С 2025 года проверки Роскомнадзора стали существенно более строгими. Это связано с ужесточением требований к операторам персональных данных, ростом объемов обрабатываемой информации и переходом ведомства к преимущественно профилактическим и плановым мероприятиям с использованием автоматизированных систем мониторинга (АСМ). Штрафы за нарушения законодательства о персональных данных (152-ФЗ) могут достигать 18 млн рублей за повторные нарушения (ст. 13.11 КоАП РФ), а за утечки данных — до 500 млн рублей (ст. 13.11 ч. 3 КоАП РФ). В этой статье мы подробно разберем, как подготовиться к проверке, какие документы должны быть в идеальном порядке и как построить линию защиты при выявлении нарушений.

Виды проверок Роскомнадзора: чего ждать в 2026 году

Понимание типа проверки определяет стратегию поведения бизнеса. Законодательство (ФЗ-294 «О защите прав юридических лиц и ИП при осуществлении государственного контроля (надзора)») делит их на основные категории:

• Плановые проверки: Проводятся на основании плана проверок, утвержденного ведомством. Частота — не чаще 1 раза в 3 года для субъектов МСП (кроме высокорисковых); В 2025–2026 гг. плановые проверки возобновились после моратория.
• Внеплановые проверки: Назначаются по основаниям: обращения граждан/юридических лиц (жалобы на спам, утечки, отказ в доступе к ПДн), сообщения СМИ, поручения Президента/Правительства/Генпрокуратуры, результаты профилактических посещений.
• Профилактические посещения: Не являются проверками в строгом смысле (нет акта, нет штрафов). Цель — консультирование. Однако инспектор составляет протокол, и выявленные замечания становятся основанием для назначения внеплановой проверки, если они не устранены в срок.
• Камеральные проверки (дистанционные): Проводится на основании предоставленных документов без выезда на место. Часто касаются проверки уведомлений о обработке ПДн, наличия политики конфиденциальности на сайте, локализации баз данных.
• Мониторинг в автоматическом режиме (АСМ): Роскомнадзор использует ботов для сканирования сайтов на наличие форм сбора данных, политики конфиденциальности, cookies-баннеров, указания правовой основы обработки.

Ключевые направления проверки в 2025–2026 гг. (Чек-лиск рисков)

Инспекторы фокусируются на конкретных «больных местах». Подготовка должна быть точечной:

Документальное оформление процессов (Артефакты 152-ФЗ)

• Уведомление Роскомнадзора: Актуальность сведений (нет ликвидированных целей, добавлены новые виды ПДн, например, биометрия). Наличие уведомления в реестре (кроме исключений ст. 22 152-ФЗ).
• Политика конфиденциальности (на сайте и внутри компании): Соответствие ст. 18.1 152-ФЗ (п. 1–9): цели, правовые основы, перечень ПДн, сроки, меры защиты, права субъектов, перечень третьих лиц (подрядчиков).
• Локальные нормативные акты (ЛНА): Полный пакет: Положение о защите ПДн, Инструкция по организации защиты, Положение о доступе к ПДн, Журналы учета (носителей, доступа, инцидентов), Порядок реагирования на инциденты (утечки).
• Согласия субъектов ПДн: Форма (бумажная/электронная), содержание (конкретные цели, срок, отзыв), доказательства получения (логи, подписи). Проверка согласий на маркетинг (рекламные рассылки — ст. 15 152-ФЗ + ФЗ «О рекламе»).

Технические и организационные меры защиты (Томзащита)

• Модель угроз: Наличие актуальной модели угроз (утвержденной руководителем), соответствующей текущей ИТ-инфраструктуре.
• Средства защиты информации (СЗИ): Использование сертифицированных ФСТЭК/ФСБ средств (антивирусы, МЭ, СКЗИ, DLP, SIEM). Наличие сертификатов соответствия и актов внедрения.
• Персонализация доступа: Учетные записи именные, разграничение прав (RBAC), двухфакторная аутентификация (2FA) для удаленного доступа и привилегированных пользователей.
• Шифрование: При передаче (TLS 1.2+/VPN) и хранении (БД, бэкапы) ПДн, особенно биометрии и спецкатегорий.
• Журналирование и мониторинг: Хранение логов событий безопасности не менее 1 года (требование ФСТЭК/152-ФЗ). Наличие процедуры анализа логов.

Работа с подрядчиками (Передача ПДн третьим лицам)

• Наличие договоров с операторами/уполномоченными лицами (ст. 28 152-ФЗ) с обязательными условиями: предмет, цели, меры защиты, обязанность уведомлять об инцидентах, аудит.
• Проверка подрядчиков на надежность (Due Diligence) перед передачей данных.
• Контроль за исполнением обязательств подрядчиками (аудит, отчеты).

Локализация баз данных (Ст. 18 152-ФЗ)

• Хранение баз данных, содержащих ПДн граждан РФ, на территории РФ.
• Исключения: трансграничная передача по основаниям ст. 12 152-ФЗ (согласие, договор, защита прав). Наличие доказательств основания для передачи за рубеж.

Реализация прав субъектов ПДн

• Процедура обработки запросов (ст. 14, 21 152-ФЗ): сроки (30 дней продлевается до 60), форма ответа, основания отказа.
• Право на удаление / отзыв согласия: техническая возможность полного удаления (включая бэкапы, логи, архивы) или обезличивания.

