручения, порядок доступа, удаления и работы с обращениями субъектов.
Проверяем
Что заявлено регулятору
Уведомление и сведения в реестре операторов должны отражать фактическую модель обработки.
Проверяем
Основной риск возникает, как правило, из-за расхождений между фактическими процессами, сайтом, документами и уведомлением.
Поэтому работу по вопросам обработки персональных данных мы начинаем с проверки фактической модели. Только после этого определяем, какие документы, изменения и внутренние процедуры необходимы проекту.
Проверяем фактические процессы, сайт, сервисы, документы и сведения, поданные в Роскомнадзор. Выявляем несоответствия, оцениваем риски и формируем приоритетный план корректировок.
Выстраиваем модель обработки под реальные процессы: корректируем формы и сценарии, готовим документы, оформляем работу с подрядчиками, определяем сроки хранения и порядок прекращения обработки.
Готовим первичное уведомление, уведомление об изменении сведений либо прекращении обработки. Сверяем каждую цель, категорию данных, субъектов, действия, способы обработки, основания и сведения о местах хранения.
Разбираем предмет запроса, проводим проверку, устраняем выявленные несоответствия, формируем правовую позицию, готовим пояснения и подтверждающие документы и сопровождаем дальнейшее взаимодействие с регулятором.
Проверяем документы и фактическую работу проекта как единую систему, что позволяет выявить расхождения между сайтом, пользовательскими сценариями, внутренними процессами и документами еще до претензии со стороны регулятора.
Сопровождаем как комплексные проекты по приведению обработки персональных данных в соответствие требованиям законодательства, так и отдельные задачи: подготовку уведомлений, актуализацию документов, ответы на запросы Роскомнадзора и корректировку действующей модели обработки.
Приводим реальные сценарии сопровождения: запросы Роскомнадзора, запуск новых проектов,трансграничную передачу и локализацию данных, а также комплексные ситуации, затрагивающие работу проекта в целом.Приводим реальные сценарии сопровождения
Приведение крупного интернет-проекта в соответствие 152-ФЗ после нескольких запросов регулятора: аудит, документы и уведомление оператора.
ПодробнееПравовая модель и техническая реализация нового сайта согласованы до запуска, чтобы полностью исключить обработку персональных данных.
ПодробнееПеренос базы данных российского сегмента в РФ и подтверждение Роскомнадзору соответствия новой архитектуры требованиям локализации.
ПодробнееВ блоге эксперты ContentGuard разбирают актуальные вопросы интернет-регулирования, блокировки сайтов и платформ, персональные данные, репутационные риски, ИИ, онлайн-мошенничество и защиту прав в интернете.
Читать материалыЭксперты ContentGuard комментируют вопросы интернет-регулирования, цифровой безопасности, работы платформ и ИИ, блокировок, дипфейков, защиты контента и других онлайн-рисков.
Смотреть публикацииСоздаем и размещаем практические материалы для детей и взрослых по информационной безопасности: защите аккаунтов и данных, фишингу, мошенничеству, фейковым профилям, онлайн-платежам и безопасному поведению в сети.
Смотреть материалыПроводим комплексный правовой аудит сайта и внутренних процессов: проверяем фактический путь данных, документы, сервисы, подрядчиков и сведения в Роскомнадзоре. По результатам определяем риски и порядок необходимых изменений.
Снижение правовых рисков при обработке персональных данных: устраняем выявленные нарушения и расхождения, приводим документы и процессы в соответствие требованиям и готовим проект к взаимодействию с Роскомнадзором.
Мы подготовили материалы для быстрой самопроверки:
Да. Если через сайт собираются персональные данные, оператор обязан обеспечить субъектам доступ к политике обработки персональных данных. Даже одна форма обратной связи означает обработку персональных данных и требует соблюдения требований законодательства.
Нет, в связи с тем, что документы проекта должны соответствовать тому, как именно организована обработка персональных данных на сайте и внутри компании. Использование типовых документов без адаптации нередко приводит к противоречиям между сайтом, уведомлением Роскомнадзора и фактическими процессами обработки, что в свою очередь ведет к штрафам.
Да, в большинстве случаев. Однако в первую очередь необходимо определить фактическую модель обработки персональных данных.
Достаточно направить сведения об изменении ранее представленной информации. Сначала необходимо определить, какие сведения не соответствуют фактической обработке персональных данных, и только после этого вносить изменения.
Предметом оценки могут быть документы, сведения, содержащиеся в уведомлении, сайт, порядок получения согласий, организация обработки персональных данных, а также исполнение обязанностей оператора, предусмотренных законодательством.
Не стоит сразу направлять ответ. В первую очередь необходимо определить предмет запроса, проверить фактическую модель обработки персональных данных и установить, действительно ли имеются нарушения. Только после этого следует формировать правовую позицию и готовить ответ.
Единого перечня документов не существует. Их состав зависит от того, какие персональные данные собираются, какие сервисы используются и как организована обработка. Для многих небольших проектов требуется значительно меньше документов, чем принято считать.
Не всегда. Если фактическая модель обработки уже определена и соответствует работе проекта, подготовка документов может быть самостоятельной задачей. Если же процессы ранее не анализировались, документы без проверки могут закрепить неверные сведения и создать дополнительные риски.
