С 2025 года в России действуют одни из самых строгих штрафов за нарушения законодательства в области персональных данных. Если раньше максимальный штраф для юридического лица составлял 100 тысяч рублей за неподачу уведомления об обработке персональных данных, то теперь он достигает 300 тысяч рублей, а за утечку персональных данных – до 20 миллионов рублей.
Ни один бизнес не хочет сталкиваться с подобными штрафами, и в этих условиях внутренний аудит ПДн перестает быть формальностью и становится инструментом управления рисками.
Что проверяют в ходе аудита?
Аудит персональных данных является мерой, направленной на обеспечение выполнения обязанностей, предусмотренных Федеральным законом «О персональных данных». В крупной организации проверка охватывает несколько ключевых направлений:
- Правовые основания обработки. Проверяется, есть ли у компании законные основания для обработки собираемых персональных данных, соответствие цели и отсутствие избыточности в обрабатываемой информации.
Особое внимание уделяется согласиям субъектов ПДн. С 01 сентября 2025 года согласие на обработку персональных данных должно оформляться отдельно от любых других документов, которые подтверждает или подписывает субъект персональные данных. В связи с этим, включение пункта о согласии на обработку данных в договор, анкету либо пользовательское соглашение является нарушением.
Федеральным законом «О персональных данных» (ст.6) установлены условия обработки данных. Часто организация включает в договор условие «исполнитель дает согласие на обработку своих персональных данных…». Однако, включение данного условия в договор является нарушением, так как заключение и исполнение договора является лишь одним из условий обработки персональных данных наряду с согласием.
- Уведомительный порядок. Проверяется, подано ли в Роскомнадзор уведомление о намерении обрабатывать персональные данные, а также своевременно ли вносились изменения в реестр операторов, соответствует ли информация, содержащаяся в уведомлении, действительности.
Уведомление об изменениях подается не позднее 15-го числа месяца, следующего за месяцем возникновения изменений.
Критически важно, чтобы в уведомлении об обработке персональных данных была указана информация, которая соответствует реальному положению дел в организации, а именно: отсутствие целей обработки персональных данных, которых в данной организации не применимы.
Ваше уведомление, ваше Положение об обработке персональных данных и реально осуществляемая деятельность в данной области должны быть идентичными.
- Локализация баз данных. Обработка персональных данных должна осуществляться исключительно с использованием баз данных, находящихся на территории Российской Федерации.
Согласно ст. 18 Закона о персональных данных обработка персональных данных с использованием баз данных, находящихся за пределами территории Российской Федерации, не допускается. Таким образом, запрещена передача персональных данных через всеми привычный мессенджер WhatsApp или иные распространенные иностранные мессенджеры, а также с использованием сервисов Google (например, при сборе анкет).
- Меры защиты информации. При проведении аудита персональных данных важно проверить, достаточно ли в организации защищается информация, содержащая персональные данные. Федеральный закон «О персональных данных» содержит перечень обязательных мер защиты, которые должны соблюдать операторы. В данный перечень входит, например, назначение ответственного за организацию обработки, разработку внутренних локальных актов, применение средств защиты информации и оценка эффективности мер.
При этом любая организация может выделить для себя и иные меры защиты информации, которые посчитает нужными для обеспечения охраны персональных данных. Такая информация обязательно должна быть отражена в уведомлении об обработке персональных данных.
- Передача и распространение персональных данных. В организации, особенно, в крупной огромное количество контрагентов, клиентов и подрядчиков, в связи с чем передача персональных данных является обыденностью. Однако, важно проверять, что при передаче данных соблюдаются требования Федерального закона № 152-ФЗ к оформлению согласий и поручений.
При передаче персональных данных важно получать отдельное согласие лица, где будет указан контрагент, которому эти данные передаются. Согласие не нужно получать только в отдельных случаях, предусмотренных законодательством.
Как подготовиться?
На документарном уровне необходимо провести ревизию всех форм согласий. Они должны быть переработаны с учётом требования об отдельном оформлении. Целесообразно подготовить отдельный бланк согласия для каждой категории субъектов (работники, клиенты, контрагенты) и каждого вида обработки (распространение, поручение, трансграничная передача). Также следует проверить актуальность уведомлений, поданных в Роскомнадзор, и убедиться, что в реестре операторов отражены все изменения: новые цели обработки, новые информационные системы, смена ответственного лица.
На операционном уровне аудит требует инвентаризации всех информационных систем, в которых обрабатываются персональные данные. Для каждой системы определяется перечень обрабатываемых данных, круг лиц, имеющих доступ, и применяемые меры защиты. Отдельно проверяется, не избыточны ли собираемые данные по отношению к заявленным целям.
Управление инцидентами. С 2025 года введена отдельная ответственность за неуведомление об утечках. Необходимо убедиться, что в организации действует регламент реагирования на инциденты, позволяющий уведомить Роскомнадзор в течение 24 часов с момента обнаружения утечки и провести внутреннее расследование в течение 72 часов, а также существует процедура внутреннего расследования инцидента.
Каких штрафов избежать?
Кодекс об административных правонарушениях (ст. 13.11) предусматривает большое количество составов правонарушений, за совершение которых юридическое лицо и должностное лицо могут получить штраф.
| Состав правонарушения | Штраф для должностных лиц | Штраф для юридических лиц |
| Обработка ПДн в случаях, не предусмотренных законодательством, либо несовместимая с целями сбора персональных данных | До 100 тыс. рублей (повторное – до 200 тыс. рублей) |
До 300 тыс. рублей (повторное – до 500 тыс. рублей) |
| Обработка ПДн без согласия в случаях его необходимости либо при отсутствии необходимых данных в таком согласии | До 300 тыс. рублей (повторное – до 500 тыс. рублей) |
До 700 тыс. рублей (повторное – до 1,5 млн. рублей) |
| Невыполнение оператором требования об использовании баз данных, находящихся на территории РФ | До 200 тыс. рублей (повторное – до 800 тыс. рублей) |
До 6 млн. рублей (повторное – до 18 млн. рублей) |
| Неуведомление Роскомнадзора о намерении обрабатывать ПДн либо несвоевременное уведомление | До 50 тыс. рублей | До 300 тыс. рублей |
| Неправомерная передача ПДн | До 600 тыс. рублей | До 15 млн. рублей |
При этом важно учитывать, что ответственность за утечку, произошедшую по вине подрядчика, несёт оператор — организация, которая поручила обработку.
Возможность избежать штрафа. Законодательство сохраняет механизм замены штрафа на предупреждение при соблюдении ряда условий: нарушение совершено впервые, отсутствует угроза жизни и здоровью граждан, нет имущественного ущерба, а также то, что организация своевременно (в течение 24 часов) уведомила Роскомнадзор об инциденте и провела внутреннее расследование . Именно поэтому аудит должен не только выявлять нарушения, но и выстраивать систему быстрого реагирования.
Аудит персональных данных в крупной организации — это не разовая кампания, а постоянный процесс. Учитывая динамику законодательства и ужесточение правоприменительной практики, целесообразно проводить внутренние проверки не реже одного раза в год, а при существенных изменениях в деятельности или законодательстве - чаще.
