Профилактический визит Роскомнадзора по персональным данным: кого проверяют и как подготовиться без паники

Когда бизнес слышит слова «Роскомнадзор» и «визит», первая реакция обычно одна из двух. Либо паника, либо отрицание. Одни представляют, что завтра придут с полной проверкой и остановят работу. Другие успокаивают себя тем, что до них точно не доберутся. Оба подхода плохие.

Профилактический визит по 152-ФЗ, как правило, не про театральную «карательную операцию», а про ранний контакт регулятора с оператором персональных данных. Но это не делает его формальностью. Наоборот: для бизнеса это один из самых важных сигналов, что тема персональных данных вышла из абстрактного фона и стала предметом реального внимания со стороны надзора.

Если компания попадает в план профилактических мероприятий или понимает, что относится к группе риска, правильная задача не в том, чтобы срочно имитировать идеальный порядок. Правильная задача — быстро понять, где у вас реальные слабые места, и подготовить рабочую, а не декоративную картину процессов.

Что такое профилактический визит простыми словами

Для бизнеса профилактический визит — это сценарий, в котором Роскомнадзор не просто теоретически регулирует сферу персональных данных, а выходит в прямой контакт с оператором и смотрит, насколько компания понимает свою модель обработки данных, риски и обязанности.

В практическом смысле это означает три вещи:

• к вашей организации уже есть предметный интерес в контуре ПДн;
• регулятор смотрит не только на бумагу, но и на общую зрелость подхода;
• неподготовленность начинает быть видна быстрее, чем многим кажется.

Для собственника и руководителя это важно по одной причине: профилактический визит часто становится не единичным эпизодом, а маркером того, что тема больше не живет в слепой зоне.

Кто чаще попадает в поле зрения

По практике и по открытым новостным сигналам чаще внимание получают компании, которые работают в чувствительных или массовых сегментах:

• медицинские организации;
• образовательные проекты;
• туристические компании;
• организации сферы ЖКХ;
• бухгалтерские и юридические сервисы;
• компании с большим количеством обращений, заявок, клиентских данных и сотрудников.

Но ошибка думать, что если вы не клиника и не университет, то тема мимо вас. Сайт с формами, CRM, реклама, кадровый контур, подрядчики, рассылки, мессенджеры и неструктурированные выгрузки уже делают компанию заметным оператором персональных данных.

Почему бизнес часто оказывается не готов

Проблема в том, что в голове у руководителя и в реальной системе обычно живут две разные картины.

В голове картина звучит так: политика на сайте есть, уведомление вроде подавали, сотрудники подписывали какие-то бумаги, значит всё более-менее закрыто.

В реальности картина часто выглядит иначе:

• сайт собирает больше данных, чем описано в документах;
• подрядчики получают доступ к данным без понятного оформления;
• HR-контур живёт отдельно;
• рекламные и аналитические инструменты подключены исторически;
• часть процессов вообще не описана;
• никто не может быстро показать, как данные проходят путь от формы до CRM, подрядчика и хранения.

Именно поэтому профилактический визит опасен не сам по себе, а как момент столкновения корпоративной самооценки с фактической моделью работы.

Что обычно смотрят в первую очередь

Регулятор редко впечатляется тем, что у компании просто есть несколько красивых документов в папке. Намного важнее другое: понимает ли компания, что именно она делает с персональными данными.

1. Есть ли у компании ясная схема обработки

Нужно уметь ответить:

• какие данные собираются;
• у кого именно;
• с какой целью;
• где они хранятся;
• кому передаются;
• кто внутри компании имеет к ним доступ.

Если на эти вопросы ответы распадаются между маркетингом, HR, IT, продажами и руководителем, это уже тревожный сигнал.

2. Соответствуют ли документы реальности

Очень частая проблема: политика, согласия, приказы и регламенты существуют, но написаны под идеальную модель, которой в бизнесе давно нет. На сайте одна логика, в CRM другая, в договорах третья, у подрядчиков четвертая.

