Регламент взаимодействия с Роскомнадзором и регуляторами: образец заполнения и пустой бланк 2026

1.1. Настоящий Регламент устанавливает порядок взаимодействия ООО «Ромашка» (ИНН 7701234567, ОГРН 1157746000111, адрес: г. Москва, ул. Ленина, д. 1, оф.

1.2. 1; далее — Оператор) с государственными органами, осуществляющими контроль и надзор в сфере персональных данных и защиты информации.

1.3. Регламент применяется при взаимодействии со следующими органами:

1.4. Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций и её территориальные органы — уполномоченный орган по защите прав субъектов персональных данных 152-ФЗ ст. 23152-ФЗ ст. 23Уполномоченный орган по защите прав субъектов персональных данных

1.5. Федеральная служба по техническому и экспортному контролю — по вопросам требований к защите информации в информационных системах

1.6. Федеральная служба безопасности Российской Федерации — по вопросам применения средств криптографической защиты информации

1.7. органы прокуратуры, органы дознания и следствия, суды — по запросам в пределах их полномочий

1.8. государственная инспекция труда — в части персональных данных работников

1.9. Территориальный орган, взаимодействие с которым осуществляется по общему правилу, — Управление Роскомнадзора по Центральному федеральному округу.

1.10. Уведомления и обращения направляются через личный кабинет оператора на портале персональных данных, если законом или самим запросом не установлен иной способ.

1.11. Регламент обязателен для всех работников Оператора.

1.12. Самостоятельное взаимодействие работников с регуляторами по вопросам обработки персональных данных без поручения руководителя не допускается.

2.1. Ответственным за взаимодействие с регуляторами является генеральный директор Иванов И. И., контакты: info@romashka-demo.ru, +7 (900) 000-00-00 152-ФЗ ст. 22.1152-ФЗ ст. 22.1Лицо, ответственное за организацию обработки данных.

2.2. Ответственный получает и регистрирует все поступающие от регуляторов документы, организует подготовку ответов и контролирует соблюдение сроков.

2.3. Ответственный вправе запрашивать у любого подразделения Оператора документы и сведения, необходимые для подготовки ответа, с указанием срока представления.

2.4. Подразделения обязаны представить запрошенные сведения в указанный срок.

2.5. Отказ или задержка оформляются письменно с указанием причин и доводятся до руководителя Оператора.

2.6. Документы, направляемые регуляторам, подписывает руководитель Оператора либо лицо, уполномоченное доверенностью.

2.7. Доверенность оформляется заранее, а не в день получения запроса.

2.8. К подготовке ответов на запросы, к сопровождению проверок и к обжалованию решений регуляторов привлекается внешний юридический консультант.

2.9. Договор с консультантом предусматривает обязанность соблюдать конфиденциальность полученных сведений.

2.10. Ответственный ведёт актуальный перечень контактов территориальных органов и реквизитов личного кабинета Оператора, включая порядок восстановления доступа к нему.

3.1. Оператор до начала обработки персональных данных направляет в уполномоченный орган уведомление о намерении осуществлять обработку персональных данных 152-ФЗ ст. 22152-ФЗ ст. 22Уведомление об обработке персональных данных.

3.2. Уведомление содержит сведения об Операторе, цели обработки, категории данных и субъектов, правовые основания, перечень действий с данными, сведения о мерах защиты, сведения об ответственном за организацию обработки, дату начала обработки и сроки или условия прекращения обработки.

3.3. Проект уведомления готовит ответственный за организацию обработки персональных данных на основании политики обработки персональных данных и локальных актов Оператора.

3.4. Сведения уведомления должны совпадать со сведениями этих документов.

3.5. Уведомление направляется через личный кабинет оператора на портале персональных данных и подписывается руководителем Оператора или уполномоченным лицом.

3.6. Копия направленного уведомления и подтверждение его принятия хранятся у ответственного за организацию обработки персональных данных и предъявляются при контрольных мероприятиях.

3.7. После включения сведений в реестр операторов ответственный проверяет корректность опубликованных сведений и при расхождении направляет уточнение.

3.8. Непредставление уведомления либо представление в нём неполных или недостоверных сведений влечёт административную ответственность КоАП РФ ст. 19.7КоАП РФ ст. 19.7Непредставление сведений (информации).

