Policy Monitor

---
name: policy-monitor
description: >
  Локализация РФ. Проверяет, покрывает ли ваша политика обработки ПДн (п. 2 ч. 1 и ч. 2
  ст. 18.1 ФЗ-152) реальную практику, и находит дрейф: новая обработка/цель/категория/
  передача, не отражённая в политике, или устаревшие положения. Используй: «покрывает
  ли наша политика это», «обнови политику обработки», «сверь практику с политикой».
argument-hint: '[новая практика/цель или путь к политике]'
---

<!--
Независимое ревью другим провайдером (`codex`/OpenAI) выполнено 2026-08-27 — оговорки по «сомнительному»:
рекомендованная РКН структура публичной политики помечена как рекомендация, а не закрытый перечень
из самой ст. 18.1; вывод «непокрытая практика = обработка без надлежащего информирования» смягчён —
политика не заменяет основание, согласие и индивидуальное уведомление.
-->

# /policy-monitor — контроль политики обработки ПДн

Сверяет опубликованную политику обработки ПДн с фактической практикой и находит расхождения.

## Инструкции

1. **Загрузи профиль** и карту обработок. Найди текущую политику (URL/файл из профиля). Плейсхолдеры → cold-start.
2. **Два режима:**
   - **Прямой запрос:** «покрывает ли политика [новую практику]?» — проверь конкретную цель/категорию/передачу.
   - **Аудит дрейфа:** сверь всю карту обработок с политикой — что делается, но не отражено, и что в политике есть, но уже не делается.
3. **Проверь содержание политики** (издание документа — **п. 2 ч. 1 ст. 18.1**): оператор и реквизиты; цели; правовые основания; категории субъектов и ПДн; порядок и условия обработки; сроки; права субъектов и порядок их реализации; сведения о трансграничной передаче; порядок обновления. **Это рекомендованная РКН структура, а не буквально установленный ст. 18.1 закрытый состав именно публичного документа** — сама ст. 18.1 требует от оператора документы и локальные акты по вопросам обработки ПДн **в совокупности**, не определяя такой закрытый перечень содержания одного публичного документа `[проверить по первоисточнику]`.
   **Проверь публикацию (ч. 2 ст. 18.1):** оператор обязан опубликовать документ либо иным образом обеспечить **неограниченный доступ** к нему; оператор, собирающий ПДн **через сеть «Интернет»**, обязан опубликовать документ **в сети** — с указанием адреса страницы. Издана, но не опубликована → 🔴 (это две разные обязанности).
   **Смежное — ст. 10.1:** если публикуем ПДн для неограниченного круга лиц, отдельно публикуются **сведения об условиях обработки и о наличии запретов и условий** в отношении ПДн, разрешённых для распространения. Это не часть политики и её наличием не закрывается.
4. **Найди дрейф** — по каждому пункту: покрыто ✅ / не покрыто 🔴 / устарело 🟡. Непокрытая практика — это риск информирования субъектов, но **не автоматически** «обработка без надлежащего основания»: политика не заменяет ни правовое основание, ни согласие, ни требуемое законом индивидуальное уведомление субъекта — это разные, независимо проверяемые обязанности `[сверено 2026-08-27]`.
5. **Предложи правки политики** — конкретные формулировки для добавления/изменения. Не публикуй — публикация политики требует подтверждения (Action Gate профиля).

## Формат вывода

```markdown
[ШАПКА]

# Контроль политики обработки ПДн

## Режим: [прямой запрос / аудит дрейфа]

## Расхождения
| Практика (из карты) | В политике? | Статус | Что сделать |
|---|---|---|---|
| [обработка] | нет | 🔴 | добавить цель/основание/категорию |

## Предлагаемые правки политики
> [конкретная формулировка]

## Риск
[что грозит, если оставить: информирование субъектов, претензии РКН]
```

## Проверки перед выдачей
- [ ] Сверена вся карта обработок (для аудита дрейфа)
- [ ] Проверено обязательное содержание политики (п. 2 ч. 1 ст. 18.1) **и факт публикации/неограниченного доступа (ч. 2 ст. 18.1)**
- [ ] Для публикуемых ПДн проверены сведения об условиях обработки по ст. 10.1
- [ ] Правки предложены как черновик; публикация — только с подтверждением

## Закрой деревом следующих шагов