3. Что происходит на сайте

Сайт для многих компаний — главный публичный контур обработки. Именно здесь чаще всего видно, как бизнес реально работает с данными.

Нужно заранее проверить:

• формы заявок;
• cookies и аналитику;
• маркетинговые пиксели;
• политику и тексты согласий;
• передачу данных в CRM и подрядчикам.

По этой теме уже полезны наши материалы:

• требования 152-ФЗ к сайту;
• cookies, формы и аналитика;
• документы для сайта по 152-ФЗ.

4. Что происходит с сотрудниками и подрядчиками

Вторая большая зона риска — внутренний доступ к персональным данным. Кто видит клиентские карточки? Кто может выгружать базы? Что есть у HR? Как оформлен доступ подрядчиков? Есть ли поручение обработки? Кто отвечает за контроль?

Что подготовить заранее

Карта процессов и потоков

Без неё компания слишком часто отвечает на вопросы фразой «надо уточнить у коллег». Для регулятора это плохой сигнал, а для бизнеса — показатель, что управляемости нет.

Полезно заранее собрать:

• карту потоков данных;
• список систем и сервисов;
• список подрядчиков, которые касаются обработки;
• перечень ролей и доступов;
• перечень основных целей обработки.

Сюда хорошо перелинковываются наши статьи:

• карта потоков персональных данных;
• инвентаризация персональных данных;
• как формулировать цели обработки.

Актуальный комплект документов

Не декоративный, а живой. В него обычно входят:

• политика обработки персональных данных;
• локальные регламенты по обращениям, доступам, хранению и уничтожению;
• документы по сотрудникам, если есть кадровый контур;
• документы по сайту, если данные собираются через сайт;
• материалы по подрядчикам и поручению обработки;
• документы по уведомлению в Роскомнадзор, если оно требуется.

Нормальная внутренняя позиция

Очень полезно, когда компания заранее понимает, кто и как отвечает на вопросы, кто собирает фактуру, кто показывает документы, кто объясняет модель обработки и кто может быстро дать управленческое решение, если вскрывается пробел.

Чего не стоит делать перед визитом

Не надо рисовать идеальную картину

Если компания внезапно начинает за два дня «улучшать всё сразу», это обычно заканчивается хаосом. Появляются бумаги, которые никто не понимает, ссылки ломаются, сотрудники путаются в объяснениях.

Не надо делать ставку только на документы

Регулятору важно видеть не только наличие файлов, но и понимание процессов. Документы без фактической модели редко спасают.

Не надо игнорировать сайт

n
Очень многие думают, что основная проблема — во внутренних приказах, а сайт «потом». На практике именно сайт часто самый видимый и уязвимый элемент.

Не надо надеяться, что «если придут, разберёмся на месте»

Проблема в том, что на месте обычно вскрывается всё, что бизнес годами не описывал: какие сервисы используются, где базы, кто выгружает, какие согласия есть, а каких нет.

Как выглядит разумная стратегия подготовки

Если говорить совсем прагматично, бизнесу нужен не идеальный бумажный мир, а короткий управленческий маршрут:

1. Быстро собрать реальную картину обработки данных.
2. Отделить критические пробелы от второстепенных.
3. Привести в порядок сайт, документы и контур подрядчиков.
4. Убедиться, что уведомление в Роскомнадзор и публичная логика не противоречат реальности.
5. Назначить внутри компании понятных ответственных.

Этого часто достаточно, чтобы перейти из состояния «мы не понимаем, что показывать» в состояние «мы понимаем свою модель и знаем, что ещё нужно дожать».

Главный вывод

Профилактический визит Роскомнадзора — это не повод впадать в панику и не повод делать вид, что ничего страшного нет. Это момент, когда компании выгоднее всего честно посмотреть на свою фактическую модель обработки персональных данных и убрать критичные разрывы до того, как тема перейдет в более жесткий формат.

Для бизнеса хороший результат подготовки — не «мы идеально выглядим на бумаге», а «мы реально понимаем, какие данные собираем, где рискуем и что уже закрыли».