Алгоритм действий при получении уведомления о проверке

1. Проверка законности назначения: Есть ли основание (план, жалоба, поручение)? Соответствует ли срок проведения нормам ФЗ-294 (обычно до 20 рабочих дней, в сложных случаях до 30 с продлением)?
2. Назначение ответственного лица (Координатора): Четко зафиксируйте одного сотрудника (ДПО / юриста / ИБ-специалиста) за взаимодействием с инспектором. Все запросы, только через него.
3. Аудит «по чек-листу инспектора» за 24–48 часов: Пройдитесь по пунктам раздела 2. Устраните «быстрые выигрыши» (обновить политику на сайте, подписать приказа о назначении ответственных, распечатать журналы).
4. Подготовка пакета документов по требованию: Инспектор имеет право запросить только те документы, что относятся к предмету проверки. Не предоставляйте «всё подряд». Составьте опись передаваемых документов (в 2 экземплярах, под роспись).
5. Обеспечение доступа к ИС: Если инспектор требует доступ к системам, предоставляйте только под контролем вашего админа, в режиме «только чтение», без паролей админов. Составляйте протокол доступа.

Стратегия поведения во время выездной проверки

• Не мешайте, но не помогайте излишне. Отвечайте четко по существу вопроса. Не волонтерски сообщайте о проблемах, не заданных инспектором.
• Фиксируйте всё. Ведите свой журнал действий инспектора: кто, когда, что запрашивал, что смотрел, с кем разговаривал. Фото/видео фиксация (законна в нетайных помещениях) — ваше право.
• Объяснения сотрудников. Инструктируйте персонал: разговаривать с инспектором только по служебке, в присутствии координатора. Не подписывать протоколы допроса/опроса без юриста. Имеют право отказаться давать объяснения (ст. 51 Конституции РФ), но лучше дать письменные пояснения через юриста.
• Изъятие документов/носителей. Инспектор может изымать оригиналы только по протоколу с указанием причины. Требуйте выдачу копий (заверенных инспектором) сразу же. Жесткие диски/серверы изымать не имеют права (только копии информации).

Работа с результатами: Акт проверки и Предписание

По итогам составляется Акт проверки (если нарушений нет) или Акт проверки + Предписание об устранении нарушений (если есть).

Анализ акта и предписания

• Проверьте соответствие фактов нарушений норме права (квалификация). Часто инспекторы квалифицируют одно действие как несколько нарушений (накопление штрафов).
• Проверьте сроки устранения в предписании (должны быть адекватны сложности).
• Оцените риск возбуждения дела о КоАП (ст. 13.11, 13.11.1, 19.7.5-2 и др.).

Обжалование (Апелляция в вышестоящее управление Роскомнадзора / Суд)

• Срок: 10 дней со дня получения копии акта/предписания (для судебного порядка — 3 месяца).
• Основания: Процедурные нарушения (нет уведомления, нарушен срок, некомпетентный состав комиссии), несоответствие фактов реальности, неправильная правовая квалификация, непропорциональность меры (штрафа/предписания).
• Тактика: Часто эффективно обжаловать именно предписание в суде (АС РФ), так как это приостанавливает сроки устранения и штрафы за неисполнение предписания (ст. 19.7.5-2 КоАП РФ, до 500 тыс. руб. для юрлиц).

Исполнение предписания (если обжалование не помогло или нецелесообразно)

• Устраняйте нарушения докладно (фото, скрины, акты внедрения, новые версии документов).
• Направляйте отчет об исполнении в Роскомнадзор заказным письмом с описью вложения / через Госуслуги / ЕИС.
• Сохраняйте доказательства исполнения на случай повторной проверки.

Профилактика: Построение системы соответствия (Compliance)

Лучшая защита — система, где проверка — это рутинная процедура, а не стресс.

Топ-5 мифов, которые стоят бизнесу миллионы

1. «У нас нет персональных данных, мы B2B». -> ФИО директора, бухгалтера, контактные лица в договорах, IP-адреса, cookies — это ПДн. 152-ФЗ применяется почти ко всем.
2. «Мы поставили DLP/Антивирус — мы защищены». -> Технические средства без документов (модели угроз, приказов, журналов, обученных людей) не работают на проверке. Инспектор проверяет процесс, а не коробки.
3. «Согласие пользователя на сайте (галочка) решает всё». -> Галочка должна быть необязательной, раздельной по целям, с ссылкой на политику. Согласие — не единственная база (ст. 6 152-ФЗ). Часто удобнее «договор» или «законный интерес» (для операторов связи/банков).
4. «Профилактическое посещение — это безобидно, можно не готовиться». -> Замечания в протоколе посещения = 100% основание для внеплановой проверки через 30–60 дней.
5. «Штраф 15-30 тыс. руб. — дешевле, чем нанимать ДПО/юриста». -> Речь идет о повторных штрафах (до 18 млн), штрафах за утечки (до 500 млн), блокировке ресурсов, репутационных потерях и претензиях субъектов (моральный вред до 100 тыс. руб. за факт).

Защита бизнеса от штрафов Роскомнадзора в 2026 году — это не разовый акт «подготовки к проверке», а результат зрелости процессов управления персональными данными (Privacy Management). Ключевые столпы успеха:

• Прозрачность: Четкое понимание, какие ПДн, зачем и как долго вы храните.
• Документированность: Если нет документа — действия не было (позиция инспекторов и судов).
• Компетентность: Наличие квалифицированного ДПО (внутреннего или аутсорсингового), который говорит с инспектором на одном языке.
• Технологичность: Автоматизация рутинных процессов (учет согласий, обработка запросов субъектов, мониторинг утечек, управление уведомлениями).

Инвестиции в построение системы соответствия (Compliance) по 152-ФЗ возвращаются не только отсутствием штрафов, но и доверием клиентов, партнеров и инвесторов, для которых защита данных — обязательный критерий Due Diligence.

Данная статья носит информационный характер и не является правовым консультированием. Для решения конкретных вопросов рекомендуется обратиться к квалифицированному юристу по защите персональных данных.