Афонин, Божор и партнеры
Telegram
Whatsapp
Max
Поиск по сайту
abp@abp.legal
+7 499 990-72-35
EN | RU
Афонин, Божор и партнеры

Время работы: пн–пт, 9:00–18:00

Почта: abp@abp.legal

+7 499 990-72-35
  • Главная
    /
  • Аудит персональных данных в организации

Аудит персональных данных на соответствие 152-ФЗ

Схема работы юриста по персональным данным: политика и согласие, уведомление РКН, защита при проверках
Нажимая кнопку «Отправить», вы даете согласие на обработку персональных данных в соответствии с политикой обработки персональных данных
Входим в ведущие рейтинги и объединения страны:
РЕЙТИНГ
ЮРИДИЧЕСКИХ
КОМПАНИЙ
РОССИИ
Результаты рейтинга юридических компаний ПРАВО-300
Результаты рейтинга Коммерсант.ru
ЛУЧШИЕ ЮРИДИЧЕСКИЕ ПРАКТИКИ
Информация о членстве в Московском инновационном кластере 
Результаты рейтинга Российской газеты RG.RU
Что проверяют, как проходит и сколько стоит — разбирают юристы по цифровому праву
Автор: Морозов Никита Алексеевич
Материал подготовил Морозов Никита Алексеевич, эксперт по защите персональных данных (DPO), старший юрист. Опыт работы c персональными данными с 2020 года.
Задать вопрос эксперту
Дата публикации: 23.10.2026
Дата обновления: 23.10.2026
Структура страницы
Зачем необходим и что проверяют при аудите?
Аудит, внутренний контроль оператора и проверка Роскомнадзора — в чём разница
Различия юридического и технического аудита процессов обработки ПДн
Кому нужен аудит соответствия 152-ФЗ и когда его проводить
Обязателен ли аудит персональных данных
Когда достаточно внутреннего контроля
Когда целесообразно привлечь внешних специалистов
Чем грозят нарушения 152-ФЗ в 2026 году
Что входит в аудит обработки ПДн
Как проходит аудит персональных данных в организации
Результат аудита: что получает компания
Комплаенс в сфере ПДн: что после аудита
FAQ

Зачем необходим аудит и что проверяют при аудите?

Аудит персональных данных — это комплексная проверка того, как компания собирает, хранит, использует, передаёт и уничтожает данные людей. Его цель - определить, соответствует ли фактическая работа с данными требованиям Федерального закона № 152-ФЗ «О персональных данных» (далее — «Закон № 152-ФЗ), подзаконным актам и внутренним документам компании. При этом проверяют не только наличие необходимых документов, но и то, как установленные в них правила выполняются на практике.
Пункт 4 части 1 статьи 18.1 Закона № 152-ФЗ предусматривает проведение внутреннего контроля и (или) аудита обработки персональных данных. Поэтому такую проверку не стоит воспринимать как формальность или ограничивать подготовкой комплекта документов. Её задача - своевременно находить несоответствия и помогать компании устранять их до того, как они станут причиной жалоб субъектов персональных данных или будут выявлены при проверке Роскомнадзора.
1
В первую очередь в ходе аудита выясняют, какие персональные данные компания обрабатывает, кому они принадлежат, для каких целей используются и на каком правовом основании. Затем изучают, как организована работа с этими данными: каким образом их получают, где хранят, кто имеет к ним доступ, кому их передают и как уничтожают. Это позволяет составить целостное представление об обработке персональных данных и сопоставить реальные процессы с тем, что закреплено в документах компании.
2
Отдельное внимание уделяют политике обработки персональных данных, формам согласий, договорам с сотрудниками и контрагентами, внутренним инструкциям и порядку ответа на запросы субъектов персональных данных. Проверяют, правильно ли оформлены согласия, соответствуют ли фактические цели обработки заявленным и есть ли правовые основания для передачи данных третьим лицам. Также оценивают организационные и технические меры защиты: важно не только описать их в документах, но и убедиться, что они применяются в повседневной работе.
3
По итогам аудита компания получает перечень выявленных нарушений и несоответствий с пояснением того, какие требования не соблюдены и к каким последствиям это может привести. Для каждой проблемы оценивают её критичность и риск привлечения к административной ответственности, включая возможные штрафы. На этой основе готовят конкретные рекомендации и определяют порядок действий: какие нарушения требуют первоочередного внимания, какие документы нужно доработать, а какие процессы - изменить.
4
Далее результаты проверки используют для устранения выявленных проблем. В зависимости от выводов аудита обновляют политику обработки персональных данных, формы согласий, порядок ответа на запросы субъектов персональных данных и инструкцию для ответственного за их обработку. При необходимости пересматривают условия договоров, меняют порядок работы с данными, усиливают меры защиты и подают в Роскомнадзор изменения к ранее направленному уведомлению. Таким образом, результаты аудита становятся основой для конкретных изменений, а не остаются только перечнем замечаний.
Аудит персональных данных — это не просто проверка «на бумаге», а практический инструмент управления рисками. Он помогает компании понять, как в действительности устроена обработка данных, определить слабые места и последовательно устранить нарушения. В результате работа с персональными данными становится более понятной и организованной, снижается риск штрафов и ущерба репутации, а компании проще показать регулятору, партнёрам и клиентам, какие правила и меры защиты она применяет.

