В последние годы контроль за соблюдением требований законодательства о персональных данных в России усилился. Роскомнадзор (Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций) регулярно проводит как плановые, так и внеплановые проверки операторов персональных данных (ОПД). Нарушения могут привести к штрафам «до миллионов рублей», а в отдельных случаях – к приостановке деятельности.

Законодательная база

• ФЗ‑152 «О персональных данных» от  г. – основной нормативный акт, регулирующий сбор, хранение, обработку и защиту ПДн.
• Постановления Правительства РФ о моратории на плановые проверки (продлённом до 2030 г.) – определяют порядок проведения плановых мероприятий.
• Федеральные законы 420‑ФЗ и 421‑ФЗ (вступившие в силу 30 мая 2025 г.) – ужесточают административную ответственность за нарушения.
• Приказы Роскомнадзора (например, приказ о назначении ответственного за обработку ПДн, требования к криптографической защите).

Все организации, ИП и самозанятые, которые обрабатывают персональные данные клиентов, сотрудников или иных субъектов, считаются операторами персональных данных и обязаны соблюдать требования 152‑ФЗ.

Кто попадает под проверку?

В соответствии с практикой Роскомнадзора проверяются:

1. Крупные компании и группы компаний, имеющие более 100 000 записей ПДн.
2. Средние и малые предприятия, если они обрабатывают чувствительные категории данных (биометрия, медицинские сведения, финансовые данные).
3. Индивидуальные предприниматели и самозанятые, если они хранят клиентские базы (CRM‑системы, списки рассылок и т.п.).
4. Организации, получившие жалобы от субъектов ПДн или от конкурентов.
5. Субъекты, участвующие в совместных проектах с государственными органами (госзакупки, электронные услуги).

Три уполномоченные организации (Роскомнадзор, ФСТЭК, ФСБ) иногда проводят совместные проверки, распределяя зоны ответственности.

Плановые и внеплановые проверки

• Плановые проверки – проводятся в соответствии с утверждённым графиком, в котором организации включаются по степени риска. С 2024 г. график плановых проверок продлён до 2030 г.
• Внеплановые проверки – инициируются по факту получения жалобы, сообщения о потенциальных нарушениях или в рамках межведомственного контроля.
• Оба типа проверок могут включать:
  • Оценку организационных мер (политика, инструкции, назначение ответственного).
  • Техническую проверку (антивирусы, криптография, контроль доступа).
  • Аудит ИТ‑инфраструктуры (серверы, сети, облачные сервисы).
  • Интервью с сотрудниками, в т.ч. с лицом, ответственным за ПДн.

Этапы проверки Роскомнадзора

1. Уведомление об инспекции – официальное письмо с указанием даты, целей и перечня запрашиваемой информации.
2. Предварительный сбор документов – оператор передаёт в электронном виде (или в бумажном виде) запрошенные материалы.
3. Оценка документации – проверяющие изучают локальные нормативные акты (ЛНА), политику обработки ПДн, реестр операторов, уведомления о начале обработки и др.
4. Техническая проверка – осмотр серверных помещений, проверка наличия и актуальности антивирусных решений, проверка криптографических средств защиты, аудит прав доступа.
5. Интервью с персоналом – вопросы о порядке обработки данных, обучении сотрудников, реагировании на инциденты.
6. Составление акта проверки – в случае выявления нарушений оформляются предписания и/или штрафные санкции.

Список обязательных документов

Ниже перечислены документы, которые обычно запрашивает инспектор. Их наличие в актуальном виде существенно снижает риск предписаний.

• Учредительные документы организации (Устав, учредительный договор).
• Выписка из ЕГРЮЛ (на дату проведения проверки).
• Уведомление об обработке персональных данных, поданное в реестр операторов.
• Локальный нормативный акт (ЛНА) – политика в отношении обработки ПДн, правила доступа, порядок уничтожения данных.
• Приказ о назначении ответственного за организацию обработки персональных данных (ОРПД) и/или специалиста по информационной безопасности (СИБ).
• Документы, подтверждающие полномочия оператора на взаимодействие с Роскомнадзором (приказ, доверенность).
• Типовые формы согласий субъектов ПДн (согласие на обработку, согласие на передачу данных третьим лицам).
• Отчёты о проведённых оценках воздействия (ОВО) при обработке чувствительных данных.
• Регистры доступа к информационным системам (журналы аудита).
• Документация по использованию криптографических средств (сертификаты, протоколы шифрования).
• Планы и протоколы реагирования на инциденты (утечки, несанкционированный доступ).
• Актуальные лицензии и сертификаты (например, ФСТЭК, если требуется).

