Проверка Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор, РКН) — это стресс-тест для любой организации, обрабатывающей персональные данные (ПДн). С 2025–2026 годов надзорная деятельность существенно усилилась: увеличены штрафы, ужесточены требования к локализации, уведомлению об утечках и технической защите. В этой статье мы подробно разберем, как подготовиться к проверке, какие документы оформить, как защитить сайт и внутренние процессы, чтобы избежать миллионных штрафов и приостановки деятельности.

Правовая база и ключевые изменения 2025–2026 годов

Основным документом регулирующим сферу является Федеральный закон от № 152-ФЗ «О персональных данных». Однако практика применения меняется быстро. Ключевые тренды, которые учитывают инспекторы РКН на текущий момент:

• Уведомление об утечках: Обязательность уведомления Роскомнадзора о нарушении безопасности ПДн. Штрафы до 3 млн рублей за утечку «обычных» данных и до 20 млн рублей — за утечку биометрических данных (ст. 13.11 КоАП РФ).
• Локализация данных: Жесткий контроль соблюдения требования о записи, систематизации, накоплении, хранении, уточнении (обновлении, изменении), извлечении ПДн граждан РФ с использованием баз данных, расположенных на территории РФ (ст. 18 152-ФЗ).
• Внеплановые проверки: Инициируются по жалобам субъектов данных, сообщениям в СМИ или данным о кибератаках (DDoS, утечки). В феврале-марте 2026 года зафиксирован рост атак на госресурсы, что повышает внимание к защите КИИ и ПДн.
• Принцип «Документы + Практика»: Инспекторы оценивают не только наличие бумаг, но и реальную организацию процессов (ст. 18, ч. 1 152-ФЗ, ПП РФ № 1119).

Классификация проверок: к чему готовиться

По ФЗ № 294-ФЗ «О защите прав юрлиц и ИП при осуществлении госконтроля (надзора)…» проверки делятся на:

1. Плановые: Проведение по утвержденному графику (раз в 3 года для микропредпринимателей, чаще для остальных). Обязательно уведомление за 3–5 рабочих дней (приказ направляется оператору).
2. Внеплановые: Без предварительного уведомления. Основания: жалобы граждан, утечки данных, поручения вышестоящих органов, итоги предыдущих проверок.
3. Профилактические визиты: Для малых предприятий (включая самозанятых) — без составления акта, с выдачей предписания об устранении нарушений в течение срока до следующей проверки.

Важно: Даже если вы ИП или самозанятый, но обрабатываете ПДн клиентов/сотрудников, вы оператор и подлежите проверке.

Обязательный пакет документов: что запросит инспектор в первую очередь

При получении приказа о проверке (п. 11 приказа) и по прибытии инспекторов (предъявление служебных удостоверений и копии приказа) вам потребуется предъявить следующий перечень (базовый, согласно рекомендациям РКН, Контура, Гладиаторов ИБ и судебной практике):

Организационно-распорядительные документы (ЛНА — локальные нормативные акты)

• Приказ о назначении ответственного за организацию обработки ПДн (обязателен для любого оператора).
• Политика в отношении обработки персональных данных (п. 1 ч. 1 ст. 18.1 152-ФЗ) — публикуется на сайте.
• Правила внутреннего распорядка / Инструкция по защите ПДн для сотрудников, допущенных к обработке.
• Уведомление Роскомнадзора о начале обработки ПДн (или подтверждение внесения в реестр, если не подпадаете под исключения ст. 22 152-ФЗ).

Документы по оценке рисков и защите (ПП РФ № 1119)

• Акт категорирования объектов информатизации (ОИ) / Акт определения уровней защищенности ИСПДн (1–4 уровень или КИИ).
• Модель угроз для каждого уровня защищенности.
• Перечень мер защиты информации (МЗИ), реализуемых в соответствии с моделью угроз и уровнем защищенности.
• Схема взаимодействия подсистем защиты (для 1–3 уровней).