Аудит, внутренний контроль оператора и проверка Роскомнадзора — в чём разница

Аудит по Закону № 152-ФЗ можно представить как генеральную репетицию перед проверкой Роскомнадзора. Внешние специалисты проверяют тоже самое, что проверяет инспектор Роскомнадзора, однако за выявленные нарушения штраф вам не назначат, а помогут их устранить.

Различия юридического и технического аудита процессов обработки персональных данных

Под «аудитом 152-ФЗ» на рынке нередко предлагают две разные по содержанию услуги. Их объединяет общая тема защиты персональных данных, однако предмет проверки и задачи специалистов различаются.
  • -!-
    Специалисты по информационной безопасности преимущественно оценивают техническую сторону защиты: какие средства и настройки используются, как организован доступ к персональным данным, и насколько информационная инфраструктура защищена от утечек. Центром проверки является безопасность информационных систем, в которых хранятся и обрабатываются персональные данные.
  • -!-
    Юридический аудит отвечает на другой вопрос: насколько правомерно компания собирает, использует, хранит и передаёт персональные данные. Здесь внимание сосредоточено на основаниях и целях обработки, содержании документов и соответствии описанных в них процедур фактическим процессам обработки.
Многие типовые нарушения, за которые Роскомнадзор привлекает компании к ответственности, относятся именно к юридической стороне обработки персональных данных. Наиболее частыми среди них являются: недостатки в оформлении согласий или их отсутствие, ошибки в уведомлении об обработке персональных данных, некорректная или неполная политика обработки.
Поэтому наличие средств технической защиты само по себе не означает, что все требования Закона № 152-ФЗ к обработке персональных данных соблюдены в полном объеме. Система может быть защищена, но правовые основания обработки и сопровождающие её документы всё равно могут содержать недостатки и создавать риски привлечения к административной ответственности. Справедливо и обратное без надлежащих мер технической зашиты правильно составленный комплект документов не поможет.
Выбирая «аудит 152-ФЗ», важно заранее уточнить, что именно входит в перечень услуг по аудиту: проверка технической защиты, юридическая оценка обработки или оба направления. От этого зависит, какие риски выявят специалисты и какие вопросы останутся за пределами проверки.
Начинать следует с юридического аудита, он поможет определить: какие персональные данные обрабатываются, в каких информационных системах, и какие из них необходимо включить в техническую проверку. Это позволяет точнее определить объём последующих работ и сократить расходы на технический аудит.

Кому нужен аудит соответствия 152-ФЗ и когда его проводить?

