На площадке Совета по предпринимательству собрались представители нескольких казанских компаний, хранящих персональные данные своих клиентов или сотрудников, чтобы обсудить вступившие в силу изменения и понять, как именно работать с обширным списком требований Роскомнадзора.

Участники встречи обсудили список запрашиваемых документов — это 34 пункта. «Мы являемся интегратором в области персональных данных. Люди поняли с 2012 года, что проще заплатить копеечный штраф от Роскомнадзора, чем выполнять адские требования», — прокомментировал список представитель компании «Такснет-сервис» Дмитрий Соколов.

В ходе встречи возник вопрос регулирования персональных данных, которые хранятся на облачных сервисах: «Я храню паспорта сотрудников на Яндекс диске. Это как регулировать? Или мероприятие проводится, для него нужны данные сотрудников. Это будет восприниматься как утечка данных?» — сказал Радик Чумарин, гендиректор компании «Армор». Кроме того, предприниматели отметили, что и сами сотрудники Роскомнадзора — ведомство контролирует исполнение требований — зачастую не могут ответить на подобные вопросы. «Мы, когда разместили у себя на сайте политику конфиденциальности, звонили в Роскомнадзор, просили предоставить шаблон для политики. Мне сказали: есть много интернет-магазинов, берите и копируйте», — прокомментировал участник. На вопрос о том, не будет ли юридических последствий в таком случае, ему ответить не смогли. Соколов отметил еще один момент: не всегда пользователи, заполняя форму обратной связи, используют свои данные. «Моя мама пользуется номером телефона, который зарегистрирован на меня. И в интернет-магазинах она его указывает. Как тогда считать это персональными данными?» — спросил он.

Предприниматели отметили, что некоторые пункты в списке документов действительно бессмысленные, и, если есть возможность выйти с предложением убрать их, стоит ей воспользоваться. Пункт 12 о техпаспорте информационных систем персональных данных предложили исключить для малого и среднего бизнеса: «Серверы зачастую находятся в облаках — это заполнить невозможно. Этот документ разрабатывался в 90-е, когда была привязка к конкретной физической машине». «Действительно, у компаний сейчас нет таких дата-центров, раньше у всех была своя инфраструктура. Сейчас все в интернете», — поддержал Чумарин.

Предложили исключить и пункт 21 (модель угроз безопасности при их обработке в персональных данных при их обработке в информационных системах персональных данных): «Для МСБ это почти фиктивный документ, а для крупной компании это может быть серьезный документ. Обычный предприниматель, открыв бизнес, не будет этого знать. У маленьких компаний даже бухгалтера нет — все в онлайн», — прокомментировали предприниматели. Необходимость пунктов 22 (протокол определения ущерба) и 34 (регламент по трансграничной передаче персональных данных) участники попросили рассмотреть на следующих встречах с представителями ведомства.

Изменения в законе предполагают серьезное увеличение размера штрафов — теперь они могут доходить до 300 000 рублей, так как штрафы по нескольким нарушениям суммируются. Один из участников возразил, что штрафы получают только злостные нарушители. Он рассказал о личном опыте: сначала орган выдает предписание и дает шанс исправиться. «Последняя коммуникация с Роскомнадзором показала, что слово „предписание“ для некоторых начальников отделов вообще не знакомо, они действительно думают, что ведомство в принципе не может использовать предписания», — прокомментировала замечание предпринимателя главный эксперт Совета Венера Камалова. По ее словам, на следующих встречах будут представители ведомства, чтобы можно было точно понять, какого содержания документы они ожидают видеть, принципиально ли именно такое количество или некоторые можно объединить. «Мы проанализируем федеральные нормы. Если придем к заключению, что требования завышены или неисполнимы, выйдем с инициативой по упрощению», — добавила Камалова.