Технические и организационные меры защиты

Организационные меры

• Назначить ответственного за ПДн и оформить его полномочия официальным приказом.
• Разработать и утвердить политику обработки персональных данных (ЛНА).
• Проводить регулярное обучение персонала (не реже 1‑2 раз в год).
• Вести реестр всех баз данных и систем, где хранятся ПДн.
• Оформлять согласия субъектов ПДн в письменной или электронной форме.

Технические меры

• Установить и регулярно обновлять антивирусные решения и системы обнаружения вторжений (IDS/IPS).
• Шифровать персональные данные при хранении и передаче (использовать сертифицированные криптографические средства ФСТЭК).
• Ограничить доступ к ПДн по принципу «необходимости знать» (RBAC – Role‑Based Access Control).
• Вести журнал аудита всех операций с ПДн (чтение, изменение, удаление).
• Обеспечить физическую защиту серверных помещений (контроль доступа, видеонаблюдение).
• Регулярно проводить тесты на уязвимости и пентесты.
• Контролировать использование аналитических сервисов (Яндекс.Метрика, Google Analytics) – убедиться, что они не собирают персональные данные без согласия.

Типичные нарушения и штрафы

Важно: штрафы могут быть наложены как за каждое отдельное нарушение, так и за совокупность нарушений в рамках одной проверки.

Как подготовиться к проверке? Пошаговый план

1. Проведите внутренний аудит – сравните текущие практики с требованиями ФЗ‑152 и приказами Роскомнадзора.
2. Обновите документацию – убедитесь, что все локальные нормативные акты, приказы и реестры актуальны (не старше 6 мес.).
3. Проверьте реестр операторов – зайдите на портал персональных данных и убедитесь, что сведения о вашей организации (ИНН, виды обрабатываемых ПДн, контактные данные) совпадают с реальностью.
4. Техническая проверка:
   • Обновите антивирусные базы и ОС.
   • Проверьте наличие и срок действия сертификатов шифрования.
   • Запустите сканирование уязвимостей.
   • Убедитесь, что журналы аудита собираются и хранятся не менее 12 мес.
5. Обучите персонал – проведите инструктаж по работе с ПДн, расскажите о порядке реагирования на запросы субъектов.
6. Подготовьте ответы на типовые запросы инспекторов – составьте шаблоны для предоставления:
   • копий приказов и ЛНА;
   • реестра операторов;
   • журналов доступа;
   • отчётов о проведённых оценках воздействия.
7. Назначьте контактное лицо – человек, который будет взаимодействовать с инспекторами, оформлять протоколы и вести переписку.
8. Проведите пробный «мок‑тест» – пригласите внешних консультантов или внутренний отдел ИБ для имитации проверки.
9. Составьте план действий после проверки – как быстро устранить предписания и какие документы необходимо обновить.

Инструменты и сервисы, упрощающие подготовку

• Портал персональных данных Роскомнадзора – pd.rkn.gov;ru. Позволяет проверять и обновлять сведения в реестре операторов.
• КонсультантПлюс – база нормативных актов, образцы документов, актуальные штрафы.
• Системы управления информационной безопасностью (ISMS) – позволяют вести реестр ПДн, журнал аудита и планировать обучение.
• Сервисы оценки уязвимостей – Nessus, OpenVAS, Qualys.
• Криптографические решения ФСТЭК – сертифицированные библиотеки и аппаратные модули (HSM).

Практические рекомендации

• Не откладывайте обновление документов. Даже небольшие изменения в бизнес‑процессах требуют корректировки ЛНА и уведомления в реестр.
• Сохраняйте доказательства согласий. Электронные подписи, скриншоты форм, архивы писем – всё это может потребоваться в ходе проверки.
• Контролируйте сторонних подрядчиков. Если обработка ПДн передана аутсорсерам, заключайте договоры о совместной ответственности и проверяйте их меры защиты.
• Регулярно проверяйте аналитические сервисы. Убедитесь, что они собирают только анонимизированные данные, а при необходимости – получайте согласие субъектов.
• Ведите журнал запросов субъектов ПДн. Запросы о доступе, исправлении или удалении данных должны фиксироваться и обрабатываться в течение 30 дней.
• Подготовьте «чек‑лист» для инспектора. Список всех документов, их местонахождение и ответственные лица ускорит процесс проверки.

Проверки Роскомнадзора – это реальная угроза для любой организации, работающей с персональными данными. Однако системный подход к подготовке позволяет минимизировать риски и избежать штрафов в миллионы рублей. Ключевые шаги – актуальная документация, надёжные технические меры защиты, регулярный внутренний аудит и готовность быстро реагировать на запросы инспекторов.

Помните, что защита персональных данных – это не только юридическая обязанность, но и важный элемент репутации компании. Инвестируя в правильные процессы и инструменты уже сегодня, вы обеспечите себе спокойствие и доверие клиентов в долгосрочной перспективе.

Статья составлена на основе открытых источников (данные от ) и актуального законодательства РФ.