В 2026 году контроль за соблюдением законодательства о персональных данных (152-ФЗ) достиг беспрецедентного уровня. Роскомнадзор (РКН) проводит как плановые, так и внеплановые проверки, а также масштабные автоматизированные мониторинги сайтов совместно с Прокуратурой РФ. Штрафы за нарушения исчисляются миллионами рублей, а репутационные риски — утечками данных и блокировками ресурсов. В этой статье мы подробно разберем, как выстроить грамотное взаимодействие с надзорным органом на всех этапах: от подготовки к проверке до обжалования результатов.

Правовая база и виды проверок

Деятельность Роскомнадзора по контролю за обработкой персональных данных (ПДн) регулируется:

• Федеральным законом от № 152-ФЗ «О персональных данных» (основной закон).
• Федеральным законом «О государственном контроле (надзоре) и муниципальном контроле в Российской Федерации» (общие правила проведения проверок).
• Административным кодексом РФ (КоАП РФ) — ст. 13.11 (нарушение законодательства о персональных данных).
• Постановлениями Правительства РФ и приказами Роскомнадзора (порядок уведомления, требования к защите).

Плановые проверки

Проводятся на основании плана проверок, утверждаемого Роскомнадзором. О планах можно узнать на официальном сайте ведомства в разделе «Планы проверок». Важно: с 2021 года введены ограничения на проведение плановых проверок малых предприятий и МСП (морatoria), однако они не распространяются на все категории операторов и основания проверки.

Внеплановые проверки

В 2026 году перечень оснований для их проведения значительно расширен. Ключевые основания:

• Обращения граждан (жалобы на спам, утечки, отсутствие политики конфиденциальности).
• Информация из СМИ и интернета о нарушениях (утечки данных, компрометация баз).
• Результаты межведомственного информационного взаимодействия (данные от ФНС, ФСС, прокуратуры, банков).
• Анализ информации, представленной оператором самостоятельно (в уведомлении о начале обработки, в отчетах). Если в уведомлении указаны процессы, которые не соответствуют реальности — это повод для выездной проверки.
• Выявление признаков утечки персональных данных (в т.ч. по данным ГосСОПКА).

Автоматизированные проверки (мониторинг сайтов)

Специфика 2025–2026 гг. — массовые удаленные проверки веб-ресурсов. Боты РКН и Прокуратуры сканируют сайты на наличие:

• Политики конфиденциальности (доступной по ссылке в футере).
• Форм сбора данных с чек-боксом согласия (Double Opt-in для рассылок).
• Уведомления в реестре операторов (наличие записи на pd.rkn.gov.ru).
• Соответствия реальных процессов заявленным в уведомлении.

Результат такого мониторинга, предписание об устранении нарушений или протокол об административном правонарушении, направляемый по почте/ЭДО без визита инспектора.

Подготовка к проверке: «Витрина документов» и команда

Главное правило: подготовка начинается задолго до прихода инспектора. Продуманная связка юриста и ИТ-специалиста экономит ресурсы и нервы.

Назначение ответственных лиц (Внутренний контроль)

Прикажите по организации:

1. Ответственного за защиту ПДн (ДПО / Data Protection Officer) — центральная фигура для общения с РКН. Его ФИО и контакты должны быть в уведомлении и на сайте.
2. Контактное лицо для взаимодействия с инспектором (часто тот же ДПО или юрист), который встречает комиссию, выдает документы, подписывает протоколы.
3. ИТ-специалиста / Администратора безопасности — для демонстрации технических мер защиты (СЗИ, логи доступа, настройки бэкапов, шифрование).

Формирование «Витрины документов» (Чек-лист для инспектора)

Инспектор имеет право запросить только те документы, которые относятся к предмету проверки. Подготовьте пакет заранее (в бумажном и электронном виде):

Процедура взаимодействия во время выездной проверки

Срок проведения проверки (плановой и внеплановой) — не более 20 рабочих дней (может быть продлен руководителем РКН до 10 рабочих дней в сложных случаях).

Начало проверки: Встреча и предъявление документов

• Попросите инспектора предъявить служебное удостоверение и предписание (распоряжение) о проведении проверки, подписанное руководителем территориального органа РКН (или уполномоченным лицом).
• Проверьте в предписании: предмет проверки, основание, сроки, состав комиссии, перечень запрашиваемых документов/информации.
• Составьте акт осмотра помещений (если инспектор требует доступ к серверной, архивам, рабочим местам). Присутствие вашего ИТ-специалиста обязательно.
• Не отказывайте в доступе к документам, но выдавайте их под роспись в журнале выдачи (кто, что, когда получил, когда вернул).