4.1. При изменении сведений, ранее указанных в уведомлении, Оператор направляет уведомление об изменении сведений не позднее 10 рабочих дней со дня изменения, но в любом случае не позднее 15-го числа месяца, следующего за месяцем, в котором возникли изменения 152-ФЗ ст. 22152-ФЗ ст. 22Уведомление об обработке персональных данных.

4.2. Изменением, требующим уведомления, признаются, в частности:

4.3. изменение наименования, адреса или иных реквизитов Оператора

4.4. смена лица, ответственного за организацию обработки персональных данных, или его контактов

4.5. изменение целей обработки, категорий персональных данных или категорий субъектов

4.6. начало обработки новой категории данных, включая биометрические и специальные категории

4.7. изменение перечня действий с персональными данными и применяемых мер защиты

4.8. начало или прекращение трансграничной передачи данных

4.9. прекращение обработки персональных данных

4.10. Руководители подразделений обязаны сообщать ответственному за организацию обработки персональных данных о таких изменениях в день их принятия, не дожидаясь фактического начала новой обработки.

4.11. Ответственный не реже одного раза в год сверяет сведения, опубликованные в реестре операторов, с фактическим положением дел и с локальными актами.

4.12. Результат сверки оформляется справкой.

4.13. Сверка проводится также после каждого изменения структуры или процессов Оператора.

6.1. Сведения о включении Оператора в план контрольных мероприятий ответственный проверяет ежегодно по данным, публикуемым уполномоченным органом и органами прокуратуры.

6.2. О предстоящем плановом мероприятии Оператор уведомляется в порядке и в сроки, установленные законодательством о государственном контроле.

6.3. Не позднее чем за тридцать календарных дней до планового мероприятия ответственный за организацию обработки персональных данных:

6.4. проводит внутреннюю проверку соответствия обработки требованиям закона и локальных актов

6.5. формирует пакет документации: политика обработки данных, положения и регламенты, приказы о назначении ответственных, перечни допущенных лиц, журналы, согласия, договоры поручения на обработку

6.6. проверяет наличие подписей работников в листах ознакомления и обязательствах о неразглашении

6.7. устраняет выявленные несоответствия и документирует принятые меры

6.8. проводит инструктаж работников о порядке общения с проверяющими

6.9. Работники дают проверяющим пояснения только по вопросам, относящимся к их должностным обязанностям, и не высказывают оценок и предположений.

6.10. Документы представляются в объёме, относящемся к предмету мероприятия.

6.11. Каждый факт передачи документов оформляется описью с отметкой о получении.

7.1. Проверяющих встречает ответственный за организацию обработки персональных данных, в его отсутствие — руководитель административного отдела.

7.2. Работник, к которому обратились проверяющие, немедленно сообщает об этом ответственному за организацию обработки персональных данных.

7.3. До начала мероприятия у проверяющих запрашиваются и копируются служебные удостоверения и решение о проведении контрольного мероприятия.

7.4. Сведения о решении сверяются с единым реестром контрольных мероприятий.

7.5. Проверяется соответствие предмета мероприятия, состава проверяющих и срока проведения тому, что указано в решении.

7.6. Расхождения фиксируются письменно и заявляются немедленно.

7.7. Ход мероприятия фиксируется ответственным: какие вопросы задавались, какие документы предъявлялись, какие пояснения давались, кто из работников участвовал.

7.8. Осмотр помещений и рабочих мест проводится в присутствии представителя Оператора.

7.9. Доступ к информационным системам предоставляется под контролем администратора безопасности, без передачи проверяющим учётных данных.

7.10. Оригиналы документов не передаются: представляются заверенные копии по описи.

7.11. Изъятие оригиналов допускается только в случаях и в порядке, установленных законом.

7.12. По итогам мероприятия составляется акт.

7.13. Представитель Оператора вправе указать в акте возражения либо приложить их отдельно в установленный срок.

7.14. Экземпляр акта и все переданные проверяющим документы приобщаются к материалам мероприятия и хранятся у ответственного.

8.1. Основаниями внепланового мероприятия являются, в частности, обращение или жалоба субъекта персональных данных, сведения об инциденте, поручение прокуратуры, а также истечение срока исполнения ранее выданного предписания.

