Документы для проверки Роскомнадзора: как собрать доказательный комплект

# Документы для проверки Роскомнадзора: как собрать доказательный комплект

Редакция SGI24. Материал описывает техническую и организационную подготовку оператора персональных данных. Он не заменяет разбор конкретного требования юристом. [О бюро](/company).

Когда приходит запрос Роскомнадзора, первая реакция понятна: найти большой архив документов и отправить его целиком. Спешка здесь мешает.

Запрос может касаться уведомления оператора, сайта, локальных актов, мер защиты или конкретного инцидента. Ответ должен попадать в предмет требования и подтверждаться фактической работой организации. Лишняя папка шаблонов не закрывает пробелы, а иногда создаёт новые вопросы.

На практике доказательный комплект может включать порядка нескольких десятков документов. Но точный состав определяют содержание запроса, процессы оператора и проверяемый период.

Подготовить комплект к запросу Роскомнадзора

Сначала разберите само требование

До подготовки ответа зафиксируйте, кто направил документ, когда он получен и какой срок указан. Отдельно выпишите вопросы, период и требуемый формат.

Это кажется очевидным, но именно здесь часто теряется время. Один сотрудник собирает всё по сайту, второй ищет кадровые согласия, а запрос касается только актуальности сведений в реестре операторов.

Составьте короткую таблицу: вопрос регулятора, фактический процесс, подтверждающий материал, владелец информации и статус. Она сразу показывает, где документ есть, где его нужно актуализировать, а где сначала придётся исправить сам процесс.

Что проверяется на самом деле

Регулятору важна не толщина папки. Проверяется, выполняет ли оператор обязанности и может ли это доказать.

Поэтому мы собираем комплект по крупным блокам.

Политики и положения

Они описывают правила обработки, цели, сроки и порядок работы с обращениями людей. Для ответа важна актуальная редакция, которая действовала в проверяемый период.

Если документ обновили вчера, он не подтверждает, как организация работала полгода назад. Архивные версии и даты утверждения иногда важнее красивого нового текста.

Приказы и ответственность

Из материалов должно быть ясно, кто организует обработку персональных данных, кто отвечает за системы и как распределены обязанности. Назначение на бумаге должно совпадать с реальной ролью сотрудника.

Когда ответственного нельзя подключить к подготовке ответа, это тревожный сигнал: документ и практика разошлись.

Согласия и рабочие формы

Здесь проверяются не только тексты. Нужно понимать, для какой цели получено согласие, как зафиксировано действие человека, где хранится подтверждение и что происходит после отзыва.

Электронная форма на сайте должна быть связана с серверной записью. Скриншот галочки сам по себе не доказывает, что конкретный посетитель видел конкретную редакцию текста.

Журналы и акты

Этот блок подтверждает, что утверждённые процедуры действительно выполняются. Сюда относятся записи о доступах, обращениях, проверках, уничтожении и инцидентах в зависимости от предмета запроса.

Не нужно прикладывать всё подряд. Выбираются материалы, которые отвечают на конкретный вопрос и не раскрывают лишние персональные или коммерческие сведения.

Модель угроз и меры защиты

Документы по безопасности должны совпадать с текущими системами. Если организация сменила хостинг, подключила новую CRM или перенесла резервные копии, старое описание уже не даёт точной картины.

Этот блок нельзя готовить отдельно от ИТ. Юрист видит формулировку, а технический специалист подтверждает, как всё работает на самом деле.

Сайт и сведения для Роскомнадзора

Проверяются формы, согласия, политика, аналитика, внешние сервисы, место сохранения заявки и сведения в уведомлении оператора. Один процесс должен одинаково выглядеть на сайте, во внутренних документах и в реестре.

Если уведомление перечисляет одни цели, а форма и CRM работают с другими, сначала фиксируют расхождение. Затем определяют, что исправлять и как это объяснять в ответе.

Почему нельзя публиковать универсальный полный список

Универсального перечня нет. Он зависит от отрасли, состава субъектов, систем, подрядчиков и самого запроса.

Полный внутренний комплект конкретного клиента тоже не должен становиться рекламным материалом. В нём могут быть сведения об инфраструктуре, сотрудниках, рисках и устройстве процессов. Публично достаточно показать компетенцию через категории и подход.

Именно поэтому SGI24 говорит о комплекте порядка нескольких десятков документов, но не продаёт один архив всем организациям.

Что можно заказать отдельно

Подготовку к запросу удобнее разделить на отдельные блоки.

