Актуальность темы. В последние годы Федеральный сервис «Роскомнадзор» усилил контроль за соблюдением требований Федерального закона № 152‑ФЗ «О персональных данных». Нарушения могут привести к штрафам до нескольких миллионов рублей, а в случае системных нарушений – к приостановке деятельности организации. Любая компания, ИП или самозанятый, обрабатывающие персональные данные (ПДн) клиентов, сотрудников или контрагентов, могут стать объектом плановой или внеплановой проверки.

Законодательная база, регулирующая защиту ПДн

• ФЗ‑152 от «О персональных данных» – основной нормативный акт, определяющий порядок сбора, хранения, обработки и передачи ПДн.
• ФЗ‑79 от «О государственной гражданской службе РФ» – регулирует обработку ПДн государственных служащих.
• ФЗ‑420 и ФЗ‑421 от – вносят изменения в административный кодекс, повышая размер штрафов за нарушения.
• Приказы Минцифры (например, № 1187 от  в ред. от ) – определяют индикаторы риска, по которым Роскомнадзор может инициировать внеплановую проверку.

Ключевые требования закона

1. Регистрация оператора ПДн в реестре Роскомнадзора.
2. Получение согласия субъекта данных (double‑opt‑in, хранение логов).
3. Разработка и утверждение локальных нормативных актов (политика обработки ПДн, правила доступа, инцидент‑менеджмент).
4. Обеспечение технической защиты (шифрование, контроль доступа, аудит).
5. Соблюдение требований локализации и трансграничной передачи данных.

Кто может попасть под проверку?

Под проверку могут быть отнесены:

• Крупные компании (банки, онлайн‑ритейлеры, телеком‑операторы).
• Средний и малый бизнес, если они обрабатывают ПДн более 100 000 субъектов.
• Индивидуальные предприниматели и самозанятые, собирающие персональные данные (например, через CRM‑системы).
• Организации, передающие ПДн за границу в страны, не входящие в список «адекватной защиты» (США, некоторые страны ЕС и др.).

Наличие хотя бы одного индикатора риска (по Приказу Минцифры № 1187) автоматически открывает возможность проведения внеплановой проверки.

Плановые и внеплановые проверки

Процедуры обеих проверок схожи: проверяющие запрашивают документы, проводят интервью с персоналом, осматривают ИТ‑инфраструктуру и делают выборку из реальных операций с ПДн.

Что именно проверяют инспекторы?

Документальная часть

• Регистрационное уведомление в реестр Роскомнадзора.
• Локальный нормативный акт (ЛНА) – политика обработки ПДн.
• Согласия субъектов данных (электронные логи, подтверждения double‑opt‑in).
• Договоры с третьими лицами (обработчики, передатчики данных).
• Отчёты о проведённых оценках риска и модели угроз.
• Журналы доступа и аудита (лог‑файлы, SIEM‑отчёты).

Техническая часть

• Наличие средств шифрования данных в покое и при передаче.
• Контроль доступа (RBAC, MFA) к системам, где хранятся ПДн.
• Настройки аналитических сервисов (Яндекс.Метрика, Google Analytics) – сбор только анонимизированных данных до получения согласия.
• Соблюдение требований локализации: хранение персональных данных граждан РФ на территории России.
• Проверка резервного копирования и восстановления (регулярные тесты).

Практический процесс

Инспекторы оценивают, как данные действительно обрабатываются в реальном времени: кто имеет доступ, какие операции выполняются, как фиксируются инциденты и как реагируют на запросы субъектов данных (право на доступ, исправление, удаление).

