Требования разбросаны по документам
Нормы, приказы и разъяснения живут в разных файлах и редакциях. Понять, что именно касается вашей компании, можно только отдельным проектом с юристом.
Комплаенс и регуляторные требования
Контроль требований и сроков комплаенса в одном календаре
Реестр требований, задачи с ответственными и датами, доказательства выполнения и готовность к проверке. Вместо таблиц, которые устаревают через неделю, — постоянно актуальная картина соответствия.
Или сразу: +7 (962) 368-39-51 Telegram
24 часа
срок уведомления Роскомнадзора об инциденте с ПДн
152-ФЗ
реестр обработок, цели и правовые основания
приказы 17 и 21
меры защиты по требованиям ФСТЭК России
аудит-трейл
доказательства выполнения требований для проверки
Где ломается комплаенс
Причины, по которым компании узнают о нарушении уже от регулятора или из претензии контрагента.
Сроки держатся на календаре одного человека
Уведомления, отчёты и подтверждения сдаются в разные даты. Достаточно отпуска или увольнения ответственного, чтобы часть сроков была пропущена.
Выполнение нечем подтвердить
Требование выполнено, но подтверждения нет: письмо потерялось, версия политики не сохранена, ознакомление сотрудников не задокументировано.
Инцидент с персональными данными застаёт врасплох
Не определён порядок действий: кто оценивает масштаб утечки, кто готовит уведомление регулятору и кто отвечает за связь с пострадавшими.
Ответственность не закреплена
За каждое требование должен отвечать конкретный человек. Когда в таблице указано подразделение, задачу в итоге не делает никто.
Проверку встречают вручную
К приходу регулятора документы собирают несколько дней, часть находится в неактуальных редакциях, а часть вообще отсутствует.
Что входит в систему комплаенс-мониторинга
Состав модулей зависит от отрасли и объёма обрабатываемых данных: от базового реестра требований до полного контура по персональным данным.
Реестр требований
Единый список того, что применимо к компании, с источником, обоснованием и ответственным.
- Разбор применимости по видам деятельности и категориям данных
- Связь требования с нормой, приказом или условием договора
- История изменений требований с датами вступления в силу
- Периодичность и ответственный по каждому пункту
Календарь и задачи
Каждое требование превращается в задачу с датой, ответственным и подтверждением выполнения.
- Повторяющиеся задачи: ежемесячные, квартальные и по событию
- Напоминания заранее и эскалация руководителю при просрочке
- Чек-листы выполнения с приложением подтверждающих файлов
- Связь задач с внутренними политиками и информационными системами
Персональные данные и инциденты
Отдельный контур для требований 152-ФЗ, включая порядок действий при утечке.
- Реестр обработок: цели, категории данных и правовые основания
- Учёт согласий, отзывов и сроков хранения
- Порядок действий при инциденте и шаблоны уведомлений
- Журнал доступа к персональным данным и выгрузкам
Доказательная база и отчётность
Всё, что нужно показать проверяющему, собирается в системе автоматически.
- Снимки редакций политик с датами утверждения
- Протоколы обучений и ознакомлений сотрудников
- Отчёты о выполнении требований для руководства и совета директоров
- Выгрузка пакета документов по запросу регулятора или контрагента
Как мы выстраиваем комплаенс-мониторинг
Начинаем с инвентаризации требований: без неё любая автоматизация превращается в учёт неизвестно чего.
-
01 2–3 недели
Инвентаризация требований
Определяем применимые нормы: 152-ФЗ, отраслевые приказы, требования банков и крупных контрагентов. Фиксируем, что уже выполняется, а что нет.
-
02 2 недели
Настройка реестра
Заносим требования, ответственных, сроки и связи с внутренними документами. Договариваемся о периодичности проверок и порядке эскалации.
-
03 8–12 недель
Разработка и интеграции
Собираем календарь, уведомления и отчётность, подключаем кадровые и учётные системы, настраиваем роли и уровни доступа.
-
04 1 месяц и далее
Регламент и сопровождение
Фиксируем порядок работы в регламенте, обучаем ответственных и обновляем реестр при изменении законодательства.
Почему таблицы в Excel перестают работать
Таблица хорошо описывает требования в момент составления, но плохо живёт во времени: нормы меняются, ответственные уходят, а ссылки на подтверждающие документы ведут в никуда. Через полгода никто не может сказать, актуальна ли строка и кто отвечает за её выполнение.
Система решает именно эту проблему: у каждого требования есть источник, владелец, периодичность и история. Изменение нормы порождает задачу на пересмотр внутреннего документа, а выполнение подтверждается файлом, который невозможно потерять в почте.
Что изменилось в работе с персональными данными
Требования к обработке персональных данных ужесточились: с 30 мая 2025 года действует обязанность уведомлять Роскомнадзор об инциденте в течение 24 часов с момента обнаружения, а за утечки введены оборотные штрафы, размер которых зависит от объёма выручки. Одновременно появилась уголовная ответственность за незаконный оборот персональных данных.
Практический вывод прост: нужен заранее описанный порядок действий. Кто принимает сообщение об инциденте, кто оценивает масштаб и категории данных, кто готовит уведомление, кто связывается с субъектами данных. В стрессовой ситуации импровизировать поздно — регламент и шаблоны должны быть готовы заранее, а факт их применения — зафиксирован.
Как подготовиться к проверке Роскомнадзора
Проверка начинается с документов: политика обработки персональных данных, приказ о назначении ответственного, перечень обрабатываемых данных, правовые основания, модель угроз и документы по защите. Если эти материалы разбросаны по разным папкам и существуют в нескольких редакциях, проверяющему сложно подтвердить соответствие, даже когда фактически всё в порядке.
Поэтому в системе хранятся именно актуальные редакции с датами утверждения, а по каждому требованию видно, чем подтверждается его выполнение. Пакет документов по конкретному требованию выгружается за минуты, а не собирается несколько дней силами нескольких отделов.
Частые вопросы
Нет, она снимает с него рутину: поиск применимых норм, отслеживание сроков, сбор подтверждений и подготовку отчётности. Правовые решения — оценка рисков, выбор оснований обработки, реакция на нестандартную ситуацию — остаются за специалистом. Система лишь гарантирует, что ни одно требование и ни один срок не потерялись.
Базовый пересмотр проводится раз в год, а также при значимых изменениях: новый вид деятельности, выход на регулируемый рынок, запуск обработки новых категорий данных, изменение организационной структуры. Дополнительно ведётся мониторинг изменений законодательства, и по каждому значимому изменению создаётся задача на анализ применимости.
Зафиксировать факт и время обнаружения, ограничить распространение данных, сохранить свидетельства для внутреннего разбора и начать оценку масштаба: какие категории данных и сколько субъектов затронуто. Параллельно готовится уведомление регулятору, поскольку на это отведено 24 часа с момента обнаружения инцидента. Все действия должны быть задокументированы — это понадобится и регулятору, и при внутреннем расследовании.
Да, объём настраивается. Небольшой организации обычно достаточно реестра требований, календаря задач и пакета шаблонов внутренних документов без сложных интеграций. Такой контур внедряется за несколько недель и стоит заметно меньше, чем последствия одной утечки или штрафа за неисполнение обязанностей оператора персональных данных.
LegalTech: другие направления
Смежные задачи, которые обычно решаются в одном проекте с этой.
Знаете, какие требования к вам применимы?
Начнём с инвентаризации: покажем, что именно касается вашей компании и что требует действий в ближайшие месяцы.