Статья 20 152‑ФЗ: Полномочия и проверки
Статья 20 152‑ФЗ описывает, какие полномочия имеет уполномоченный орган по защите прав субъектов персональных данных — Роскомнадзор. Это основа государственного контроля за обработкой ПДн и ключ к пониманию, как и почему проводится проверка РКН по 152‑ФЗ, какие документы запрашиваются и какие меры воздействия применяются.
Кратко о содержании статьи 20
Статья 20 152‑ФЗ устанавливает полномочия уполномоченного органа — Роскомнадзора (РКН) по контролю и надзору за соблюдением законодательства о персональных данных. В рамках «роскомнадзор закон 152 фз» уполномочен:
- рассматривать обращения и жалобы субъектов;
- проводить плановые и внеплановые проверки операторов ПДн;
- выдавать обязательные предписания;
- составлять протоколы по делам об административных правонарушениях и направлять материалы в суд;
- запрашивать у операторов сведения и доступ к документам/системам в части, необходимой для контроля;
- вести реестр операторов персональных данных (в рамках ст. 22).
Если вам нужна нормативная база, сверяйтесь с последней редакцией закона: текст 152‑ФЗ, общая справка — О законе 152‑ФЗ, структура — Статьи и разделы, термины — Глоссарий.
Полномочия Роскомнадзора по ст. 20 закона № 152‑ФЗ
Ключевые действия РКН, прямо вытекающие из ст 20 закона № 152 фз:
- Контроль и надзор за соблюдением 152‑ФЗ всеми «операторами ПДн» — от ИП и малого бизнеса до корпораций и органов власти.
- Рассмотрение жалоб субъектов ПДн и принятие решений по результатам.
- Проведение документарных и выездных проверок, в том числе на основании риска, жалоб, поручений и сообщений об инцидентах.
- Выдача предписаний об устранении нарушений, при необходимости — о приостановлении отдельных операций обработки до устранения нарушения.
- Составление протоколов об административных правонарушениях (в частности по КоАП 13.11) и направление материалов в суд.
- Ведение и публикация реестра операторов ПДн на основе уведомлений по ст. 22 — см. также уведомление Роскомнадзора.
- Разъяснение операторам и субъектам норм законодательства, методические материалы, взаимодействие с иными регуляторами.
Важно: безопасность ИСПДн контролируется также смежными ведомствами и требованиями (например, ФСТЭК/ФСБ). См. обзор: требования ФСТЭК и ФСБ, меры безопасности ПДн, уровни защищенности ИСПДн, модель угроз, криптография/шифрование.
Какие проверки проводит РКН по 152‑ФЗ
Порядок проверок выстроен с учетом риск‑ориентированного подхода и норм 248‑ФЗ о государственном контроле. На практике встречаются:
- Документарная проверка — запрос документов, сведений, объяснений; может быть дистанционной.
- Выездная проверка — осмотр помещений/систем, интервью, отбор доказательств.
- Внеплановая проверка — по жалобе субъекта, сообщению об утечке, при невыполнении предписания или поручении прокуратуры/правительства.
- Плановая проверка — по ежегодным планам с учетом категории риска.
- Мониторинг сайтов/публичных источников — формально вне рамок проверки, но часто служит основанием для внеплановой.
Таблица: виды проверок
| Вид |
Основание/повод |
Что смотрят |
Формат |
| Документарная |
Жалоба, план, запрос сведений |
Политики, согласия, уведомление в реестре, договоры поручения, внутренние регламенты |
Дистанционно/по переписке |
| Выездная |
Нарушения не устранены, высокий риск, подтвержденные признаки |
Фактические процессы обработки, доступы, ИСПДн, обученность персонала |
На месте |
| Внеплановая |
Жалоба субъекта, инцидент/утечка, поручение прокуратуры/органов власти |
Конкретный эпизод и сопутствующие процедуры |
Любая |
| Плановая |
План контроля РКН |
Комплексная проверка соответствия |
По плану |
Подробнее о формате и сроках см. отдельный материал: Проверки Роскомнадзора и практику подготовки: Подготовка к проверке.