Как подготовиться к проверке? Практический чек‑лист

1. Проверьте регистрацию в реестре. Убедитесь, что все сведения актуальны, а уведомление о начале обработки ПДн подано.
2. Обновите локальные нормативные акты. Политика обработки, правила доступа, инструкция по реагированию на инциденты – должны быть подписаны руководителем.
3. Соберите согласия.
   • Электронные формы – храните логи (время, IP, пользователь).
   • Для офлайн‑согласий – сканируйте и храните в защищённом архиве.
4. Проведите аудит технических средств.
   • Проверьте наличие шифрования (TLS 1.2+, AES‑256).
   • Убедитесь, что доступ к базам ПДн имеет только ограниченный круг сотрудников.
   • Настройте SIEM‑систему для сбора журналов доступа.
5. Проверьте сервисы аналитики. Убедитесь, что Яндекс.Метрика, Google Analytics собирают только анонимные данные до получения согласия.
6. Оцените трансграничную передачу. Если данные передаются за пределы РФ, проверьте наличие договоров с получателями из стран, обеспечивающих адекватную защиту (по текущему списку Роскомнадзора).
7. Подготовьте ответы на типовые запросы инспекторов.
   • Кто имеет доступ к ПДн и на каком основании?
   • Как происходит удаление данных по запросу субъекта?
   • Какие меры приняты в случае утечки?
8. Проведите внутренний «пробный аудит». Пригласите независимого специалиста или используйте чек‑лист от сертифицированного аудитора.
9. Обучите персонал. Проведите инструктаж по работе с ПДн и правилам взаимодействия с проверяющими.

Перечень обязательных документов (пример)

• Уведомление о начале обработки ПДн (форма ФЗ‑152).
• Локальный нормативный акт (политика обработки ПДн).
• Регламент доступа к информационным системам.
• Договоры с обработчиками и передатчиками данных (включая соглашения о конфиденциальности).
• Согласия субъектов (электронные логи, сканы).
• Отчёт об оценке риска и модели угроз.
• Журналы аудита (лог‑файлы, SIEM‑отчёты) за последние 12 месяцев.
• План реагирования на инциденты и протоколы реальных инцидентов (если были).
• Документация по резервному копированию и восстановлению.
• Отчёт о проверке соответствия требованиям локализации (место хранения данных).

Технические меры защиты, которые проверяют в первую очередь

Как вести себя во время проверки?

1. Сохраняйте спокойствие и открытость. Инспекторы имеют право запросить документы и доступ к системам, но не могут требовать раскрытия коммерческой тайны, не связанной с ПДн.
2. Назначьте ответственного. Это может быть Директор по информационной безопасности (CISO) или главный юрист.
3. Предоставляйте только запрошенные материалы. Если требуется уточнение, уточняйте цель запроса.
4. Записывайте все запросы и ответы. Это поможет в дальнейшем подготовить отчет о проверке.
5. Не пытайтесь скрыть нарушения. Само признание и готовность к исправлению снижают риск крупных штрафов.
6. После проверки получите протокол. В нём указаны выявленные нарушения и сроки их устранения.

Последствия несоблюдения требований

• Штрафы за отсутствие согласия – от 5 000 руб. до 5 млн руб. за каждый случай.
• Штрафы за отсутствие регистрации в реестре – до 6 млн руб.
• Штрафы за нарушение требований локализации – от 2 млн руб. за каждый случай передачи данных за границу без надлежащего основания.
• Возможность приостановки обработки ПДн, что может привести к остановке бизнес‑процессов.
• Репутационные потери и потенциальные судебные иски со стороны субъектов данных.

Практические рекомендации и выводы

Делайте проверку «внутри» регулярно. Плановый внутренний аудит раз в полгода поможет выявить пробелы до визита Роскомнадзора.

Автоматизируйте процесс согласий. Используйте сервисы, которые фиксируют double‑opt‑in и сохраняют логи в неизменяемом виде.

Интегрируйте защиту в жизненный цикл разработки (DevSecOps). Каждый новый сервис или модуль должен проходить проверку на соответствие требованиям ПДн.

Обучайте персонал минимум раз в год. Тренинги по защите ПДн снижают риск человеческой ошибки.

Сотрудничайте с профессиональными аудиторами. Независимая оценка (например, от ФСТЭК или сертифицированных ИБ‑консультантов) повышает доверие регулятора.

Подготовка к проверке Роскомнадзора – это не разовая акция, а постоянный процесс управления рисками. Системный подход, документальная чистота и техническая готовность позволяют не только избежать штрафов, но и укрепить доверие клиентов и партнёров.

Дата публикации: 07:15:12