Можно заказать экспресс-разбор требования и карту недостающих доказательств. Можно отдельно привести в порядок локальные акты, сайт и формы, уведомление Роскомнадзора либо инфраструктурную часть: место хранения, доступы, резервные копии и подрядчиков.

Если нужен только один блок, покупать весь комплекс не требуется. В предложении фиксируются границы, результат и данные, которые должна предоставить сама организация.

Как строится работа

Сначала собираются факты. Затем отмечаются расхождения и определяется, какие из них можно закрыть документом, а какие требуют изменения сайта или процесса.

После этого готовится согласованный комплект. Для каждого материала понятны его назначение, редакция, владелец и связь с вопросом регулятора. Финальный юридический ответ и решение о передаче конкретных сведений остаются за оператором и его юристом.

Такой порядок медленнее скачивания шаблонов в первые полчаса, зато не заставляет организацию доказывать то, чего у неё нет.

Как выглядит рабочая матрица ответа

Для каждого пункта запроса достаточно пяти колонок: вопрос, фактический процесс, подтверждение, ответственный и готовность. Такая таблица не отправляется автоматически. Это внутренний пульт подготовки.

Например, регулятор спрашивает о получении согласия через сайт. В матрице указывают адрес формы, редакцию текста, способ фиксации, систему хранения и сотрудника, который может показать запись. Если одного элемента нет, это видно до отправки ответа.

Матрица защищает от другой крайности: приложить десятки файлов без объяснения. Проверяющему не приходится угадывать, какой документ относится к вопросу. Руководитель при этом видит, где ответ готов, а где возникла задача на исправление.

Что делать, если обнаружен пробел

Нельзя задним числом создавать доказательство события, которого не было. Если согласие не фиксировалось, документ с сегодняшней датой не подтвердит прошлую работу. Если резервная копия не проверялась, новый регламент не докажет успешное восстановление.

Пробел описывают фактически, оценивают риск и согласуют исправление. Иногда можно быстро изменить форму или закрыть лишний доступ. Иногда потребуется проект: перенести данные, перестроить интеграцию, обновить уведомление или ввести регулярный контроль.

Правовую формулировку ответа определяет юрист. Наша задача в этот момент — дать ему точные технические факты, даты и понятный план, а не маскировать проблему общими словами.

Что остаётся после отправки

Хорошая подготовка не заканчивается письмом. Матрица вопросов превращается в план поддержания соответствия: что проверять при изменении сайта, кто следит за доступами, как обновляются локальные акты и когда тестируется восстановление данных.

Эту поддержку тоже можно заказать отдельно. Одной организации нужен ежеквартальный контроль сайта, другой требуется сопровождение изменений в документах, третьей — техническая проверка инфраструктуры. Периодичность определяется риском и темпом изменений, а не календарём ради отчёта.

Что проверить перед отправкой

Прочитайте ответ глазами человека, который не знает внутреннего контекста. Понятно ли, на какой вопрос отвечает каждый файл? Совпадают ли даты? Не противоречат ли сайт, уведомление и локальные акты друг другу? Не передаются ли лишние данные?

Отдельно сохраните копию отправленного комплекта и подтверждение передачи. Через месяц должна восстанавливаться точная редакция итогового документа.

Границы результата

Техническая и организационная подготовка не равна гарантии отсутствия вопросов или санкций. Решение принимает надзорный орган, а правовую позицию формирует юрист организации.

SGI24 помогает собрать факты, привести документы, сайт и инфраструктуру к одной схеме и подготовить доказательный комплект в пределах согласованного блока.

До старта мы фиксируем, что войдёт в результат. Это может быть карта пробелов, исправленный сайт, адаптированные локальные акты, технический отчёт или собранный комплект приложений. Так не возникает ложного ожидания, что заказ одной проверки автоматически включает переделку всех систем.

Если срок ответа уже идёт, первым этапом становится приоритизация: что требуется для текущего запроса, что снижает непосредственный риск и что можно вынести в последующий проект. Руководитель получает последовательность действий, а не бесконечный список замечаний.

Подготовить комплект к запросу Роскомнадзора

Источники

• Федеральный закон № 152-ФЗ «О персональных данных»
• Роскомнадзор: персональные данные и обязанности оператора
• Приказ Роскомнадзора № 178: требования к оценке вреда
• Приказ Роскомнадзора № 179: подтверждение уничтожения персональных данных
• Приказ Роскомнадзора № 180: формы уведомлений