С 2025 года контроль за соблюдением законодательства о персональных данных (152-ФЗ) существенно ужесточился. Роскомнадзор (РКН) перешел к более системному и технологичному подходу: инспекторы не просто проверяют наличие бумаг, а оценивают реальную модель обработки данных, защиту информации и соответствие актуальным требованиям. На года игнорирование подготовки к проверке — это гарантированные штрафы, приостановка обработки данных и репутационные риски.

В этой статье мы подробно разберем виды проверок, повестку дня инспекторов, чек-лист необходимых документов и пошаговый план подготовки, который поможет пройти визит без потерь.

Виды проверок Роскомнадзора: чего ждать в 2025–2026 годах

Понимание типа проверки определяет стратегию поведения и сроки подготовки. Законодательство (ФЗ-248, 152-ФЗ, Кодекс об административных правонарушениях) выделяет основные формы контроля:

• Плановые проверки: Проводятся на основании утвержденного графика (опубликован на сайте РКН). Компания узнает о них заранее (не позднее чем за 3 рабочих дня до начала по получении уведомления). С 2025 года плановые проверки стали чаще затрагивать кросс-граничную передачу данных и использование биометрии.
• Внеплановые проверки: Инициируются по основаниям: обращения граждан (жалоб на утечки, спам, отказ в удалении), сообщения СМИ, результаты предыдущих проверок, поручения вышестоящих органов. Уведомление направляется за 1 рабочий день до начала (в некоторых случаях — без уведомления, если цель — предотвращение правонарушения).
• Камеральные (документарные) проверки: Проходят без визита инспектора в офис. РКН анализирует предоставленные по требованию документы, открытые источники (сайт, реестр операторов), отчеты об утечках. Срок — до 30 дней (продлевается до 60). Это самый частый формат на текущий момент.
• Выездные проверки: Инспекторы приходят на место обработки данных (офис, ЦОД, серверная). Срок, до 20 дней (продлевается до 30, в исключительных случаях до 60). Требуют максимальной оперативной мобилизации команды.
• Профилактические визиты / Мероприятия профилактического контроля: Не являются проверками в строгом смысле (не влекут штрафов напрямую), но фиксируют нарушения в предписании. Игнорировать их нельзя — это «звоночек» перед реальной проверкой.

Важно: С 2025 года РКН активно использует автоматизированные системы мониторинга (парсинг сайтов, анализ реестра уведомлений, проверка SSL-сертификатов, наличия политики конфиденциальности и форм согласия) для формирования реестра рисков и планирования выездных мероприятий.

Что именно проверяют инспекторы: «Повестка дня» визита

Инспектор РКН работает по чек-листу, основанному на ст. 19, 22, 22.1 152-ФЗ и Постановлении Правительства № 1119. Основные блоки проверки:

Нормативно-правовая база (Документооборот)

1. Уведомление в реестре операторов: Актуальность сведений (цели, категории субъектов, категории ПДн, правовые основания, сроки, меры защиты). Несоответствие реальности, частая статья 13.11 КоАП РФ.
2. Локальные нормативные акты (ЛНА): Политика конфиденциальности (публичная), Положение о обработке ПДн (внутреннее), Инструкции по защите ПДн, Журналы учета (доступов, инцидентов, передач третьим лицам, уничтожения).
3. Согласия субъектов: Форма, содержание (цели, срок, способ отзыва), доказательства получения (логи, подписи, чекбоксы на сайте). Проверяется «свободность» согласия (нет ли привязки к договору там, где это не нужно).
4. Договоры с подрядчиками (операторами от имени): Наличие условий о защите ПДн (ст. 28 152-ФЗ), аудит их безопасности.

Техническая и организационная защита (ТЗИ / ОЗИ)

• Модель угроз: Актуальная, утвержденная руководителем, учитывающая специфику ИСПДн (Информационной системы персональных данных).
• Класс защищенности ИСПДн (КЗ 1–4): Соответствие реализованных мер класса. Проверяется: средства защиты (СЗИ) — сертифицированы ли ФСТЭК/ФСБ? Соответствуют ли классу?
• Учет доступа и разграничение прав: Журналы доступа (электронные/бумажные), принцип минимальных привилегий, двухфакторная аутентификация (обязательна для КЗ 1–3 при удаленном доступе).
• Защита от утечек (DLP, межсетевые экраны, антивирусы): Наличие, актуальность сигнатур, настройка правил.
• Шифрование: При передаче (TLS 1.2+/VPN) и хранении (для биометрии, спецкатегорий, КЗ 1–2).
• Резервное копирование и восстановление: Регламент, периодичность, тестирование восстановления.

