Цель статьи – дать практические рекомендации операторам персональных данных (ОПД) о том, как правильно подготовиться к проверкам, какие документы и технические меры необходимо иметь в наличии, а также какие права и обязанности возникают у сторон в процессе взаимодействия с инспекторами Роскомнадзора.

Правовая база проведения проверок

Роскомнадзор (Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций) осуществляет государственный контроль и надзор за обработкой персональных данных в соответствии с:

• Федеральным законом № 152‑ФЗ «О персональных данных» (от );
• Приказом Роскомнадзора от № 123 «Об организации и осуществлении государственного контроля и надзора за обработкой персональных данных»;
• Иными нормативными актами, регламентирующими порядок проведения выездных проверок, выдачу предписаний и применение мер ответственности.

Проверка может быть плановой (в соответствии с графиком, установленным органом) или внеплановой (по факту получения жалобы, сообщения о нарушении и т.п.).

Что проверяет Роскомнадзор в 2026 году?

Согласно актуальной информации, инспекторы в ходе проверок уделяют особое внимание следующим аспектам:

1. Документальному обеспечению:
   • Политика и регламенты по обработке ПДн;
   • Положения, приказы, реестры согласий, журналы согласий;
   • Уведомления в Роскомнадзор о начале обработки;
   • Договоры с подрядчиками‑обработчиками;
   • Акты об уничтожении персональных данных по истечении срока их хранения.
2. Техническим и программным средствам защиты:
   • Наличие антивирусной защиты и актуальных сигнатур;
   • Настройки межсетевых экранов (фаерволов);
   • Применение шифрования при передаче и хранении данных;
   • Средства контроля доступа (IAM, RBAC);
   • Системы обнаружения и реагирования на инциденты (SIEM, IDS/IPS).
3. Организационным мерам:
   • Программы обучения сотрудников работе с ПДн;
   • Регулярные аудиты и тесты на уязвимости;
   • Документация по классификации данных, модели угроз и мерам их нейтрализации.

Как происходит взаимодействие с инспектором?

Процесс обычно выглядит так:

1. Уведомление о проверке. Инспектор направляет официальное письмо, в котором указываются:
   • Основания проверки (плановая/внеплановая);
   • Перечень проверяемых требований (сбор форм, куки, журналы согласий и т.д.);
   • Сроки и формат взаимодействия;
   • Контактные данные инспектора.
2. Подготовка и предоставление документов. Оператор обязан в установленный срок предоставить запрошенные материалы. При невозможности сразу предоставить документ – необходимо оформить объяснительное письмо.
3. Выездная проверка. Инспектор посещает помещения, используемые для обработки ПДн, и проводит их обследование. При этом может использовать принадлежащую органу технику (но без взаимодействия с оператором).
4. Выдача предписаний. По результатам проверки оформляется предписание об устранении выявленных нарушений. Срок их исполнения обычно составляет 10‑30 дней.
5. Контроль за выполнением предписаний. После устранения нарушений оператор предоставляет доказательства (акты, журналы, скриншоты) и получает закрытие дела.

Чек‑лист подготовки к проверке

Ниже – практический список того, что необходимо иметь «под рукой».

• Документы:
  • Политика конфиденциальности и регламенты обработки ПДн;
  • Реестр согласий (включая электронные подписи);
  • Журналы доступа к персональным данным;
  • Акты об уничтожении ПДн;
  • Уведомления в Роскомнадзор и подтверждения их получения;
  • Договоры с подрядчиками‑обработчиками (с указанием обязанностей по защите ПДн);
  • Программы обучения персонала и подтверждения их прохождения.
• Технические средства:
  • Отчёты о работе антивирусов и обновлениях;
  • Конфигурации межсетевых экранов и VPN;
  • Схемы шифрования (TLS, AES) при передаче и хранении;
  • Логи SIEM за последние 6‑12 месяцев;
  • Список используемых СУБД и их версии.
• Организационные меры:
  • План действий на случай проверки (дорожная карта);
  • Назначенный ответственный за взаимодействие с Роскомнадзором;
  • Регламент доступа к помещениям и ИТ‑системам (контрольные листы);
  • Протоколы тестов на уязвимости и результаты их исправления.

Права и обязанности оператора при проверке

Частые ошибки и как их избежать

• Отсутствие актуального реестра согласий. Регулярно обновляйте и храните электронные подписи.
• Недостаточная защита технических средств. Проводите ежегодные аудиты антивирусов, фаерволов и шифрования;
• Не назначен ответственный за взаимодействие. Назначьте конкретного сотрудника (например, DPO) и задокументируйте его полномочия.
• Отсутствие планов реагирования. Разработайте дорожную карту, включающую сценарии «проверка», «инцидент», «запрос данных».
• Неправильное хранение носителей ПДн. Ограничьте физический доступ, используйте шифрование и журналирование доступа.

Пример «дорожной карты» взаимодействия

Получение уведомления → фиксировать дату, номер письма, контактные данные.
Назначение ответственного → DPO + юридический отдел.
Сбор документов (по чек‑листу) → подготовка копий, электронных версий.
Предварительная проверка внутренними аудиторами → устранение очевидных несоответствий.
Организация встречи с инспектором → присутствие DPO, ИТ‑менеджера, юриста.
Проведение выездной проверки → предоставление доступа, ответы на вопросы.
Получение предписания → фиксировать сроки, распределить задачи.
Устранение нарушений → документировать выполненные действия.
Отчет о выполнении → отправить в Роскомнадзор, получить подтверждение закрытия.
Обновление политики и чек‑листа → предотвращение повторных нарушений.

Взаимодействие с инспекторами Роскомнадзора – это не просто формальная процедура, а важный элемент управления рисками в сфере персональных данных. При правильной подготовке, наличии актуальной документации и надёжных технических мер оператор может не только избежать штрафов, но и повысить уровень доверия со стороны клиентов и партнёров.

Помните: своевременное реагирование, прозрачность процессов и постоянное улучшение системы защиты ПДн – ключ к успешному прохождению проверок и к устойчивому развитию бизнеса.

Дата публикации: