Что проверяющий Роскомнадзора смотрит у малого бизнеса, что такое профилактический визит и защищает ли мораторий на проверки?

Реальные поводы прийти — внеплановые: жалоба клиента или работника, сообщение об утечке, публикация базы в интернете, истечение срока предписания и индикаторы риска (ст. 57 248-ФЗ); по ограничениям ПП № 336 перечень оснований для внеплановых мероприятий ограничен, поэтому на практике РКН чаще работает через мониторинг и профвизиты. Индикаторы риска утверждены приказом Минцифры от 15.11.2021 № 1187 (в редакции с изменениями, в том числе приказом от 01.08.2024 № 682, который добавил индикатор о рекомендательных технологиях); по обзору nalog-nalog.ru это: не менее 10 расхождений между сведениями оператора и обращениями граждан за год, не менее 10 фактов доступа неограниченного круга лиц к данным, не менее 3 расхождений между уведомлением (в том числе о трансграничной передаче) и политикой на сайте, не менее 2 несоответствий правилам рекомендательных технологий. Кроме проверок, РКН ведёт наблюдение без взаимодействия: просматривает сайты, сопоставляет политику с реестром и по итогам направляет требования и предостережения (срок исполнения таких требований в ПП № 1046 в ред. № 1286 при сверке не подтверждён).

Профилактический визит (ст. 52 248-ФЗ) проводится в форме беседы, по обзорам чаще по видеосвязи, с приглашением примерно за 5 рабочих дней; от обычного добровольного визита можно отказаться, от обязательного (для высокого риска, а по обзору spmag.ru также значительного) нельзя; по обзору h-cons.ru уклонение от визита является основанием для внеплановой проверки, этот тезис требует сверки с ст. 52 248-ФЗ. На визите просят показать уведомление, политику, формы согласий, перечень допущенных лиц, договоры с подрядчиками, место хранения баз, порядок ответа на запросы субъектов, акты уничтожения и сверяют описанное с реальностью. Штраф по итогам визита не назначается; если нарушения не устранены до его окончания, по ПП № 1046 (в ред. № 1286, по пересказу) выдаётся предписание, а его неисполнение — основание для внеплановой проверки и протокола. Документарная и выездная проверки длятся не более 10 рабочих дней, о выездной уведомляют не позднее чем за 24 часа (ПП № 1046).

Требования закона: предъявить документы по ст. 18.1 по запросу (ч. 4 ст. 18.1); отвечать на запросы РКН в 10 рабочих дней (ч. 4 ст. 20); исполнять предписания. Практические рекомендации: раз в полгода сверять политику, уведомление и реальные процессы (это закрывает самый частый индикатор); хранить комплект из Q135 в одной папке; на визите показывать реальные системы, а не презентацию; после визита устранить замечания в срок и направить подтверждение.