Чек-лист самопроверки соответствия требованиям ФЗ-152 «О персональных данных»

Федеральный закон №152-ФЗ «О персональных данных» — это не просто набор правил, а защита личной информации. Когда человек оставляет свои данные в интернет-магазине, на сайте банка или даже в анкете для участия в конкурсе, эти сведения — от номера телефона до адреса и данных паспорта — попадают под действие закона. И если компания не соблюдает его требования, она рискует не только штрафами, но и потерей доверия клиентов. Если ваша компания собирается работать или уже работает с персональными данными, начать следует с оценки соответствия Федеральному закону.

Чек-лист проверки по 152-ФЗ

Документация и политики

• Разработана и опубликована Политика обработки персональных данных (включая разделы о целях, сроках, мерах защиты). 
• Имеются согласия субъектов ПДн на обработку (включая случаи передачи третьим лицам и трансграничной передачи). Форма согласия соответствует ст. 9 ФЗ-152.
• Назначен ответственный за обработку ПДн (приказ, должностная инструкция).
• Заключены договоры с третьими лицами (если данные передаются), где прописаны условия соблюдения ФЗ-152.

Правовые основания

• Определены цели обработки ПДн, соответствующие законным основаниям (ст. 6 ФЗ-152): согласие, договор, исполнение закона и т.д. 
• Обрабатываются только те данные, которые необходимы для заявленных целей (принцип минимизации).
• Отсутствует обработка избыточных данных (например, паспортные данные для подписки на рассылку).

Техническая защита

• Реализованы меры защиты ПДн в соответствии с уровнем защищенности (УЗ-1, УЗ-2 и т.д.), определенным ФСТЭК. 
• Используется шифрование для передачи и хранения данных.
• Настроены системы контроля доступа (логины, пароли, двухфакторная аутентификация).
• Проведен аудит сайта на соответствие требованиям:
  • Формы сбора данных содержат чек-боксы согласия.
  • Политика конфиденциальности доступна с любой страницы.
  • Отсутствуют скрытые сборщики данных (cookie, скрипты аналитики без уведомления). 

Уведомление Роскомнадзора

• Подано уведомление об обработке ПДн в Роскомнадзор (если не подпадаете под исключения: ст. 22 ФЗ-152).
• Данные в Реестре операторов ПДн актуальны (обновлены при изменении целей или состава данных).

Работа с сотрудниками и партнерами

• Проведено обучение сотрудников по работе с ПДн (включая меры конфиденциальности).
• Ограничен доступ к ПДн по принципу «минимум привилегий» (только нужные сотрудники).
• Подписаны соглашения о неразглашении с сотрудниками, имеющими доступ к ПДн.

Реагирование на инциденты

• Разработан план действий при утечке ПДн (уведомление Роскомнадзора в течение 72 часов, ст. 13.11 КоАП).
• Ведется журнал учета обращений субъектов ПДн (запросы на доступ, исправление, удаление данных).

Международная передача данных

• При трансграничной передаче ПДн соблюдаются требования ст. 12 ФЗ-152 (страна-получатель обеспечивает адекватную защиту).
• Получено отдельное согласие субъекта на трансграничную передачу (если страна не в «белом списке»).

Регулярные проверки

• Проводится ежегодный внутренний аудит на соответствие ФЗ-152.
• Обновляются документы и политики при изменении законодательства или процессов обработки.

Важно! За нарушения ФЗ-152 предусмотрены штрафы до 18 млн руб. (для юрлиц). Для комплексной проверки рекомендуется заказать профессиональный аудит.