8.2. При получении сведений о внеплановом мероприятии ответственный за организацию обработки персональных данных в течение одного рабочего дня докладывает руководителю Оператора и приступает к подготовке документов.

8.3. Если мероприятие вызвано жалобой конкретного субъекта, отдельно готовится подборка документов по этому субъекту: основание обработки, состав данных, история обращений и ответов, документы об исполнении его требований.

8.4. Если мероприятие вызвано инцидентом, готовятся материалы расследования: карточка инцидента, журнал регистрации, заключение и документы о принятых корректирующих мерах.

8.5. Проведение внепланового мероприятия не приостанавливает исполнение обязанностей Оператора по рассмотрению обращений субъектов и по уведомлению уполномоченного органа.

8.6. Оператор вправе получить разъяснения о предмете мероприятия и об основаниях его проведения, а также заявить возражения в установленном порядке.

8.7. Объявленное Оператору предостережение о недопустимости нарушения рассматривается в течение пяти рабочих дней.

8.8. При несогласии Оператор подаёт возражение с приложением подтверждающих документов 248-ФЗ ст. 49248-ФЗ ст. 49Объявление предостережения.

9.1. Запрос регулятора регистрируется в день поступления в Реестр обращений и переписки с регуляторами с указанием даты поступления, органа, предмета запроса и срока ответа.

9.2. Срок ответа определяется по самому запросу.

9.3. Если срок в запросе не указан, ответ направляется в срок, установленный законом, а при его отсутствии — в течение тридцати календарных дней со дня получения.

9.4. Ответственный за организацию обработки персональных данных не позднее следующего рабочего дня определяет исполнителей и устанавливает им внутренний срок представления сведений — 3 рабочих дней, но в любом случае не позднее чем за три рабочих дня до истечения срока ответа.

9.5. Ответ даётся строго по поставленным вопросам, со ссылками на приложенные документы.

9.6. Сведения, о которых не спрашивали, не представляются.

9.7. Персональные данные третьих лиц в ответе не раскрываются сверх объёма, необходимого для ответа на запрос.

9.8. Проект ответа проверяется на соответствие сведениям, ранее направленным регуляторам, чтобы не возникло расхождений между документами Оператора.

9.9. Если запрошенные сведения объективно не могут быть представлены в срок, Оператор до истечения срока направляет мотивированное ходатайство о продлении с указанием причин и предлагаемого нового срока.

9.10. Ответ направляется способом, обеспечивающим подтверждение доставки.

9.11. Копия ответа с отметкой об отправке приобщается к материалам.

11.1. Предписание об устранении выявленных нарушений регистрируется в день поступления.

11.2. Ответственный немедленно докладывает о нём руководителю Оператора.

11.3. В течение трёх рабочих дней со дня получения предписания разрабатывается план устранения нарушений с указанием мероприятий, ответственных исполнителей и сроков, не выходящих за срок, установленный предписанием.

11.4. План утверждается руководителем Оператора.

11.5. Каждое мероприятие плана должно завершаться документом, который можно предъявить как доказательство исполнения: приказ, акт, журнал, лист ознакомления, скриншот настроек.

11.6. Ход исполнения контролируется ответственным еженедельно.

11.7. О риске срыва срока немедленно докладывается руководителю Оператора.

11.8. По исполнении предписания в орган, его выдавший, направляется отчёт с приложением подтверждающих документов, до истечения установленного срока.

11.9. Если предписание объективно не может быть исполнено в срок, до его истечения направляется мотивированное ходатайство о продлении с указанием выполненной части и причин задержки.

11.10. Неисполнение в срок законного предписания влечёт административную ответственность, при этом обязанность устранить нарушение сохраняется КоАП РФ ст. 19.5КоАП РФ ст. 19.5Невыполнение в срок законного предписания (постановления, представления, решения) органа (должностного лица), осуществляющего государственный надзор (контроль), должностного лица, осуществляющего муниципальный контроль.

13.1. Ответственный ведёт перечень уведомительных обязанностей Оператора и контролирует сроки их исполнения.

13.2. Форма и порядок уведомления об инциденте определяются требованиями уполномоченного органа Приказ РКН 276 от 25.07.2024Приказ РКН 276 от 25.07.2024Форма и порядок уведомления об инциденте.

13.3. Порядок действий при инциденте, включая сбор сведений для уведомления, установлен отдельными локальными актами Оператора о реагировании на инциденты и на утечку персональных данных.

13.4. Ответственный ежеквартально проверяет исполнение уведомительных обязанностей и докладывает результат руководителю Оператора.

15.1. Непредставление или несвоевременное представление сведений по запросу государственного органа, а равно представление сведений в неполном или искажённом виде влечёт административную ответственность КоАП РФ ст. 19.7КоАП РФ ст. 19.7Непредставление сведений (информации).

15.2. Неисполнение в установленный срок законного предписания влечёт самостоятельную ответственность, независимую от ответственности за само нарушение, послужившее основанием предписания КоАП РФ ст. 19.5КоАП РФ ст. 19.5Невыполнение в срок законного предписания (постановления, представления, решения) органа (должностного лица), осуществляющего государственный надзор (контроль), должностного лица, осуществляющего муниципальный контроль.

15.3. Нарушение установленного законом порядка обработки персональных данных влечёт ответственность по статье 13.11 Кодекса Российской Федерации об административных правонарушениях КоАП РФ ст. 13.11КоАП РФ ст. 13.11Нарушение законодательства о персональных данных.

15.4. Работник, по вине которого нарушен срок представления сведений регулятору или срок исполнения предписания, привлекается к дисциплинарной ответственности в порядке статей 192 и 193 Трудового кодекса Российской Федерации.

15.5. Сокрытие от ответственного за организацию обработки персональных данных поступившего запроса или предписания регулятора является грубым нарушением требований настоящего Регламента.

15.6. Уплата административного штрафа не освобождает Оператора от обязанности устранить нарушение и представить подтверждающие документы.

16.1. Ответственный ведёт Реестр обращений и переписки с регуляторами, в который вносятся все входящие и исходящие документы во взаимодействии с регуляторами.

16.2. Записи вносятся в день поступления или направления документа.

16.3. Исправление вносится новой записью со ссылкой на исправляемую.

16.4. Ответственный еженедельно проверяет реестр на предмет документов с истекающим сроком ответа.

17.1. Запросы регуляторов, ответы Оператора, акты контрольных мероприятий, предписания, планы устранения и отчёты об исполнении хранятся не менее 5 лет со дня завершения соответствующего взаимодействия.

17.2. Документы хранятся у ответственного за организацию обработки персональных данных в порядке, исключающем доступ посторонних лиц, в бумажном и электронном виде.

17.3. По каждому контрольному мероприятию формируется отдельное дело: решение о проведении, переписка, опись переданных документов, акт, возражения, предписание, документы об исполнении.

17.4. Копии направленных уведомлений и подтверждения их принятия хранятся весь период обработки персональных данных и не менее пяти лет после её прекращения.

17.5. При смене ответственного за организацию обработки персональных данных документы передаются по акту с описью дел.

17.6. Уничтожение документов по истечении срока хранения производится по акту, который хранится не менее трёх лет.

18.1. Регламент вступает в силу со дня утверждения приказом руководителя Оператора и действует до его отмены или замены новой редакцией.

18.2. Регламент пересматривается не реже одного раза в год, а также при изменении законодательства о персональных данных и о государственном контроле.

18.3. Работники, участвующие в обработке персональных данных, знакомятся с Регламентом под подпись.

18.4. Актуальные реквизиты доступа к личному кабинету оператора и перечень уполномоченных на подписание лиц проверяются не реже одного раза в квартал.

18.5. Контроль исполнения Регламента возложен на ответственного за организацию обработки персональных данных.

19.1. Ответственный за организацию обработки персональных данных:

19.2. генеральный директор ______________ / Иванов И. И. /

19.3. Руководитель:

19.4. генеральный директор ______________ / Иванов И. И. /

Реестр ведёт ответственный за организацию обработки персональных данных ООО «Ромашка».

Реестр хранится 5 лет со дня внесения последней записи.

Пакет формируется ответственным за организацию обработки персональных данных заблаговременно и поддерживается в актуальном состоянии.

Отсутствие любого документа из перечня устраняется до начала контрольного мероприятия.

С Регламентом взаимодействия с Роскомнадзором и регуляторами, утверждённым приказом от 01.01.2026 № 31-ПДн, ознакомлены:

Лист ознакомления хранится вместе с Регламентом у ответственного за организацию обработки персональных данных.