Аудит обработки персональных данных актуален практически для любого бизнеса. Работа с сотрудниками, сбор заявок через сайт или использование аналитических инструментов, обрабатывающих персональные данные посетителей, — всё это повод проверить соблюдение требований Закона № 152-ФЗ. Однако в некоторых ситуациях откладывание проверки создаёт особенно серьёзные риски.
Перед запуском сайта, приложения или нового сервиса. На этапе подготовки проще скорректировать формы сбора данных, тексты согласий и порядок их получения. После запуска исправления могут затронуть не только интерфейс и документы, но и уже сформированную клиентскую базу, если данные собирались без надлежащих правовых оснований.
При получении запроса или предписания Роскомнадзора. Важно оценить не только вопросы, обозначенные регулятором, но и другие возможные нарушения. Аудит помогает выявить дополнительные риски и определить приоритетные меры по их устранению. Параллельно может потребоваться правовое сопровождение проверки РКН, включая подготовку ответов и защиту интересов компании.
После утечки данных или иного инцидента. Проверка позволяет установить, какие недостатки в организации обработки и защите данных требуют устранения. В такой ситуации важно не ограничиваться устранением непосредственной причины инцидента, а пересмотреть связанные процессы, документы и порядок доступа к информации, чтобы снизить риск повторения.
При подготовке к сделке M&A или привлечению инвестиций. Клиентская база может составлять существенную часть ценности бизнеса. Поэтому при проведении юридического аудита важно проверить не только наличие базы, но и правомерность сбора, использования и передачи содержащихся в ней персональных данных. Недостатки в этой части могут повлиять на оценку рисков сделки.
По требованию крупного заказчика или в рамках тендера. Подтверждение соблюдения требований Закона № 152-ФЗ может стать условием заключения договора или допуска к закупке. Аудит помогает заранее оценить готовность компании к такой проверке и подготовить необходимые документы и сведения.
При использовании иностранных сервисов. Зарубежные CRM-системы, почтовые платформы, виджеты и инструменты аналитики требуют отдельной оценки: какие данные они получают, где обрабатывают и кому предоставляют доступ. В зависимости от фактической схемы работы могут возникать трансграничная передача персональных данных и риски несоблюдения требований к локализации. Само по себе иностранное происхождение сервиса ещё не определяет правовую квалификацию обработки.
После изменения законодательства. Даже ранее корректные документы и процедуры могут потребовать пересмотра. Например, с 1 сентября 2025 года согласие на обработку персональных данных необходимо оформлять отдельно от других документов и информации, которые подтверждает или подписывает субъект.
Особенно высок риск в отраслях, где обрабатывают большие базы или специальные категории данных: медицина и телемедицина, электронная коммерция, онлайн-образование, FinTech и HR-сервисы.

Обязателен ли аудит персональных данных?

Внешний аудит обработки персональных данных сам по себе не является обязательной процедурой для каждой компании. При этом оператор обязан контролировать, соответствует ли обработка установленным требованиям. Иными словами, отсутствие обязанности привлекать сторонних специалистов не освобождает бизнес от необходимости проводить проверку.
Закон позволяет организовать такую работу собственными силами в рамках внутреннего контроля либо привлечь внешних аудиторов. Поэтому принципиален не сам факт заключения договора с юридической или консалтинговой компанией, а наличие действующего механизма проверки. Если оператор не проводит ни внутренний контроль, ни аудит соответствия обработки персональных данных установленным требованиям, это означает неисполнение обязанности, предусмотренной статьёй 18.1 Закона № 152-ФЗ.

Когда достаточно внутреннего контроля?

Внутренний контроль может быть эффективным, если в компании есть специалист с практическим опытом в сфере персональных данных и достаточно времени для полноценной проверки. Важно, чтобы эта работа не сводилась к формальному просмотру политики и согласий: необходимо сопоставлять документы с тем, как компания фактически собирает, использует, хранит и передаёт персональные данные.
Наличие штатного юриста само по себе ещё не означает, что вопрос закрыт. Для качественной проверки нужна профильная экспертиза, доступ к информации о бизнес-процессах и возможность взаимодействовать с подразделениями, участвующими в обработке данных. Если эти условия соблюдаются, внутренний контроль позволяет регулярно выявлять недостатки и отслеживать их устранение.

