Кейс о юридическом сопровождении: реестр процессов обработки ПД помогает закрывать запросы Роскомнадзора по жалобам субъектов менее чем за час и без эскалации к клиенту.
Клиент — SMS-сервис из digital-сегмента. Подробности — под NDA.
Задача — отвечать на регулярные запросы Роскомнадзора по жалобам субъектов ПД в установленный срок и без оснований для штрафа; держать ПД-риски клиента под контролем.
Решение — собрали реестр процессов обработки ПД клиента, который помогает оперативно отвечать на требования РКН, управлять рисками и реагировать на инциденты. Из реестра собирается готовый ответ регулятору без обращений к команде клиента.
Результат — 0 рублей штрафов на не менее чем 10 запросах РКН. 0 повторных уточнений от регулятора — ответ принимается с первого раза. До 3 млн. рублей закрытого потенциального риска по ч. 1 ст. 13.11 КоАП.
Контекст
В рамках абонентского сопровождения мы работаем с SMS-сервисом из digital-сегмента, который обрабатывает большие объёмы ПД и регулярно получает запросы Роскомнадзора по жалобам субъектов. Каждый такой запрос — это обязательные вопросы, 10 рабочих дней на подготовку и потенциальный штраф 150–300 тыс. рублей за каждый случай, где не получится подтвердить основания обработки (ч. 1 ст. 13.11 КоАП). На 10 запросах потенциальный риск доходит до 3 млн. рублей.
Готовить каждый ответ с нуля — собирать сведения по чатам, базам и переписке с командой клиента — на регулярном потоке становится узким местом. Поэтому мы собрали реестр процессов обработки ПД клиента: единую карту, где по каждому потоку данных заранее зафиксировано все, что может спросить регулятор, плюс параметры для управления рисками. Любой новый запрос теперь закрывается меньше чем за час, и клиент не предоставляет нам информацию заново.
1. Что требует РКН и почему ошибка стоит дорого
РКН реагирует на жалобы субъектов ПД — людей, которые считают, что их данные обрабатываются без согласия или иного основания. Регулятор направляет компании запрос и ждет ответа в установленный срок. В ответе должны быть закрыты все шесть полей:
| Что требует РКН | Что это значит для бизнеса |
| Цель обработки ПД субъекта | Зачем компания обрабатывает номер, имя, email конкретного человека |
| Источник получения ПД | Кто передал данные: сам субъект через форму, контрагент |
| Основания обработки | Согласие, договор, обязанность по закону, иное основание из ст. 6 ФЗ-152 |
| Категории ПД | Какие именно данные обрабатываются: телефон, имя, IP-адрес, иные идентификаторы |
| Наличие согласия | Если есть — приложить точный текст; если нет — обосновать другое правовое основание |
| Кому передаются данные | Полный список контрагентов, которым уходят ПД |
Цена ошибки делится на две части:
- Основания обработки нет или не подтверждено. 150–300 тыс. рублей за каждый случай (ч. 1 ст. 13.11 КоАП).
- Ответ не отправлен или направлен с просрочкой. 3–5 тыс. рублей за случай (ст. 19.7 КоАП). На вид мелочь, но при системной задержке быстро суммируется.
Дополнительная сложность — субъект жалобы часто формулирует претензию как «я не давал согласия на обработку». Любой пробел в документации читается регулятором как подтверждение жалобы.
2. Что лежит в реестре процессов
Реестр процессов — это рабочий документ в виде таблицы, где по каждому процессу обработки ПД у клиента зафиксированы все ключевые параметры:
- Цель
- Субъект ПД
- Перечень ПД
- Источник ПД
- Способ получения
- Основание обработки ПД
- Состав предоставляемых документов
- Ответственное лицо
- Передача (кому передаются ПД)
- Основание передачи
- Хранение (где происходит)
- Состав документов
- Срок обработки
Один раз построенный реестр становится единым источником по обработке ПД. При новом запросе РКН не нужно собирать сведения по переписке, базе и памяти разработчиков — открываем реестр, находим процессы, в которых задействованы данные субъекта жалобы, и берём готовые поля.
3. Как собирается ответ регулятору
Алгоритм работы с новым запросом РКН занимает меньше часа и идёт без участия команды клиента в сборе информации:
- Зафиксировали: получили от клиента текст запроса.
- На основании данных из реестра описали ситуацию в ответе для РКН.
- Оформили и направили ответ в РКН после короткого согласования с клиентом.
Это критично в двух сценариях: когда клиент пришел с запросом в последний день срока — успеваем; когда запросов приходит несколько подряд — поток обрабатывается без эскалации сроков. Подход одновременно дает единый тон и формулировки в ответах независимо от того, какой юрист команды готовит конкретный документ.
Если вы регулярно получаете запросы Роскомнадзора, разбираете инциденты с персональными данными или хотите навести порядок в процессах обработки ПД — напишите нам, мы готовы провести аудит и предложить понятный план действий.
