С 30 мая 2025 года вступили в силу существенные изменения в Федеральный закон № 152-ФЗ «О персональных данных». Новые правила кардинально изменили подход к уведомлению Роскомнадзора, требованиям к локализации баз данных и процедуре проведения проверок. На 02 августа 2026 года организационный период адаптации завершился, и регулятор перешел к системной проверочной работе.

Ниже представлен подробный разбор самых частых вопросов, которые возникают у операторов персональных данных (ОПД) в контексте текущей проверочной практики Роскомнадзора.

Общие вопросы: уведомление и реестр ОПД

Обязана ли наша организация подавать уведомление в Роскомнадзор?

Да, почти всегда. С 30 мая 2025 года обязанность уведомлять Роскомнадзор о начале обработки персональных данных распространяется на всех операторов, за исключением случаев, прямо указанных в ч. 2 ст. 22 Закона № 152-ФЗ (например, обработка только в рамках трудовых отношений без автоматизации, обработка данных, сделанных общедоступными субъектом, и др.).

Если ваша организация:

• принимает заявки на сайте (формы обратной связи, заказ звонка);
• ведет клиентскую базу (CRM);
• оформляет сотрудников (кадровый учет, зарплата);
• отправляет рассылки (email, SMS, пуш-уведомления);
• работает с договорами контрагентов (ФИО директоров, контакты менеджеров) —

Вы обязаны подать уведомление (если не подпадаете под редкие исключения). Отсутствие уведомления в реестре, повод для плановой или внеплановой проверки и штрафа по ст. 19.7 КоАП РФ.

Мы подали уведомление до 30 мая 2025 года. Нужно ли подавать новое?

Да. Старые уведомления, поданные по старому формату (до или по переходу 2022–2025 гг.), признаны недействительными с 30 мая 2025 года. Все операторы обязаны были переоформить уведомления по новому формату (Приказ Роскомнадзора № 1061 от ) до 30 мая 2025 года. Если вы этого не сделали — вы считаетесь не уведомившим регулятор.

Что такое «категории субъектов» и «категории ПДн» в новом уведомлении? Мы боимся ошибиться.

В новом уведомлении не нужно перечислять конкретные поля базы данных (например, «телефон», «email», «адрес»). Достаточно указать категории согласно Приказу № 1061:

• Категории субъектов: клиенты (потребители), сотрудники (работники), соискатели, контрагенты, посетители сайта и т.д.
• Категории ПДн: общие (ФИО, контакты), специальные (здоровье, раса, политические взгляды, если обрабатываете), биометрические (фото, отпечатки — если используете СКУД/биометрию), иные (ИНН, СНИЛС, паспортные данные).

Совет: Лучше указать категорию шире (например, «общие персональные данные»), чем упустить обрабатываемый вид данных. Несоответствие уведомления реальной обработке — частая находка инспекторов.

Подготовка к проверке: документационное обеспечение

Какой пакет документов проверяет Роскомнадзор в первую очередь?

С 2025 года проверки (как плановые, так и внеплановые) начинаются с запроса следующего пакета (по ст. 22, 19, 19.1 Закона № 152-ФЗ):

1. Уведомление о начале обработки ПДн (выписка из реестра или уведомление о подаче).
2. Политика в отношении обработки ПДн (опубликованная на сайте/доступная субъектам).
3. Локальные нормативные акты (ЛНА): Приказ о назначении ответственного за обработку ПДн, Положение о структурном подразделении/ответственном лице, Инструкция по учету ПДн, Правила доступа к ПДн, Порядок реагирования на инциденты (утечки).
4. Согласия субъектов ПДн (образцы форм, скрины чек-боксов на сайте, бумажные согласия клиентов/сотрудников).
5. Документы по переграничной передаче (если передаете данные за рубеж: стандартные договорные условия, уведомление Роскомнадзора о передаче).
6. Акт оценки угроз безопасности ПДн и Модель угроз (обязательно для операторов, обрабатывающих биометрию/спец. данные, и рекомендуется всем остальным для определения класса защищенности).
7. Журналы учета: обращений субъектов ПДн, инцидентов (утечек), доступа к носителям ПДн, передачи третьим лицам.

Что такое «Оценка ущерба» и нужна ли она нам для проверки?

С 2025 года понятие «оценка ущерба» формально исключено из Закона, сменено на Оценку рисков (угроз) безопасности ПДн. Инспекторы проверяют наличие Акта оценки рисков, на основе которого определен класс защищенности ИСПДн (1–4 класс или неклассифицированная).

Важно: Даже если у вас 4-й класс (минимальные требования), инспектор попросит увидеть документ, обосновывающий, почему вы выбрали именно 4-й класс, а не 3-й. Отсутствие акта — нарушение ст. 19 Закона № 152-ФЗ.