Когда целесообразно привлечь внешних специалистов?

Внешний аудит стоит использовать, когда у работников компании отсутствует необходимый экспертный опыт или сотрудники не могут выделить достаточно времени на проведение внутреннего контроля. Аудит также полезен, если требуется независимая оценка, например, сотрудники, которые ежедневно работают с одними и теми же процессами и документами, бывает сложнее заметить привычные недостатки.
Другая ситуация подготовка результатов проверки для инвестора, крупного заказчика или совета директоров. В таком случае важен не только поиск нарушений, но и понятный итоговый документ: что проверено, какие риски выявлены, насколько они существенны и какие меры необходимо принять.
Внутренний контроль и внешний аудит не противопоставляются друг другу. Компания может самостоятельно следить за соблюдением требований в текущей работе, а сторонних специалистов привлекать для углублённой проверки или независимой оценки отдельных процессов.

Чем грозят нарушения 152-ФЗ в 2026 году

С 30 мая 2025 года штрафы за нарушения в сфере персональных данных выросли в разы, а за повторную утечку появился оборотный штраф.

Основные составы для организаций и ИП:

*Оборотный штраф считается от выручки за год, предшествующий году выявления нарушения.
Штрафы назначаются по каждому составу отдельно. Одна форма сбора персональных данных на сайте без согласия, с учетом неопубликованной политики и неподанного уведомления дают до 1,06 млн за одну проверку. Генеральный директор и/или ответственный за обработку, как должностные лица могут быть привлечены к ответственности отдельно от компании.

Кроме штрафов возможны:

  • уголовная ответственность по ст. 272.1 УК РФ за незаконные сбор, хранение, использование и передачу компьютерной информации с персональными данными;
  • блокировка сайта и включение в реестр нарушителей прав субъектов персональных данных;
  • иски граждан о компенсации морального вреда и репутационные потери.
Если нарушение выявлено впервые в ходе госконтроля, штраф можно заменить предупреждением (ст. 4.1.1 КоАП). Отдельное ходатайство не нужно: государственный орган самостоятельно проверяет наличие обстоятельств для замены штрафа предупреждением. Однако для этого нарушение должно быть совершено впервые, не иметь серьёзных последствий для субъектов персональных данных (отсутствие вреда и ущерба) и не входить в перечень административных правонарушений, по которым запрещено заменять штраф предупреждением, а с утечками такое не срабатывает. Полный аудит обходится дешевле одного штрафа.