Что запрашивают на проверке: список ключевых документов
РКН действует в рамках ст. 20 и вправе запрашивать документы/сведения, необходимые для контроля. Типовой перечень:
| Документ/артефакт |
Назначение |
Где подготовить |
| Политика обработки ПДн (для сайта/компании) |
Публичное раскрытие правил обработки |
Политика обработки ПДн, Шаблон конфиденциальности |
| Реестр процессов (каталог ПДн, цели, сроки) |
Обоснование законности, актуальный учет |
Пакет документов, Аудит соответствия |
| Согласия субъектов (в т.ч. на распространение) |
Правовое основание обработки |
Согласие на обработку, Согласие на распространение |
| Уведомление РКН и запись в реестре |
Исполнение ст. 22, корректность сведений |
Уведомление и реестр |
| Договоры поручения обработки (ст. 6, 18) |
Законная передача третьим лицам |
Поручение обработки, Передача третьим лицам |
| Правила трансграничной передачи |
Проверка законности трансграничного обмена |
Трансграничная передача |
| Меры безопасности, модель угроз, доступы |
Соответствие ст. 19 и проф. требованиям |
Статья 19, Меры безопасности |
| Журнал обращений субъектов и ответов |
Реализация прав субъектов |
Права субъектов, Отзыв согласия |
| Обучение и внутренний контроль |
Доказательства по ст. 18, 19 |
Внутренний контроль и обучение |
| Документы по сайту (cookie, формы) |
Сбор ПДн через веб-интерфейсы |
Требования к сайту, Cookie и баннеры, Формы на сайте |
Для быстрой самодиагностики используйте онлайн‑проверку сайта и аудит сайта.
Предписания, протоколы и повторные проверки
По итогам контроля РКН может:
- выдать предписание об устранении нарушений с конкретным сроком;
- составить протокол по КоАП 13.11 и направить материалы в суд;
- провести повторную проверку исполнения предписания;
- при необходимости — направить информацию в иные органы или инициировать дополнительные меры защиты прав субъектов.
Штрафы и иные риски разобраны здесь: Ответственность и штрафы по 152‑ФЗ. Помните, что отдельные эпизоды могут образовывать множественность составов (например, разные процессы обработки или категории ПДн).
Типичные нарушения и как их закрыть
- Нет уведомления в реестр или сведения устарели. Решение: проверить и актуализировать запись в реестре операторов.
- Отсутствует публичная политика/некорректные цели. Решение: подготовить политику обработки и привести фактические практики к заявленным.
- Неверная/скрытая обработка на сайте (cookie, формы). Решение: внедрить баннер/механизм согласия, обновить документы — см. cookie‑правила и формы на сайте.
- Нет договоров поручения с подрядчиками (хостинг, коллтрекинг, рассылки). Решение: заключить/дополнить соглашения — см. поручение обработки.
- Слабые организационные меры безопасности. Решение: регламенты доступа, журналы, обучение, модель угроз — см. меры безопасности и внутренний контроль.
- Не обеспечены права субъектов (нет процедуры ответа, сроки нарушаются). Решение: внедрить регламент и шаблоны — см. права субъектов ПДн.
- Нарушения при трансграничной передаче. Решение: провести оценку условий, оформить правовые основания — см. трансграничная передача.
Практические шаги подготовки к проверке
- Проведите экспресс‑аудит процессов и сайта: чек‑лист, аудит соответствия, онлайн‑проверка сайта.
- Приведите в порядок документацию: пакет документов, генератор политики и согласий, политика обработки.
- Разграничьте роли и обязанности: назначьте ответственного за ПДн, утвердите регламенты внутреннего контроля и обучения.
- Проверьте уведомление/реестр: уведомление РКН, реестр операторов.
- Подготовьте доказательства исполнения: журналы обращений, акты уничтожения/блокировки, протоколы обучения, матрицы доступов, реестр договоров поручения.
- Проведите тренировку «инцидент‑дрилл» и готовность к уведомлению о нарушении: инциденты и утечки.
Нужна помощь? Обратитесь к экспертам: консалтинг и документы под ключ и обучение.
Где особенно важна ст. 20: отраслевые примеры
Связанные нормы и документы
FAQ по статье 20 152‑ФЗ
- Что именно дает «статья 20 152 фз» Роскомнадзору? Право контроля и надзора: проверки, запросы, предписания, протоколы, разъяснения, ведение реестра операторов.
- Можно ли ограничиться только политикой на сайте? Нет. Нужны правовые основания обработки, внутренние регламенты, договоры с подрядчиками, меры безопасности и исполнение прав субъектов.
- Чем грозит невыполнение предписания? Повторная проверка и административная ответственность. См. штрафы и КоАП 13.11.
- Как понять, нужен ли учет в реестре? Проверьте критерии и уведомление в реестре операторов и раздел уведомление РКН.
- Где посмотреть официальный текст? Здесь — текст 152‑ФЗ (последняя редакция).
Вывод и следующий шаг
Ст 20 закона № 152 фз — практическая «рамка» для контроля: она объясняет, кто и как проверяет соответствие и какие последствия возможны. Чем раньше вы выстроите процессы, тем спокойнее пройдет любая проверка РКН 152‑ФЗ.
Готовы навести порядок? Начните с подготовки к проверке, воспользуйтесь пакетом документов и запишитесь на консалтинг — поможем пройти проверку без лишних рисков.