Мы используем облачные сервисы (CRM, почта, 1С в облаке). Как это оформить для проверки?

Это зона высокого риска. Вам необходимо:

• Заключить договоры с операторами облаков с обязательным условием о обработке ПДн от вашего имени (ст. 28 Закона № 152-ФЗ).
• Проверить, что дата-центры провайдера находятся на территории РФ (требование локализации ст. 18 Закона № 152-ФЗ). На 2026 год Роскомнадзор строго проверяет физическое расположение дисков.
• В уведомлении в графе «Способы обработки» и «Перечень действий» указать: «передача с использованием сети Интернет», «хранение на серверах третьего лица (наименование провайдера)».
• Иметь на руках гарантии провайдера (сертификаты ФСТЭК/ФСБ, отчеты о пентестах, подтверждение локализации).

Технические и организационные меры защиты (ТОМЗ)

Какие технические средства защиты требуются на 2026 год?

Требования зависят от класса защищенности ИСПДн (Информационной системы персональных данных):

Частая ошибка: Установка «коробочного» DLP или антивируса без настройки политик под модель угроз. Инспекторы проверяют эффективность настроек, а не факт наличия лицензии.

Проверяют ли инспекторы настройки DLP / SIEM / Антивируса «под капотом»?

Да. На практике 2025–2026 гг. инспекторы Роскомнадзора (часто совместно с ФСТЭК/ФСБ) запрашивают:

• Скриншоты консолей управления (политики DLP, правила корреляции SIEM).
• Отчеты о сработавших инцидентах за последние 3–6 месяцев.
• Логи обновления сигнатур антивируса / баз знаний DLP.
• Наличие разграничения доступа к консоли администрирования СЗИ (отдельные учетные записи админов).

Если DLP стоит, но не блокирует отправку ПДн в личную почту/облако, это нарушение.

Права субъектов ПДн и работа с обращениями

Какие сроки ответа на запрос субъекта ПДн установлены законом?

• Уточнение/блокирование/уничтожение ПДн: 7 рабочих дней (ст. 21 Закона № 152-ФЗ).
• Предоставление информации о обработке / копии ПДн: 30 календарных дней (продлевается до 60 дней при сложности, с уведомлением субъекта).
• Отзыв согласия: Обработка должна быть прекращена в течение 3 рабочих дней с момента получения отзыва (если иное не предусмотрено законом/договором).

На проверке: Инспекторы запрашивают Журнал учета обращений субъектов ПДн и выборочно проверяют исполнение сроков. Просрочка даже на 1 день — основание для предписания и штрафа.

Сотрудник требует удалить его персональные данные сразу после увольнения; Мы обязаны?

Нет. Трудовое право (ТК РФ) и закон об архивном деле обязывают хранить личные дела (Т-2), лицевые счета (Т-54) и документы о зарплате 75 лет. Вы обязаны блокировать данные (исключить из активных баз, рассылок, CRM) по запросу, но не уничтожать архивные документы до истечения сроков хранения. В ответе сотруднику нужно сослаться на ст. 21 Закона № 152-ФЗ и нормативные сроки хранения кадровых документов.

Инциденты (утечки) и уведомление Роскомнадзора

Что считается инцидентом, о котором нужно сообщить в Роскомнадзор?

С 2025 года (Постановление Правительства № 1719 и уточнения Роскомнадзора) уведомление обязательно при любой утечке ПДн, если она создает угрозу правам субъектов. Критерии для уведомления (в течение 24 часов с момента обнаружения):

• Попадание ПДн в неограниченный доступ (опубликование в сети, утеря флешки/ноутбука без шифрования, взлом сайта/CRM).
• Несанкционированный доступ сотрудника к данным, не нужным для работы (превышение прав доступа).
• Вредоносное ПО, экспфильтрующее данные.

Не нужно уведомлять о: блокировке спама, попытках брутфорса (если не увенчались успехом), утере зашифрованного носителя (если ключ не утерян).

Как правильно заполнить уведомление об инциденте?

Используйте форму на портале ndp.rkn.gov.ru (личный кабинет оператора). Обязательные поля:

1. Дата и время обнаружения / возникновения.
2. Причина (взлом, ошибка админа, вирус, утеря носителя).
3. Категории ПДн и примерное количество пострадавших субъектов.
4. Последствия (опубликовано в даркнете, отправлено мошенникам, просто было доступно по ссылке).
5. Принятые меры по ликвидации и предотвращению (смена паролей, патчи, настройка DLP, увольнение виновного, обращение в полицию/К-безопасность).

Совет: Даже если утечка минимальна (утечка 10 email-ов), подайте уведомление. Сокрытие инцидента влечет штраф до 500 тыс. руб. (ст. 13.11 КоАП РФ) и репутационные риски.