Что входит в аудит обработки персональных данных

Юридический аудит охватывает 11 направлений. По каждому из них мы сопоставляем требования законодательства, положения документов компании и фактический порядок работы с персональными данными. Особое внимание уделяем расхождениям между документами и реальными процессами: даже правильно составленные документы не решают проблему, если сотрудники действуют иначе.
1] Процессы и цели обработки
Проверку начинаем с инвентаризации процессов обработки в начале определяются: процессы обработки, цели, перечень обрабатываемых данных и категории субъектов, чьи данные обрабатывает компания — клиентов, работников, соискателей, представителей контрагентов или посетителей сайта.
Затем оцениваем, не являются ли избыточным перечень данных обрабатываемых для каждой заявленной цели. Статья 5 Закона № 152-ФЗ предусматривает, что содержание и объём обрабатываемых сведений должны соответствовать целям обработки и не быть избыточными.
Характерные недостатки — слишком общие формулировки вроде «для осуществления деятельности общества» или сбор паспортных данных в ситуации, когда для решения задачи достаточно имени и номера телефона.
2] Правовые основания и согласия
Для каждого цели обработки определяем подходящее правовое основание из части 1 статьи 6 Закона № 152-ФЗ: согласие субъекта, заключение и исполнение договора, выполнение обязанности, установленной законом, или иное предусмотренное основание.
Если обработка осуществляется на основании согласия, оцениваем его содержание, форму и порядок получения. В частности, проверяем достаточность сведений, изложенных в согласии для соблюдения принципа информированности субъекта. Учитываем и действующее с 1 сентября 2025 года требование оформлять согласие отдельно от других документов и информации, которые подтверждает или подписывает субъект.
Отдельно анализируем согласия на обработку персональных данных, разрешённых для распространения, например при публикации сведений о сотрудниках на сайте или согласий на обработку специальных категорий персональных данных.
3] Политика и внутренние документы
Проверяем, как компания выполняет организационные требования статьи 18.1 Закона № 152-ФЗ: назначен ли ответственный за организацию обработки, утверждены ли необходимые документы, проведена ли оценка возможного вреда субъектам и ознакомлены ли сотрудники с применимыми требованиями.
Анализируем политику обработки персональных данных, внутренние положения, приказы и инструкции. Важно не только наличие документов, но и их согласованность между собой, соответствие бизнес-процессам и доступная возможность ознакомления с политикой со стороны субъектов персональных данных.
Типичная проблема использование шаблонного комплекта, который описывает деятельность другой компании. В результате документы не учитывают реальные процессы обработки, категории данных и цели обработки. Подробнее о составе такого комплекта в статье о документах по персональным данным.
4] Уведомление Роскомнадзора и сведения в реестре
Устанавливаем, обязана ли компания уведомлять Роскомнадзор об обработке персональных данных и направлено ли соответствующее уведомление. Сопоставляем сведения в реестре операторов с фактическими процессами: целями обработки, категориями данных и субъектов, используемыми способами обработки, наличием трансграничной передачи и местонахождением баз данных.
Отдельно проверяем, своевременно ли компания сообщает об изменениях. Распространённая ситуация — уведомление подано один раз, но после изменения процессов: появление новых целей, обработка новых категорий или переноса баз данных в новый ЦОД сведения в уведмолении не актуализированы.
5] Сайт, аналитика и маркетинг
Изучаем все элементы сайта, через которые могут собираться или передаваться персональные данные: формы заявок и регистрации, чекбоксы, cookie-баннеры, метрические программы, онлайн-чаты и интеграции с CRM.
Проверяем, какую информацию получает пользователь до отправки данных, какие действия подтверждают его волеизъявление и может ли компания впоследствии доказать получение необходимых согласий.
Самостоятельный блок — рекламные рассылки и звонки. Здесь оцениваем соблюдение требований законодательства о рекламе: согласие на обработку персональных данных само по себе не заменяет согласия на получение рекламы.
6] Передача данных подрядчикам и другим получателям
Определяем, кому компания передаёт персональные данные и какую роль выполняет каждый получатель: обрабатывает их по поручению оператора либо самостоятельно определяет цели и порядок обработки.
Если подрядчик действует по поручению компании, например, оказывает услуги колл-центра, ведёт бухгалтерский учёт или предоставляет облачную систему, проверяем наличие и содержание поручения на обработку персональных данных с учётом требований Закона № 152-ФЗ. Анализируем перечень данных, допустимые действия, цели обработки, требования к конфиденциальности и защите информации.
Особое внимание уделяем договорам и офертам привлекаемых компанией сервисов: общих слов о соблюдении законодательства в указанных может быть недостаточно для надлежащего оформления отношений. При этом передача обработки подрядчику не освобождает оператора от ответственности перед субъектом.
7] Локализация и трансграничная передача
Проверяем, где расположены базы данных и где происходит различные процессы обработки персональных данных граждан РФ и оцениваем соблюдение требований Закона № 152-ФЗ.
Отдельно идентифицируем случаи, при которых персональные данные передаются за пределы Российской Федерации, и проводим проверку соблюдения требований статьи 12 Федерального закона № 152-ФЗ.
Для этого:
  • Определяем, осуществляется ли фактическая передача данных иностранному получателю, в том числе через облачные сервисы, зарубежные платформы, подрядчиков или иные технические решения.
  • Устанавливаем перечень иностранных государств, на территорию которых планируется или осуществляется передача.
  • Собираем сведения об иностранных получателях: их наименование, место нахождения, роль в обработке данных, цели и правовые основания передачи.
  • Оцениваем уровень защиты персональных данных в соответствующем иностранном государстве и применяемые получателем организационные и технические меры безопасности.
  • Подготавливаем и направляем в Роскомнадзор уведомление о намерении осуществлять трансграничную передачу персональных данных до начала такой передачи.
  • Дожидаемся завершения рассмотрения уведомления Роскомнадзором и учитываем принятое им решение, включая возможный запрет или ограничение передачи.
  • Документируем проведённую оценку, сведения о получателях и условиях защиты данных, а также обеспечиваем актуализацию документов при изменении получателей, стран передачи или целей обработки.
На сайте источником таких передач могут оказаться не только очевидные иностранные CRM или формы сбора персональных данных, но и подключённые виджеты, капча или метрические программы. Поэтому оцениваем фактические потоки данных, а не только страну регистрации поставщика сервиса.