Реализация прав субъектов ПДн

• Процедура обработки запросов (уточнение, блокировка, удаление, предоставление копии). Сроки: 30 дней (продлевается до 60).
• Наличие удобного канала связи для субъектов (форма на сайте, email, почта).
• Практика отказов в запросах — законны ли основания?

Учет инцидентов и утечек

• Наличие регламента реагирования на инциденты.
• Своевременность уведомления РКН (в течение 24 часов с момента обнаружения) и субъектов.
• Анализ причин и принятие мер по предотвращению повторения.

Сайт и онлайн-сервисы (Особый фокус 2025–2026 гг.)

• Политика конфиденциальности в футере (ссылка с каждой страницы).
• Cookie-баннер: управление согласием (Granular Consent), отказ от ненеобходимых куки.
• Формы сбора данных: чекбокс согласия (непредустановленный!), ссылка на политику, минимализм полей.
• Отсутствие открытых индексируемых страниц с ПДн (паспортные данные, фото документов в открытом доступе).
• Безопасность передачи (HTTPS, HSTS, Secure-флаги куки).

Чек-лист документов: «Аварийный чемодан» для встречи с инспектором

Подготовьте пакет в двух экземплярах (для инспектора и для себя) или в удобном электронном виде (флешка/облако с доступом). Структура:

Пошаговый план подготовки (Алгоритм действий)

Шаг 1. Внутренний аудит (За 2–4 недели до плановой проверки / прямо сейчас)

• Проведите самостоятельный аудит по чек-листу выше. Лучше — привлеките независимого эксперта (аутсорс DPO / юриста по 152-ФЗ). «Свежий взгляд» находит 80% пробелов.
• Проверьте актуальность уведомления в реестре РКН. Изменились цели? Категории данных? Подрядчики? Подайте уведомление об изменении (срок, 30 дней с момента изменения).
• Сверьте Политику конфиденциальности на сайте с реальной обработкой. Нет ли там устаревших целей? Есть ли контакты DPO?

Шаг 2. Приведение документа в порядок (За 1–2 недели)

• Обновите ЛНА: устраните противоречия между Положением, Политикой и Инструкцией.
• Оцифруйте журналы (Excel/1С/CRM/Спец. ПО). Бумажные журналы допустимы, но электронные — быстрее для выборки инспектором.
• Подпишите приказами ответственных лиц, обновите матрицу доступа (Ролевая модель).

Шаг 3. Техническая «зачистка» (Параллельно)

• Закройте «дыры» на сайте: уберите превью чекбоксы, добавьте настройки куки, проверьте HTTPS на всех страницах с формами.
• Проверьте работу DLP / SIEM: генерируются ли алерты на тестовые утечки?
• Протестируйте восстановление из бэкапа (доказательство работоспособности меры защиты).
• Обновите сигнатуры антивирусов, правила межсетевых экранов, закройте неиспользуемые порты (RDP, SSH из интернета).

Шаг 4. Работа с персоналом (За 3–5 дней)

• Проведите краткий инструктаж ключевых сотрудников (HR, бухгалтерия, IT, секретари, менеджеры по продажам): «Что сказать инспектору», «Где лежат журналы», «Как не паниковать».
• Назначьте сопровождающего (обычно DPO или юрист), единственное лицо, общающееся с инспектором. Остальные дают объяснения только в его присутствии.

Шаг 5. День визита (Выездная проверка)

1. Проверьте полномочия инспектора: приказ о проверке, служебное удостоверение. Сфотографируйте/скопируйте. Проверьте сроки и основания в приказе.
2. Составьте акт осмотра (помещений, серверных, рабочих мест) — фиксируйте состояние на момент прихода.
3. Предоставляйте документы только по письменному требованию (требование составляется в 2 экз.). Ставьте отметку о получении копии.
4. Не давайте оригиналы уносить — только копии (заверенные печатью/подписью).
5. Ведите свой журнал проверки: время прихода/ухода, запросы инспектора, предоставленные документы, устные замечания.