Работа с запросами инспектора

Золотое правило: «Не лгите, но не волонтерите излишней информацией». Отвечайте строго по предмету проверки, указанному в предписании.

• Если запрашивают документы, не входящие в предмет проверки — пишите мотивированный отказ со ссылкой на ст. 11 Закона «О гос. контроле…».
• Требуют доступ к ИС (информационным системам)? Предоставляйте «чтение» (read-only) под наблюдением вашего админа. Не давайте пароли админа инспектору.
• Запросы устные — просите зафиксировать их письменно (через ЭДО или на бумаге с входящим номером).

Ключевые фокусы внимания инспекторов в 2026 году

Исходя из практики и приоритетов РКН, проверяют в первую очередь:

1. Соответствие реальности уведомлению. Обрабатываете ли вы те категории данных, у которых указаны те цели, что заявлены? Используете ли вы те ИС, что описаны?
2. Согласия. Есть ли они? Правильно ли оформлены (свободная, конкретная, информированная, однозначная)? Есть ли логи фиксации (Double Opt-in для маркетинга)?
3. Уведомление РКН. Подали ли? Актуально ли? (Напоминание: уведомление подается один раз, но при изменении сведений, в течение 30 дней).
4. Локальные акты. Существуют ли? Соответствуют ли ст. 19, 22 152-ФЗ? Знают ли сотрудники инструкции? (Инспектор может опросить случайного менеджера/HR).
5. Техническая защита. Есть ли СЗИ, соответствующие уровню угроз? Настроено ли логирование доступа к ПДн? Есть ли защита от утечек (DLP)?
6. Права субъектов. Как обрабатываются запросы «Удалите мои данные»? Срок 30 дней соблюдается?
7. Передача третьим лицам. Есть ли договоры поручения (ст. 28 152-ФЗ) с CRM, рассылками, облаками, колл-центрами?

Внеплановая проверка / Инцидент: Скорость реакции

Если проверка вызвана утечкой данных или жалобой (внеплановая), тактика меняется: ключевым становится быстрый сбор доказательств, оценка инцидента и корректное уведомление.

Уведомление об утечке (ст. 22.1 152-ФЗ, Постановление Правительства № 1719)

• Оператор обязан уведомить Роскомнадзор в течение 24 часов с момента обнаружения утечки (если она создает угрозу правам субъектов).
• Уведомляются также субъекты ПДн (если утечка может повлечь вред).
• Готовьте проект уведомления заранее (шаблон на сайте РКН). Укажите: что утекло, когда, причины, принятые меры, контакты ДПО.

Расследование инцидента

Перед приходом инспектора (или параллельно) проведите внутреннее расследование:

• Определите вектор атаки / причину утечки (взлом, инсайдер, ошибка настройки, потеря флешки).
• Соберите логи (SIEM, брандмауэр, DLP, доступы к БД).
• Оцените объем пострадавших субъектов и категории данных.
• Разработайте план ликвидации последствий и предотвращения повторения.

Важно: Наличие документированного процесса реагирования на инциденты и его реального применения — мощный смягчающий фактор при назначении штрафа.

Завершение проверки: Акт, Предписание, Протокол

Акт проверки

Составляется по итогам проверки. В нем фиксируются выявленные нарушения и меры по их устранению. У вас есть право:

• Ознакомиться с актом перед подписанием.
• Написать мотивированное несогласие с отдельными пунктами прямо в акте (графе «Замечания проверяемого лица») или приложить отдельное мнение.
• Не подписывать акт, если категорически не согласны (инспектор сделает отметку «отказался подписать»), но лучше подписать с замечаниями — это сохраняет право обжалования.

Предписание об устранении нарушений

Выдается, если нарушения устранимы (нет уведомления, нет политики на сайте, не оформлены согласия).

• Срок исполнения устанавливает инспектор (обычно 10–30 дней).
• Исполните в срок и направьте отчет об исполнении в РКН (почта/ЭДО).
• Неисполнение предписания — отдельная статья КоАП (ст. 19.5) и штрафы на должностных лиц.

Протокол об административном правонарушении (ст. 13.11 КоАП РФ)

Составляется на инспекторе или судом (если дело передается в суд). Штрафы 2026 года:

• На должностных лиц: 10 000 – 50 000 руб. (повторно, до 100 000 руб. или дисквалификация).
• На ИП: 15 000 – 75 000 руб. (повторно — до 300 000 руб. или приостановка деятельности).
• На юрлиц: 30 000 – 150 000 руб. (повторно, до 500 000 руб.).
• За утечку ПДн (ч. 3 ст. 13.11): на юрлиц — 300 000 – 1 500 000 руб. (повторно — до 3 000 000 руб.).
• За неуведомление РКН (ч. 1 ст. 13.11): на юрлиц — 30 000 – 75 000 руб.