Если в своей деятельности компании обрабатывает данные иностранных граждан мы отдельно определяем необходимость применимость GDPR и других нормативных актов иностранных государств и объём дополнительной проверки.
8] Персональные данные работников и соискателей
Проверяем весь цикл работы с кадровыми данными: получение резюме, оформление трудовых отношений, ведение личных дел, обработку сведений о родственниках, передачу данных для зарплатных проектов и хранение документов после увольнения.
Анализируем доступ к кадровым системам, а также основания передачи информации о работниках внешним исполнителям. При проверке учитываем как Закон № 152-ФЗ, так и главу 14 ТК РФ.
Одна из наиболее частых проблем это длительное хранение резюме кандидатов, которым отказали в трудоустройстве, без определённой цели, срока и надлежащего основания для дальнейшей обработки. На практике лучше уничтожать персональные данные соискателей лучше сразу, если есть необходимость их оставить, то не стоит указывать срок обработки больше одного года.
9] Сроки хранения и порядок уничтожения
Выясняем, установлены ли сроки хранения данных для каждой цели обработки, кто контролирует их соблюдение и как организовано уничтожение информации.
При достижении цели обработки или отзыве согласия проверяем, сохраняются ли иные основания для дальнейшего хранения. Если таких оснований нет, оцениваем соблюдение сроков прекращения обработки и соблюдения порядка уничтожения данных.
Также анализируем документальное подтверждение уничтожения с учётом требований Роскомнадзора. Проверка охватывает не только основную информационную систему, но и выгрузки, локальные копии, архивы и резервное копирование: удаление записи из рабочей базы не должно оставлять без внимания остальные экземпляры данных.
10] Реагирование на инциденты и утечки
Оцениваем, готова ли компания действовать при неправомерной или случайной передаче персональных данных, повлекшей нарушение прав субъектов. В статье 21 Закона № 152-ФЗ предусматривает уведомление Роскомнадзора в течение 24 часов с момента выявления такого инцидента и предоставление результатов внутреннего расследования в течение 72 часов.
Проверяем наличие регламента реагирования, распределение обязанностей, порядок передачи информации руководству и ответственным специалистам, а также шаблоны уведомлений. Отдельно анализируем применимые требования к взаимодействию с ГосСОПКА.
Задача этого направления аудита: установить, сможет ли компания своевременно обнаружить инцидент, собрать необходимые сведения и выполнить обязанности по уведомлению, а не начинать разработку порядка действий уже после утечки.
11] Организационные и технические меры защиты
В юридической части аудита проверяем документальное оформление мер безопасности с учётом статьи 19 Закона № 152-ФЗ, постановления Правительства РФ № 1119 и приказа ФСТЭК России № 21.
Выясняем, определён ли необходимый уровень защищённости информационных систем, оформлены ли правила доступа, перечни допущенных лиц, порядок учёта носителей и документы по определению актуальных угроз. Оцениваем, согласованы ли эти документы с реальной организацией работы.
Фактическую настройку средств защиты, достаточность технических решений и оценку эффективности принятых мер проверяет профильный технический специалист. При необходимости он также определяет применимость требований к аттестации систем и оценивает их выполнение.