Журналы учета и контроля (физические или электронные с ЭП)

• Журнал учета обращений субъектов ПДн (реализация прав: доступ, исправление, удаление, отзыв согласия). РКН обязательно проверяет его наличие и заполнение.
• Журнал проведения инструктажей по ИБ (вводный, первичный на рабочем месте, повторный, внеплановый, целевой).
• Журнал учета мероприятий по контролю обеспечения защиты ПДн (результаты внутренних аудитов, проверки рабочих станций, серверов).
• Журнал учета машинных носителей ПДн (выдача, возврат, уничтожение флешек, дисков).
• Журнал учета инцидентов ИБ / утечек ПДн (даже если утечки не было, журнал должен существовать).
• Журнал учета проверок контролирующими органами (для КК, НКО и др. специфических организаций).

Документы по конкретным категориям субъектов и процессам

• Согласия на обработку ПДн (клиентов, сотрудников, соискателей) или иные законные основания (договор, закон, жизненные интересы).
• Договоры с подрядчиками/операторами, получающими ПДн (передача третьим лицам, зона повышенного риска, ст. 6 152-ФЗ). В договоре обязательны условия о защите данных.
• Локальные акты по обработке биометрических и специальных категорий ПДн (если применимо), особые требования защиты.
• Документы на средства защиты информации (СЗИ): сертификаты ФСТЭК/ФСБ, акты puesta в эксплуатацию, логи работы антивирусов, МЭ, СИБ/СОВАР.

Техническая защита: что проверяют «под капотом»

Инспекторы (часто с привлечением технических специалистов) проверяют соответствие декларированным МЗИ реальной картине:

• Антивирусная защита: Установлены ли лицензионные СЗИ на всех АРМ и серверах? Актуальны ли базы сигнатур? Настроено ли централизованное управление?
• Межсетевые экраны (МЭ) и сегментация: Изолирована ли сеть ИСПДн от офисной сети и интернета? Настроены ли правила deny-by-default?
• Средства обнаружения вторжений (IDS/IPS) / SIEM: Обязательны для 1–3 уровней защищенности и КИИ. Проверяются логи за последние месяцы.
• Учет доступа и идентификация: Уникальные учетные записи, МФА (для удаленного доступа и привилегированных пользователей), парольная политика, отзыв доступов при увольнении.
• Шифрование: TLS 1.2+ на сайте/VPN, шифрование баз данных/бэкапов, защита каналов передачи ПДн подрядчикам.
• Резервное копирование и восстановление: Регламент, периодичность, тестовые восстановления, защита копий от шифровальщиков (air-gapped/immutable storage).
• Защита от DDoS: Актуально для 2026 года — наличие сервисов очистки трафика для внешних ресурсов.

Подготовка сайта: «Витрина» оператора

Роскомнадзор обязательно проверяет сайт компании (как источник сбора ПДн и объект публичной политики). Чек-лист для веб-ресурса:

1. Политика конфиденциальности (Обработка ПДн): Легко доступная ссылка в футере/хедере. Текст соответствует ст. 18.1 152-ФЗ: цели, категории данных, основания, сроки, права субъекта, контакты оператора, информация о передаче третьим лицам и переграничной передаче.
2. Формы сбора данных: У каждой формы (обратная связь, заказ, регистрация, подписка) — чек-бокс согласия (непредустановленный!) со ссылкой на Политику. Текст согласия конкретный: «Соглашаюсь на обработку моих ФИО, телефона, email для цели обратной связи…».
3. Cookie-баннер: Информирование о сборе куки/метрике, возможность отказа (управление согласием — CMP).
4. Отсутствие «лишних» полей: Сбор только необходимых для цели данных (принцип минимизации).
5. HTTPS и валидный сертификат: Обязательно для любых форм ввода.
6. Реквизиты оператора: ИНН/ОГРН, юр. адрес в открытом виде (ст. 18.1 152-ФЗ).
7. Форма для реализации прав субъекта: Контакты/форма для запросов на доступ, удаление, отзыв согласия.

Работа с подрядчиками и передача данных — зона риска №1

По данным практики 2025–2026 гг., нарушения при передаче данных контрагентам (CRM, рассылки, колл-центры, облака, 1С Fresh, Яндекс.Метрика/GA4) — самая частая статья штрафов.

• Заключите договоры поручения обработки (ДПО) со всеми получателями ПДн (ст. 6 152-ФЗ). В договоре: предмет, срок, действия с данными, обязанности по защите, запрет суборучения без согласия, возврат/уничтожение после окончания.
• Проверьте, что подрядчики находятся в РФ (локализация) или обеспечены адекватные меры защиты при переграничной передаче.
• Ведите реестр передач ПДн третьим лицам.