Переграничная передача данных (актуально для 2026 года)

Мы используем Google Analytics / Meta Pixel / Zoom / Slack. Это переграничная передача?

Да. Любая передача ПДн (IP-адреса, Cookie ID, email, имя) на серверы за пределами РФ — это переграничная передача. На 2026 год Роскомнадзор требует:

1. Уведомить Роскомнадзор о намерении передачи (через ЛК ndp.rkn.gov.ru) до начала передачи.
2. Обеспечить адекватность защиты в стране-получателе (для «неадекватных» стран, США, ЕС и др., заключить Стандартные договорные условия (СДУ) по форме Приказа Роскомнадзора № 1741 от ).
3. Получить специальное согласие субъекта на переграничную передачу (отдельный чек-бокс/пункт в согласии), если передача не требуется по договору/закону.

Риск: Использование Google Analytics 4 без уведомления Роскомнадзора и СДУ с Google Ireland/Google LLC — прямое нарушение ст. 12 Закона № 152-ФЗ. Инспекторы на проверках запрашивают список всех сторонних скриптов на сайте.

Типичные ошибки, за которые выписывают предписания и штрафы в 2025–2026 гг.

• Расхождение уведомления и реальности: В уведомлении нет категории «биометрия», а в офисе стоит турникет с распознаванием лица.
• Отсутствие Политики на сайте или ссылка на нее ведет на 404 / старую версию 2020 года.
• Согласия «в общем»: Одно согласие на «все обработки» без разделения целей (маркетинг, исполнение договора, кадровый учет).
• Хранение «вечно»: Отсутствие сроков хранения и правил уничтожения в ЛНА. База клиентов 2015 года никому не нужна, но хранится в CRM.
• Административные учетки: Админы заходят под root/admin без разделения прав, пароли не меняются годами, нет МФА для доступа к ИСПДн.
• Игнорирование обращений: Нет журнала, нет ответов на запросы «Удалите мои данные» / «Что вы о мне храните?».
• Облако за рубежом: 1С/Битрикс/Почта на серверах в Германии/Нидерландах/США без уведомления и СДУ.

Чек-лист: Экспресс-аудит перед приходом инспектора (Self-Check)

Пройдитесь по пунктам за 1 час. Если хоть где-то «Нет» — срочно исправляйте.

1. [ ] Уведомление в реестре Роскомнадзора активно (статус «Внесен в реестр»), данные актуальны (адрес, ИНН, категории ПДн).
2. [ ] На сайте в футере есть ссылка на Политику конфиденциальности (версия не старше 2025 года).
3. [ ] Есть Приказ о назначении Ответственного за ПДн (ФИО реального человека, не уволенного).
4. [ ] Есть Акт оценки рисков / Модель угроз (подписан руководителем и Ответственным).
5. [ ] Определен Класс ИСПДн и установлены СЗИ соответствующего профиля.
6. [ ] Все сотрудники, имеющие доступ к ПДн, подписаны на допуск (в трудовом договоре или доп. соглашении) и пройшли инструктаж (есть росписи).
7. [ ] Настроено разграничение доступа (менеджер не видит зарплаты, бухгалтер не видит маркетинговую базу).
8. [ ] Есть Журнал обращений субъектов ПДн (хотя бы пустой, но оформленный) и образцы ответов.
9. [ ] Для всех облачных сервисов есть договоры с условиями ст. 28 и подтверждение локализации в РФ.
10. [ ] Если есть сайт: проверены все формы (чек-бокс согласия не предустановлен, ссылка на Политику работает, данные уходят только в РФ или оформлена переграничная передача).
11. [ ] Есть План реагирования на инциденты (кто делает что за первые 1–24 часа).
12. [ ] Проводилось внутреннее обследование / аудит за последний год (есть акт/протокол).

На 2026 год подход Роскомнадзора сместился с формального «наличия бумажек» на проверку реальной эффективности модели защиты данных. Ключевые триггеры проверок: жалобы граждан, сообщения СМИ/профильных ресурсов об утечках, данные Росфинмониторинга/ФНС, а также плановый график.

Главный совет: Не ждите проверки. Внедрите процесс непрерывного соответствия (Compliance): ежеквартальный аудит доступов, полугодовое обновление модели угроз, ежегодное обучение персонала. Стоимость профилактики в разы ниже штрафов (до 18 млн руб. за повторные нарушения) и репутационных потерь.

Статья подготовлена на основе законодательства РФ (152-ФЗ, КоАП РФ, Постановления Правительства, Приказы Роскомнадзора и ФСТЭК) и проверочной практики на . Материал носит информационный характер и не является правовой консультацией. Для решения конкретных вопросов обратитесь к юристу по защите персональных данных.