Как проходит аудит персональных данных в организации

Аудит занимает от 5 рабочих дней, срок зависит от числа процессов и скорости, с которой компания предоставляет документы. От клиента необходим один сотрудник для постоянного контакта со специалистами и при необходимости несколько часов руководителей подразделений в которых происходит обработка персональных данных для уточнения фактических процессов обработки персональных данных.
Бриф и NDA. Обсуждаем бизнес-модель, источники данных и повод аудита, подписываем соглашение о конфиденциальности. Фиксируем границы: какие юрлица, сайты и процессы входят в аудит.
Запрос документов. Обычно это политика и локальные акты, формы согласий, уведомление РКН, типовые договоры с клиентами и подрядчиками, перечень ИТ-систем и облачных сервисов. Если чего-то нет, это тоже результат.
Интервью с подразделениями (по необходимости). HR, маркетинг, продажи, поддержка, ИТ. Люди рассказывают, как работают на самом деле, и именно здесь находятся неучтённые таблицы, чаты и сервисы.
Реестр процессов обработки. Сводим всё в одну таблицу: процесс, цель, категории субъектов и данных, основание, системы, получатели, срок хранения.
Gap-анализ. Сравниваем реестр с требованиями закона. Каждое несоответствие описываем по схеме «что не так → какая норма → какой штраф грозит → что сделать».
Отчёт. Приоритезируем нарушения по размеру риска и трудоёмкости исправления, презентуем руководству.
Сопровождение исправлений (по желанию). Готовим документы, подаём или обновляем уведомления, переделываем формы на сайте, обучаем сотрудников.
Аудит можно провести полностью удалённо: документы передаются по защищённому каналу, интервью идут по видеосвязи.

Результат аудита: что получает компания

Результат аудита — не общие рекомендации, а перечень конкретных дейстивй, которые нужно сделать, чтобы привести обработку в соответствие с Законом № 152-ФЗ с ответственными и сроками.
Клиент получает:
  • Реестр процессов обработки ПДн. Рабочий документ, который понадобится при проверке РКН и при каждом обновлении уведомления.
  • Отчёт о несоответствиях. По каждому нарушению — норма, статья КоАП, диапазон штрафа и степень риска.
  • Перечень документов к разработке или переработке. Их можно заказать у нас или подготовить самостоятельно.
  • Рекомендации по сайту. Конкретные правки для разработчика: какие формы изменить и как (корректный текст, необходимые чекбокс).