Алгоритм действий во время проверки (Пошагово)

1. Встреча: Проверьте служебные удостоверения инспекторов и копию приказа (для плановых/внеплановых). Убедитесь, что предмет проверки соответствует приказу.
2. Сопровождение: Назначьте ответственного сотрудника (юриста/ИБ-специалиста), который будет сопровождать инспекторов, фиксировать запросы и выдачу документов.
3. Выдача документов: Предоставляйте только то, что указано в приказе и относится к предмету проверки. Составляйте опись передаваемых документов/носителей в 2 экземплярах (под роспись инспектора).
4. Объяснения: Давайте письменные объяснения по существу, ссылаясь на нормы закона и ваши ЛНА. Не признавайтесь в вине на месте, если не уверены — лучше запросить время для подготовки ответа;
5. Протокол/Акт: Внимательно читайте протокол осмотра/акта проверки. Вносите несогласия в самом документе («С пунктом X не согласен, так как…»). Подписывайте только за ознакомление, если есть споры.
6. Обращение акта/предписания: Имеется 10 дней на обжалование в вышестоящее управление РКН или в суд (ГК РФ, 294-ФЗ). Не упускайте сроки.

Типичные ошибки, приводящие к штрафам (Топ-10)

1. Отсутствие уведомления РКН (или устаревшие сведения в реестре).
2. Политика конфиденциальности на сайте не соответствует ст. 18.1 152-ФЗ (нет целей, нет прав субъекта, нет контактов ДПО).
3. Сбор согласий через предустановленные галочки или без разделения по целям.
4. Передача ПДн подрядчикам без ДПО (договоров поручения).
5. Отсутствие акта категорирования / модели угроз / перечня МЗИ (ПП 1119).
6. Пустые или неведущиеся журналы (обращений, инструктажей, инцидентов).
7. Хранение ПДн дольше необходимого срока / отсутствие регламента уничтожения.
8. Неуведомление РКН об утечке в 24-часовой срок (ст. 13.11 КоАП).
9. Отсутствие МФА для удаленного доступа администраторов к ИСПДн.
10. Использование несертифицированных СЗИ (антивирусы, МЭ, СКЗИ) для уровней 1–3 защищенности.

Профилактика: Аудит и аутсорсинг ДПО

Наиболее эффективная стратегия — внутренний аудит до прихода инспекторов.

• Комплексный аудит: Правовой (документы, сайт, договоры) + Технический (сканирование уязвимостей, пентест, проверка настроек СЗИ, анализ логов).
• Аутсорсинг функции ДПО (Data Protection Officer): Привлечение внешнего эксперта/компании для ведения документации, обучения персонала, взаимодействия с РКН. Снимает нагрузку с внутреннего сотрудника и обеспечивает экспертность.
• Регулярные инструктажи: Не менее 1 раза в год для всех с доступом к ПДн. Фиксируйте в журнале.

Защита персональных данных при проверке Роскомнадзором начинается задолго до получения приказа. Это система управления: Документы → Технические меры → Обучение людей → Контроль подрядчиков → Реагирование на инциденты.

Ключевые выводы на 2026 год:

• Штрафы растут (до 20 млн руб. за биометрию), приостановка деятельности до 90 дней становится реальным инструментом.
• РКН смотрит на реальную защиту, а не на «папку с бумагами для проверки».
• Сайт и передача данных третьим лицам — главные «входные двери» для претензий.
• Своевременное уведомление об утечке — способ смягчить ответственность (или избежать штрафа за скрытие).

Инвестиции в аудит, внедрение ПП 1119, настройку СЗИ и юридическое сопровождение стоят в десятки раз дешевле штрафов, репутационных потерь и простоев бизнеса. Будьте готовы заранее.

---

Статья подготовлена на основе актуальной законодательной базы (152-ФЗ, 294-ФЗ, ПП 1119, КоАП РФ), рекомендаций Роскомнадзора, судебной практики и экспертных материалов за 2025–2026 гг. (Контур, Гладиаторы ИБ, IPRO, Зарцын и партнеры, УБРиР и др.). Данная информация носит ознакомительный характер. Для решения конкретных вопросов обратитесь к специалистам по защите ПДн и юристам.