На 02 августа 2026 года ситуация с контролем за соблюдением законодательства о персональных данных (ПДн) в России достигла нового качественного уровня. Роскомнадзор (РКН) перешел от точечных проверок к системному надзору, а санкции за нарушения стали сопоставимы с финансовыми рисками, способными остановить бизнес. Статья 152-ФЗ «О персональных данных» и Кодекс об административных правонарушениях (КоАП РФ) в редакции, действующей с 30 мая 2025 года, формируют жесткий рамки для любого оператора — от крупной корпорации до индивидуального предпринимателя с формой обратной связи на сайте.

Кто и зачем проверяет Роскомнадзор

Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) является единственным уполномоченным органом по контролю за соблюдением законодательства о ПДн. Основание для проверок, ст. 22 152-ФЗ и Федеральный закон № 294-ФЗ «О защите прав юридических лиц и ИП при осуществлении государственного контроля (надзора) и муниципального контроля».

Виды проверок в 2026 году:

• Плановые проверки: Проводится на основании утвержденного графика. С 2024 года введен мораторий на плановые проверки МСБ (малых и средних предприятий), однако он не распространяеться на сферу персональных данных в полной мере — РКН сохраняет право проводить их по основаниям, предусмотренным законом (жалобы, утечки, межведомственные поручения).
• Внеплановые проверки: Инициируются по сигналам о нарушениях (жалобы субъектов ПДн, сообщения СМИ, данные о утечках, поручения прокуратуры/президента/правительства). Это основной инструмент РКН на сегодня.
• Камеральные проверки (дистанционные): Анализ уведомлений об обработке ПДн, отчетов о утечках, открытых источников (сайты, приложения, открытые базы данных) без визита на объект. Занимают до 30 дней (продлевается до 60).
• Выездные проверки: Проведения на месте нахождения оператора. Требуют приказа руководителя РКН или его заместителя. Срок — до 20 рабочих дней (продлевается до 30 в сложных случаях).
• Обследование: Упрощенная форма выездного мероприятия (до 1 рабочего дня), не требующая приказа, но с ограниченными полномочиями (только визуальный осмотр, опрос сотрудников без изъятия документов).

Ключевые триггеры внимания РКН в 2026 году

Опыт последних лет показывает: проверки не случайны. Основные поводы для визита инспекторов:

1. Утечка персональных данных (Инцидент безопасности): Обязательное уведомление РКН в течение 24 часов с момента обнаружения (ч. 3.1 ст. 21 152-ФЗ). Неуведомление — отдельный тяжкий состав правонарушения.
2. Жалобы субъектов ПДн: Отказ в предоставлении информации о обработке, игнорирование требований об удалении/исправлении/блокировке данных (ст. 18, 21 152-ФЗ).
3. Отсутствие или некорректность уведомления о начале обработки: Оператор обязан уведомить РКН до начала обработки (п. 1 ст. 22 152-ФЗ). Проверка реестра уведомлений — рутинная камеральная процедура.
4. Нарушение режима переграничной передачи: Передача данных в страны, не обеспечивающие адекватной защиты, без оснований (ст. 12 152-ФЗ).
5. Отсутствие локального акта (Политики конфиденциальности/Положения об обработке): Документ, определяющий цели, состав, способы и сроки обработки, меры защиты.
6. Несоблюдение требований к защите ПДн (ФСТЭК/ФСБ): Отсутствие модели угроз, системы защиты (СЗПД), сертифицированных средств криптографической защиты (СКЗИ) для биометрии/спецкатегорий.

Система административной ответственности: Штрафы 2025–2026 гг. (Сводная таблица)

С 30 мая 2025 года вступили в силу кардинальные изменения в КоАП РФ (ст. 13.11, 13.11.1, 19.7.10 и др.). Главная новинка — оборотные штрафы (процент от выручки) для юрлиц за грубые нарушения.

Важно: Оборотные штрафы (ч. 5 ст. 13.11 КоАП) применяются за повторное совершение нарушений в течение года или за утечку, повлекшую тяжкие последствия (массовость, спецкатегории данных, биометрия). База для расчета — выручка по бухгалтерскому учету за предшествующий календарный год.

Уголовная ответственность: Новый рубеж с декабря 2024 года

С 11 декабря 2024 года (ФЗ № 378-ФЗ) в УК РФ внесена ст. 272.1 «Незаконные сбор, хранение, использование, передача компьютерной информации, содержащей персональные данные».

Санкции ст. 272.1 УК РФ:

• Ч. 1: Штраф до 500 тыс. руб. или до 3 лет исправительных/принудительных работ / до 2 лет лишения свободы.
• Ч. 2 (группа лиц / по предварительному сговору / с использованием служебного положения): Штраф до 1 млн руб. или до 5 лет лишения свободы.
• Ч. 3 (крупный размер / причиненный тяжкий вред): До 7 лет лишения свободы.

Практика применения: Уголовные дела возбуждаются не за саму утечку (как АП), а за умышленные действия по извлечению, продаже, передаче баз данных «черным логовинам», дампам в открытый доступ, использованию утекших данных для мошенничества (соц. инженерия, кредитное мошенничество). Директор компании или ЦИО могут стать фигурантами, если доказана их причастность к недобросовестной передаче данных третьим лицам.