Обжалование решений Роскомнадзора

Не согласны с актом, предписанием или протоколом? Действуйте по двум трактам (могут идти параллельно):

Административный порядок (в вышестоящий орган РКН)

• Жалоба в Центральный аппарат Роскомнадзора (Москва) на действия территориального органа.
• Срок: 10 дней со дня получения копии акта/предписания/протокола.
• Рассматривается в течение 30 дней (может быть продлен до 60).
• Приостанавливает исполнение предписания (если заявлено ходатайство).

Судебный порядок (АС РФ)

• Иск в Арбитражный суд по месту нахождения территориального органа РКН (ответчик — конкретное УФАС/терорган РКН).
• Срок: 3 месяца со дня получения копии акта/предписания/протокола.
• Можно требовать: признать акт/предписание неным, отменить протокол, вернуть штраф.
• Судебная практика 2024–2025 гг. показывает: суды часто встают на сторону бизнеса, если РКН выходит за рамки предмета проверки, нарушает процедуру или штраф несоразмерен тяжести нарушения.

Практический чек-лист «День проверки» (для распечатки)

1. [ ] Встретить инспектора, проверить удостоверение и предписание. Сфотографировать/скопировать.
2. [ ] Вызвать ДПО, юриста, ИТ-админа. Назначить сопровождающего (не оставлять инспектора одного).
3. [ ] Предоставить рабочее место для инспектора (отдельный стол, розетка, Wi-Fi гостевой).
4. [ ] Выдать запрошенные документы под роспись в Журнале выдачи.
5. [ ] Обеспечить доступ к ИС в режиме «только чтение» под наблюдением админа.
6. [ ] Зафиксировать все устные вопросы инспектора просьбой прислать их письменно.
7. [ ] В конце дня: получить копию акта осмотра/промежуточного акта;
8. [ ] Провести совещание штаба: что выявлено, какие риски, что готовим к завтрашнему дню.
9. [ ] По итогам: ознакомиться с итоговым Актом, написать замечания, получить копию.
10. [ ] Получить Предписание/Протокол, сразу начать подготовку обжалования/исполнения.

Типичные ошибки, которые стоят миллионы

• Игнорирование уведомления РКН. «Мы маленькие, нас не проверят». Автоматизированные боты проверяют всех. Штраф за неуведомление + штраф за обработку без уведомления.
• Копипаст политики конфиденциальности. Документ есть, но процессы в нем не описаны или не соответствуют реальности. Инспектор сравнивает уведомление, политику и реальность, расхождение = нарушение.
• Отсутствие логов согласий. Чек-бокс на сайте стоит, но в БД нет записи: кто, когда, с какого IP, какой версии формы согласился. Для РКН это = отсутствие согласия.
• Нет договоров поручения с подрядчиками. Передаете данные в CRM, почтовик, колл-центр, 1С в облаке, без договора ст. 28 152-ФЗ это незаконная передача третьим лицам.
• Просрочка ответов субъектам. Запрос «Удалите данные» лежал у юриста 40 дней. Штраф гарантирован.
• Скрытие утечки. Попытка «разобраться самим» без уведомления РКН за 24 ч. Аггravating circumstance (отягчающее обстоятельство) при назначении штрафа до 3 млн руб.

Резюме: Стратегия «Прозрачность и Готовность»

Взаимодействие с Роскомнадзором в 2026 году строится не на конfrontации, а на демонстрации управляемого процесса. Надзорный орган проверяет не «идеальность», а соответствие заявленному (в уведомлении и ЛНА) и закону.

Главные пиляры безопасности:

1. Актуальное уведомление в реестре РКН (проверьте себя на pd.rkn.gov.ru).
2. Живая модель защиты (ЛНА), которую знают сотрудники и которая работает в ИТ-системах.
3. Доказательная база по каждому процессу: логи согласий, журналы запросов, акты инвентаризации, настройки СЗИ.
4. Готовая команда (ДПО + Юрист + ИТ) и отработанный план действий на случай проверки/инцидента.

Инвестиции в подготовку (аудит, разработка документов, внедрение СЗИ, обучение персонала) в 10–50 раз дешевле штрафов, судебных издержек и репутационных потерь от публичного разоблачения в реестре нарушителей Роскомнадзора. Начните с аудита сегодня.

Данная статья носит информационный характер и не является правовой консультацией. Для решения конкретных вопросов обратитесь к квалифицированному юристу по защите персональных данных. Актуально на .