Контроль персданных: отсутствие проверки и риск претензий

Что показывает статистика контроля

На отраслевом мероприятии представитель Роскомнадзора сообщил о росте жалоб и использовании автоматизированного выявления признаков нарушений на сайтах. По приведённым данным, из 159,1 тысячи проверенных ресурсов нарушения выявлены примерно на 135,95 тысячи.

Эти цифры относятся к обозначенному ведомством отчётному периоду и обследованным ресурсам. Они не являются оценкой доли нарушителей среди всех сайтов России и не доказывают, что каждому владельцу сайта назначен штраф. Практический вывод – проверять реальные формы сбора и движение данных, а не рассчитывать на отсутствие планового визита.

Что проверять внутри компании

Статьи 18.1 и 19 закона № 152-ФЗ предусматривают организационные и защитные меры при обработке персональных данных. Документы должны соответствовать фактическим операциям: какие сведения собираются, для какой задачи, кому передаются и как защищаются.

Если в политике написано одно, а подключённый сервис передаёт данные иначе, наличие опубликованного текста не устраняет расхождение.

С чего начать сверку

Составьте перечень форм, систем и подрядчиков, которые работают с персональными данными. Для каждого процесса определите основание, объём сведений, доступ и срок хранения.

Проверьте обращения субъектов и исполнение процедур удаления либо прекращения обработки. По каждому несоответствию сохраните документы о причинах и принятых мерах: общая статистика контроля не показывает, устранена ли проблема конкретного оператора.

Как найти расхождение между политикой и сайтом

Начните с действий посетителя: заявка, регистрация, заказ, подписка, обращение в чат. Для каждого действия откройте форму и запишите, какие поля обязательны, куда ведут ссылки и какое согласие предлагается дать. Затем уточните у ответственного за систему, где сохраняется обращение и какие подрядчики получают доступ. Например, если политика описывает только ответ на заявку, а контакты автоматически включаются в рекламную рассылку, нужно отдельно разобраться в основании этой операции. Публикация политики в подвале не объясняет такую разницу между обещанным и фактическим процессом.

Проверьте сценарии, которые легко пропустить при просмотре главной страницы: встроенные виджеты, формы внешних площадок, выгрузки из CRM и доступ бывших сотрудников. Для каждого случая укажите владельца процесса и источник сведений о настройках. Не утверждайте, что данные не передаются, только потому, что передача не видна в интерфейсе. Но и обнаружение запроса к чужому домену само по себе не доказывает конкретное нарушение: необходимо установить состав передаваемой информации, цель, получателя и применимые требования.

Отдельно проведите пробное обращение об исправлении или прекращении обработки в пределах выбранного процесса. Проверьте, кто увидит запрос, как установит заявителя, в каких системах найдёт сведения и как зафиксирует результат. Не используйте реальные чужие данные для такого упражнения без основания. После сверки составьте список конкретных расхождений с ответственными и сроками устранения. Если изменились текст, форма и технический маршрут, проверьте их совместно повторным проходом. Это даёт проверяемый результат работы с собственным сайтом, тогда как отраслевая статистика показывает лишь общий контекст контроля и не подтверждает исправность отдельной организации.