Комплаенс в сфере персональных данных: что после аудита

Аудит показывает, насколько обработка персональных данных соответствует требованиям на момент проверки. Комплаенс — это постоянная работа, которая помогает поддерживать такое соответствие по мере изменений в бизнесе и законодательстве.
После завершения аудита процессы не остаются неизменными: маркетинг подключает новые сервисы, HR переводит подбор сотрудников на другую платформу, а законодательство устанавливает дополнительные требования. Каждое такое изменение может потребовать пересмотра документов, правовых оснований обработки или порядка передачи данных. Без регулярного контроля даже устранённые по итогам аудита нарушения со временем могут появиться вновь, а новые — остаться незамеченными.
Рабочий комплаенс по персональным данным включает:
правовую проверку новых продуктов, форм и сервисов до запуска;
мониторинг законодательства и разъяснений РКН с обновлением документов;
актуализацию уведомления в РКН при изменении процессов;
ответы на запросы субъектов и требования РКН в срок;
обучение сотрудников и ежегодный повторный аудит в сокращённом объёме;
сопровождение проверок и оспаривание решений Роскомнадзора.
После аудита эту работу можно передать нам в рамках абонентского сопровождения. Это После завершения аудита работу по поддержанию соответствия можно продолжить в формате абонентского юридического сопровождения. Такой формат позволяет получать профильную поддержку по мере необходимости, не создавая отдельную штатную позицию специалиста по персональным данным и не неся связанных с ней расходов на заработную плату, налоги и организацию рабочего места.
Для групп компаний и бизнеса с зарубежными операциями вопросы обработки персональных данных целесообразно рассматривать не изолированно, а в составе общей системы юридического комплаенса. Это позволяет учитывать требования 152-ФЗ вместе с корпоративными, договорными, трудовыми и иными правовыми рисками, а также своевременно адаптировать процессы к изменениям законодательства и структуре группы.

Отзывы клиентов

Сервис СберЗдоровье
СберЗдоровье
Команда юристов фирмы «Афонин, Божор и партнеры» на постоянной основе сопровождает в юридической части обработку персональных данных и вносят необходимые корректировки. Регулярно обращаемся к специалистам компании и подтверждаем высокий уровень их ответственности и экспертизы
Halsa
Специалисты компании «Афонин, Божор и партнеры» помогают фирме, среди прочего, в вопросах обработки и защиты конфиденциальной информации и данных. Наши сотрудники часто обращаются к юристам в рамках комплексного обслуживания и рассчитывают на компетентное решение своих вопросов
Halsa | Персональные витамины
Happy Inc
Платформа Happy Inc
Юристы компании «Афонин, Божор и партнеры» в рамках абонентского сопровождения сервиса быстро и качественно решают поставленные перед ними задачи, в том числе, в сфере обработки персональных данных пользователей, что минимизирует регуляторные риски и снимает вопросы контрагентов

Вопросы и ответы (FAQ)

Проведём аудит до того, как придёт Роскомнадзор

«Афонин, Божор и партнеры» — юридическая фирма, специализирующаяся на цифровом праве. Нас несколько лет подряд отмечают рейтинги Право-300 и ИД «Коммерсантъ». Работаем с IT-компаниями, e-com, телемедициной и онлайн-образованием, среди клиентов — СберЗдоровье, 1С и LG.

Оставьте заявку

Фотография юриста, патентного поверенного Никиты Морозова
В течение рабочего дня юрист свяжется с вами, уточнит объём и назовёт точную стоимость аудита
Нажимая кнопку «Отправить», вы даете согласие на обработку персональных данных в соответствии с политикой обработки персональных данных

Наши комментарии в СМИ по персональным данным

Мы в цифрах
Динамичность
< 3 час.
средний срок ответа на запрос клиента по стандартной задаче. Оперативно отвечаем на обращения и согласовываем сроки решения задач
Заслуживаем доверие
6 лет
подряд нашу фирму и специалистов отмечают рейтинги Право-300, ИД Коммерсантъ, Российская газета в числе лучших юристов
Опыт
9 лет
средний юридический стаж наших экспертов, из которых порядка пяти лет работы в нашей компании. Мы сплоченная команда энтузиастов с прочной позицией на рынке
клиенты из Forbes, RAEX
> 10
крупнейших компаний доверяют нам свои проекты, в их числе компании группы Сбера, Яндекса, Технониколь, LG, 1С и Самолет

Услуги по теме

Разработка документов по персональным данным
Подробнее
Защита от проверок Роскомнадзора
Подробнее
Разблокировка сайтов и приложений
Подробнее
Уведомление о начале обработки персональных данных
Подробнее

Консультация юриста по персональным данным

Подробно разобрать ситуацию и предоставить рекомендации по решению вопроса
Нажимая кнопку «Отправить», вы даете согласие на обработку персональных данных в соответствии с политикой обработки персональных данных