Цель статьи – дать практические рекомендации операторам персональных данных (ОПД) о том, как подготовиться к плановым и внеплановым проверкам Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор), какие документы и процессы необходимо иметь в наличии, какие типичные нарушения выявляются и как избежать штрафов.

Правовая база

• Федеральный закон № 152‑ФЗ от «О персональных данных» – основной нормативный акт, регулирующий сбор, хранение, обработку и защиту ПДн.
• Постановление Правительства РФ № 1119 от «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» (ПП‑1119).
• Приказ Минцифры России № 1187 от (в ред. от ) – перечень индикаторов риска, нарушение которых может стать основанием для внеплановой проверки.
• Статья 23 ФЗ‑152 и статья 19 ФЗ‑152 – порядок проведения контроля и обязательность уведомления о начале обработки ПДн.

Какие виды проверок проводит Роскомнадзор?

1. Плановая проверка – проводится в соответствии с утверждённым графиком (см. план проверок на 2026 год). Оператор заранее известен в реестре операторов.
2. Внеплановая (профилактическая) проверка – инициируется при выявлении хотя бы одного индикатора риска (по приказу № 1187) или по жалобам субъектов ПДн.
3. Контрольный визит – короткая проверка, направленная на уточнение конкретных вопросов (например, работа сайта, наличие политики конфиденциальности).

Что проверяют инспекторы?

В ходе проверки Роскомнадзор проверяет:

• Наличие и актуальность регистрации в реестре операторов ПДн (подача уведомления в течение 30 дней).
• Локальный нормативный акт (ЛНА) – политику в отношении обработки ПДн, правила обработки и защиты.
• Документацию по классификации и учёту ИСПДн (информационные системы персональных данных) согласно ПП‑1119.
• Журнал учёта машинных носителей ПДн.
• Технические меры защиты: шифрование, контроль доступа, антивирусные решения, резервное копирование.
• Организационные меры: обучение персонала, назначение ответственного за ПДн, порядок реагирования на инциденты.
• Сайт компании: наличие политики конфиденциальности, согласий на обработку, механизм отзыва согласия, корректность обработки cookies.
• Кадровые документы: должностные инструкции, договоры о конфиденциальности, журналы доступа сотрудников.

Как подготовится к проверке: пошаговый чек‑лист

Формирование пакета документов

1. Уведомление о начале обработки ПДн (форма 1‑ФЗ‑152) и подтверждение внесения в реестр.
2. Локальный нормативный акт (политика обработки ПДн).
3. Положение о защите ПДн в ИСПДн (соответствие ПП‑1119).
4. Журнал учёта машинных носителей ПДн.
5. Договоры с третьими лицами (обработчиками, субподрядчиками) и соглашения о передаче ПДн.
6. Отчёты о проведённых аудитах ИСПДн (внутренний/внешний).
7. Протоколы обучения персонала и списки обученных сотрудников.
8. Документы по управлению инцидентами (журнал инцидентов, план реагирования).
9. Техническая документация: схемы сети, перечень средств защиты, результаты тестов уязвимостей.

Актуализация сведений в реестре операторов

• Проверьте, что в реестре указаны актуальные ФИО ответственного за обработку ПДн, контактные данные и перечень ИСПДн.
• Если в течение года произошли изменения (новые ИСПДн, изменение целей обработки), подайте корректирующее уведомление.

Техническая подготовка

1. Проведите внутренний аудит безопасности: сканирование уязвимостей, проверку актуальности патчей.
2. Убедитесь, что все персональные данные находятся в зашифрованных хранилищах (AES‑256 или эквивалент).
3. Настройте многофакторную аутентификацию для доступа к ИСПДн.
4. Проверьте резервное копирование: наличие резервных копий, их хранение в отдельном месте, периодичность тестирования восстановления.
5. Обновите политику работы с cookies и механизм получения согласия на их использование.

Проверка сайта

• Наличие публичной политики конфиденциальности и ссылки на неё с каждой страницы, где собираются ПДн.
• Форма получения согласия (opt‑in) и возможность отзыва согласия (opt‑out).
• Корректное отображение уведомления о сборе ПДн при регистрации/оформлении заказа.
• Отсутствие скрытого сбора данных без согласия (например, скрипты аналитики без согласия).

Организационные меры

• Назначьте ответственного за персональные данные (Data Protection Officer) – лицо, которое будет взаимодействовать с инспекторами.
• Разработайте и проведите обучение персонала по теме «Защита персональных данных», зафиксируйте результаты.
• Утвердите процесс обработки запросов субъектов ПДн (право доступа, исправления, удаления).

Типичные нарушения, выявляемые при проверке

Как избежать штрафов: рекомендации экспертов

• Регулярно проводите внутренний аудит – минимум раз в полугодие проверяйте соответствие ПП‑1119.
• Внедрите систему управления информационной безопасностью (ISMS) по ISO/IEC 27001 – это упрощает доказательство наличия адекватных мер.
• Автоматизируйте учёт запросов субъектов ПДн (портал самообслуживания, журнал запросов).
• Поддерживайте актуальность реестра операторов – любые изменения фиксируйте в течение 30 дней.
• Создайте план реагирования на инциденты и регулярно тестируйте его (тренировочные сценарии).
• Обеспечьте контроль доступа на уровне ролей, используйте MFA для администраторов.
• Периодически проверяйте соответствие сайта требованиям (privacy‑by‑design, cookie‑consent).

Полезные ресурсы

• Официальный реестр операторов ПДн: https://pd.rkn.gov.ru/operators-registry/operators-list/
• Текст ФЗ‑152: consultantplus.ru
• Постановление Правительства № 1119: garant.ru
• Приказ Минцифры № 1187 (перечень индикаторов риска): digital.gov.ru
• Чек‑лист подготовки к проверке от компании «Энсайн»: ensign.ru

Проверка Роскомнадзора – это не просто формальность, а реальная возможность выявить слабые места в системе защиты персональных данных и своевременно их устранить. При правильной подготовке (полный пакет документов, актуальная техническая защита, обученный персонал) риск получения штрафов существенно снижается, а компания демонстрирует свою ответственность перед клиентами и партнёрами.

Помните, что соблюдение требований ФЗ‑152 и ПП‑1119 – это непрерывный процесс. Регулярный мониторинг, автоматизация процессов и проактивный подход к управлению рисками помогут вашему бизнесу оставаться в правовом поле и укреплять доверие потребителей.

Дата актуализации статьи: . Информация взята из открытых источников, включая официальные документы Роскомнадзора, Приказы Минцифры и публикации экспертов в сфере защиты персональных данных.