Типичные нарушения и штрафы (Статьи 13.11, 19.7 КоАП РФ)

Знание «болевых точек» позволяет фокусировать ресурсы:

• Отсутствие/неактуальность уведомления в реестре (ч. 1 ст. 13.11 КоАП): Юрлица, 15 000 – 75 000 руб. (повторно — до 500 000 руб. или приостановка деятельности на 90 дней).
• Нарушение режима обработки (нет согласия, не те цели, передача без основания) (ч. 2–3 ст. 13.11): Юрлица — 30 000 – 75 000 руб; (повторно — до 500 000 руб.).
• Неисполнение прав субъектов (отказ в удалении, предоставлении, задержка сроков) (ч. 4 ст. 13.11): Юрлица, 30 000 – 75 000 руб.
• Отсутствие/несоответствие мер защиты (нет модели угроз, СЗИ не сертифицированы, нет журналов доступа) (ч. 5 ст. 13.11): Юрлица — 30 000 – 75 000 руб.
• Неуведомление РКН об утечке за 24 часа (ч. 6 ст. 13.11): Юрлица — 50 000 – 100 000 руб.
• Нарушение требований к трансграничной передаче (ч. 7 ст. 13.11): Юрлица — 100 000 – 300 000 руб.
• Повторные нарушения (в течение года после вступления решения в силу): Штрафы до 500 000 руб. + возможна приостановка обработки ПДн (блокировка сайта/сервиса) до 6 месяцев (ст. 19.7 КоАП / ст. 15.1 152-ФЗ).

Тренд 2025–2026: РКН все чаще выносит предписания об устранении нарушений (не штрафы), но неисполнение предписания влечет ст. 19.7 КоАП (штраф до 100 000 руб. для юрлиц) и риск блокировки.

Взаимодействие с ФСТЭК и ФСБ: не путать!

Частая ошибка — думать, что проверка РКН заменяет аттестацию ФСТЭК.

• Роскомнадзор проверяет юридическое соответствие 152-ФЗ: есть ли документы, согласия, уведомление, права субъектов, факт утечек.
• ФСТЭК (для ГИС, КИИ, гостайны, КЗ 1–3) проверяет техническую соответствие требованиям защищенности (аттестация объектов, сертификация СЗИ, модель угроз).
• ФСБ, лицензирование и контроль использования криптографии (СКЗИ).

Совет: На выездной проверке РКН может запросить акты аттестации ФСТЭК / лицензии ФСБ. Их отсутствие при обязательности — отдельное основание для штрафа по 13.11 КоАП (отсутствие мер защиты).

Практические советы от практиков (Лайфхаки 2026)

1. Автоматизируйте учет согласий. Ручное ведение журналов в Excel для 500+ сотрудников — гарантия ошибок. Внедрите DLP/IDM/BPM-системы с модулем «Учет ПДн».
2. Внедрите «Privacy by Design». При разработке новых фич/процессов сразу прописывайте ДОП (Оценку последствий для ПДн) — это любимый вопрос инспекторов при проверке новых ИС.
3. Храните доказательства удаления. Инспектор спросит: «Где логи удаления данных по запросу субъекта?». «Мы удалили в БД», не аргумент. Нужен лог/акт/скриншот задачи в трекере.
4. Проверяйте подрядчиков; Вы несете ответственность за их действия (ст. 28 152-ФЗ). Требование аудита безопасности подрядчика, стандартная практика РКН.
5. Не прятайте голову в песок. Если нашли утечку — уведомите РКН за 24 часа сами. Добровольное признание смягчает судьбу (ч. 1.1 ст. 4.1 КоАП — снижение штрафа до 1/2 минимума).
6. DPO (Дата-протекшн-офицер) — не бухгалтер. Назначьте компетентного специалиста (внутреннего или аутсорс), дайте ему ресурсы и доступ к руководству. Инспектор оценивает реальную независимость DPO.

Подготовка к проверке Роскомнадзора, это не разовое действие «накануне визита», а непрерывный процесс управления конфиденциальностью (Privacy Management). На 2026 год вектор регулятора смещен от формального наличия бумаг к реальной защите прав граждан и киберустойчивости.

Ключ к успешной проверке: актуальный реестр операторов, честная модель угроз, работающие СЗИ, понятные процедуры для субъектов и обученная команда. Инвестиции в аудит и приведение порядка сегодня стоят в десятки раз дешевле штрафов, приостановки бизнеса и восстановления репутации завтра.

Начните с самодиагностики прямо сейчас: откройте свой сайт, проверьте уведомление в реестре РКН по ИНН, попросите DPO показать журнал инцидентов за последний год. Если есть паузы — у вас есть план работы.

Статья подготовлена на основании актуального на года законодательства (152-ФЗ, КоАП РФ, Постановления Правительства, разъяснений Роскомнадзора) и судебной практики. Данная информация носит справочный характер. Для решения конкретных вопросов рекомендуется обратиться к специалистам по защите персональных данных.