Процедура проверки: Пошаговый алгоритм действий оператора

Этап 1: Начало проверки (Приказ/Поручение)

• Требуйте предъявить служебное удостоверение и приказ (поручение) на проведение проверки (для выездной). Без приказа выездная проверка недопустима (кроме обследования).
• Проверьте сроки: камеральная — 30 дней, выездная, 20 дней.
• Назначьте ответственного сотрудника (контактное лицо) для взаимодействия с инспекторами.

Этап 2: Предоставление документов и информации

• Инспекторы имеют право запрашивать только те документы, что указаны в приказе и относяться к предмету проверки.
• Составляйте акт приема-передачи документов (в 2 экземплярах) с указанием списка, количества листов, состояния.
• Не отдавайте оригиналы единственных экземпляров — предоставляйте заверенные копии (за исключением случаев, когда закон требует оригинал).
• Коммерческая тайна: Если документы содержат гостайну или коммерческую тайну, инспекторы обязаны обеспечить режим секретности (п. 7 ст. 12 ФЗ-294).

Этап 3: Опросы и осмотр

• Инспекторы могут опрашивать сотрудников добровольно. Никто не обязан давать объяснения против себя (ст. 51 Конституции РФ).
• При осмотре серверных/офисов составляется протокол. Требуйте наличия понятых.

• Ознакомьтесь с документом в срок до 10 рабочих дней с момента получения. Подпишите «с ознакомлен» (не «согласен»).
• Имеете право написать возражения (приложение к акту) — они обязательно рассматриваются.

Этап 5: Процесс по делу об АП

• Если выявлены нарушения, возбуждается дело по КоАП (рассматривает суд или уполномоченный сотрудник РКН в зависимости от статьи).
• Можно обжаловать акт/предписание в вышестоящее управление РКН или в суд (ст. 29.1 КоАП) в течение 10 дней.
• Предписание об устранении нарушений (ст. 19.7.10 КоАП) исполняется в установленный срок. Неисполнение — новый штраф.

Чек-лист готовности к проверке (Self-Audit) на 2026 год

Проводите внутренний аудит хотя бы раз в квартал:

Типичные ошибки, приводящие к максимальным штрафам

1. Игнорирование уведомления об утечке за 24 часа. Компания пытается «разобраться внутри» 3-5 дней. Результат: штраф по ст. 13.11.1 КоАП (до 1 млн) + штраф за саму утечку по ч. 5 ст. 13.11 (оборотной).
2. Формальное наличие документов без внедрения. Политика есть, но сотрудники не знают пароли, доступы раздаются «на слово», DLP не настроен, логи не ведутся. Инспекторы проверяют фактическое соблюдение.
3. Передача данных подрядчикам без договора-распорядителя. Маркетинговое агентство, колл-центр, облачный 1С, все они распорядители. Отсутствие условий ст. 28 152-ФЗ в договоре = нарушение режима обработки.
4. Хранение данных дольше необходимого срока. Нет регламента удаления/анонимизации. РКН трактует это как обработку без цели (ч. 1 ст. 13;11).
5. Отказ в предоставлении информации субъекту. «Напишите заявление, придите в офис, ждите месяц» — прямое нарушение ст. 18 152-ФЗ, штраф до 300 тыс. руб. за каждый случай.

Практика обжалования: Как защитить бизнес

Получение акта проверки, не приговор. Судебная практика 2025-2026 гг. показывает успешные линии защиты:

• Процедурные нарушения РКН: Проверка без приказа, превышение сроков, запрос документов, не относящихся к предмету проверки, нарушение режима коммерческой тайны. Основание для признания акта недопустимым доказательством (ст. 26.10 КоАП).
• Отсутствие состава правонарушения: Доказательство того, что данные не являются ПДн (анонимизированы), или обработка осуществлялась на законном основании (ст. 6 152-ФЗ: договор, закон, жизненные интересы).
• Непропорциональность наказания: Для оборотных штрафов суды часто снижают процент (с 3% до 0.5-1%), учитывая финансовое состояние, меры по устранении, отсутствие умысла, сотрудничество.
• Истечение сроков привлечения к ответственности: 2 месяца с момента обнаружения нарушения (для продолжающихся — с момента прекращения), но не более 1 года с момента совершения (ст. 4.5 КоАП). РКН часто упускает эти сроки при сложных проверках.

Резюме: Стратегия выживания в 2026 году

В текущих реалиях защита персональных данных — это не «бумажная работа для галочки», а часть операционного риск-менеджмента. Стоимость ошибки измеряется в процентах от оборота (до 500 млн руб.) и уголовными сроками для руководства;

Алгоритм «Минимально необходимый стандарт» на сегодня:

1. Инвентаризация: Знайте, какие ПДн, где, зачем и как долго храните.
2. Уведомление РКН: Актуальное, поданное до старта обработки.
3. Согласия и Политика: Юридически выверенные, доступные субъектам.
4. Техзащита по классу: Шифрование, контроль доступа, логирование, DLP, бэкапы.
5. Процесс инцидент-менеджмента: Готовый сценарий уведомления РКН за 24 часа (черновики уведомлений заранее подготовлены).
6. Обучение и аудит: Регулярные внутренние проверки, обучение персонала, работа с подрядчиками.

Инвестиции в комплаенс по 152-ФЗ сегодня стоят на порядки дешевле, чем один выездной рейд Роскомнадзора с итоговым оборотным штрафом и репутационным крахом. Будьте готовы к диалогу с регулятором на языке документов и технических мер защиты.

Данная статья носит информационный характер и не является правовым консультированием. Законодательство может меняться. Для принятия управленческих решений обратитесь к квалифицированным юристам по защите персональных данных.