1. Составить карту фактической обработки персональных данных
Начинать аудит лучше не с шаблонов документов, а с процессов. Нужно понять, какие персональные данные компания реально получает, от кого, для каких целей, где хранит, кому передаёт и сколько времени использует.
Обычно отдельными потоками являются клиенты и представители контрагентов, сотрудники и кандидаты, посетители сайта, пользователи CRM, участники мероприятий, подписчики рассылок, а также данные, которые обрабатывают подрядчики.
2. Сверить уведомление Роскомнадзора с реальными процессами
По общему правилу оператор до начала обработки персональных данных обязан уведомить Роскомнадзор, если не применяется одно из исключений, предусмотренных законом.
Важно не только наличие записи в реестре операторов, но и её актуальность. В уведомлении сведения указываются по каждой цели обработки: категории субъектов и данных, правовые основания, действия с данными, способы обработки и другие сведения.
Если обработка прекращена, оператор должен уведомить Роскомнадзор об этом в установленный законом срок. Если процессы изменились, нужно проверить необходимость актуализации сведений.
3. Для каждой цели определить правовое основание
Согласие — не универсальное основание для любой обработки. Часть процессов может строиться на исполнении договора, обязанностях работодателя, требованиях закона или иных основаниях статьи 6 Закона № 152-ФЗ.
Поэтому полезно сделать таблицу: цель обработки → категории данных → субъекты → правовое основание → срок хранения → получатели → информационная система.
Если обработка основана на согласии, именно оператор должен суметь доказать факт его получения либо наличие иного законного основания.
4. Проверить форму согласий
С 1 сентября 2025 года действует общее требование: согласие на обработку персональных данных должно оформляться отдельно от иной информации и документов, которые подтверждает или подписывает субъект.
Это особенно важно для сайтов, анкет, оферт, кадровых документов и иных форм, где раньше согласие нередко включалось одним пунктом в общий текст.
Само согласие должно оставаться конкретным, предметным, информированным, сознательным и однозначным. Если закон требует письменную форму, необходимо соблюдать специальные требования к содержанию такого согласия.
5. Проверить сайт и публичную политику
Если сайт собирает персональные данные — например, через формы обратной связи, заявки, личный кабинет или иные механизмы, — политика в отношении обработки персональных данных должна быть опубликована и доступна пользователю.
Кроме текста политики нужно проверить реальные формы: какие поля собираются, обязательны ли они, какие цели заявлены, требуется ли согласие, куда попадают данные после отправки и какие внешние сервисы участвуют в обработке.
6. Проверить локализацию баз данных
При сборе персональных данных граждан России, в том числе через Интернет, закон устанавливает требование об использовании для записи, систематизации, накопления, хранения, уточнения и извлечения баз данных, находящихся на территории Российской Федерации, за предусмотренными законом исключениями.
С 1 июля 2025 года формулировка части 5 статьи 18 была уточнена: использование находящихся за пределами России баз данных для перечисленных операций при сборе данных граждан РФ по общему правилу не допускается.
Поэтому в 2026 году необходимо знать не только название облачного сервиса или CRM, но и фактическую архитектуру хранения и обработки данных.
7. Проверить подрядчиков, которым передаются данные
Бухгалтерия на аутсорсе, кадровый сервис, CRM-интегратор, колл-центр, служба доставки, облачный провайдер и другие подрядчики могут получать доступ к персональным данным компании.
Если подрядчик обрабатывает данные по поручению оператора, отношения должны соответствовать требованиям части 3 статьи 6 Закона № 152-ФЗ: нужно определить перечень данных, операции, цели обработки, требования к конфиденциальности, безопасности и иные обязательные условия.
Передача функции подрядчику не означает, что оператор перестаёт отвечать перед субъектом за организацию обработки.
8. Проверить локальные документы и ответственных лиц
Юридическому лицу необходимо определить организационную модель обработки: назначить ответственного за организацию обработки персональных данных и иметь локальные акты, которые описывают цели, категории данных и субъектов, способы и сроки обработки и хранения, порядок уничтожения и процедуры предотвращения нарушений.
Работники, которые непосредственно обрабатывают персональные данные, должны быть ознакомлены с требованиями законодательства и внутренними документами либо пройти соответствующее обучение.
9. Проверить организационные и технические меры защиты
Документы не заменяют информационную безопасность. Оператор обязан принимать необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления и распространения.
Конкретный набор мер зависит от информационных систем, характера данных и актуальных угроз. На практике аудит должен затрагивать разграничение доступа, учёт пользователей, резервное копирование, порядок работы с носителями, пароли, журналирование и действия при инцидентах.
10. Подготовить порядок действий при утечке
Компания должна заранее понимать, кто внутри организации фиксирует инцидент, кто принимает решение о его квалификации, кто взаимодействует с IT и безопасностью и кто готовит уведомления Роскомнадзору.
За невыполнение или несвоевременное выполнение обязанности по уведомлению Роскомнадзора об инциденте предусмотрена отдельная административная ответственность. За саму неправомерную передачу или доступ к персональным данным размеры штрафов зависят, в частности, от масштаба инцидента и категории данных.
Поэтому процедуру реагирования лучше иметь до первого инцидента, а не составлять после обнаружения утечки.
Почему проверка стала критичнее
Ответственность за нарушения в сфере персональных данных существенно выросла. Например, за невыполнение или несвоевременное выполнение обязанности по уведомлению Роскомнадзора о намерении осуществлять обработку данных для юридического лица предусмотрен штраф от 100 000 до 300 000 рублей.
Отдельные составы установлены для утечек персональных данных, включая повышенные санкции в зависимости от количества субъектов, специальных или биометрических данных, а при повторных крупных нарушениях — оборотные штрафы.
Чек-лист для бизнеса
- Составить карту всех процессов обработки персональных данных.
- Сверить её с уведомлением и записью в реестре операторов Роскомнадзора.
- Определить правовое основание для каждой цели обработки.
- Проверить, что согласия оформлены отдельно от иных документов.
- Проверить сайт, формы, CRM, аналитику и внешние сервисы.
- Убедиться в соблюдении требований локализации баз данных.
- Проверить договоры и поручения на обработку с подрядчиками.
- Актуализировать политику и локальные акты.
- Проверить назначение ответственного и обучение сотрудников.
- Проверить организационные и технические меры защиты.
- Подготовить рабочую процедуру реагирования на утечку.
