Бесплатная консультация юриста

+7 (800) 301-07-30

Реклама jurik.ru

Надзор за соблюдением законодательства в области персональных данных, это ключевой механизм обеспечения прав субъектов персональных данных и правопорядка в сфере информационных технологий. В Российской Федерации данную функцию осуществляет Федеральная служба по надзору в сфере связи‚ информационных технологий и массовых коммуникаций (Роскомнадзор). Статья посвящена видам проверок‚ их процедуре‚ основаниям проведения‚ а также последствиям для операторов персональных данных.

Нормативная правовая база

Деятельность по надзору и контролю регулируется комплексом нормативных правовых актов:

Федеральный закон от № 152-ФЗ «О персональных данных» (ст. 22‚ 23‚ 24) — основной закон‚ определяющий полномочия уполномоченного органа.
Федеральный закон от № 210-ФЗ «Об организации предоставления государственных и муниципальных услуг» — в части взаимодействия с госорганами.
Федеральный закон от № 294-ФЗ «О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля», регулирует процедуры проведения проверок (плановых и внеплановых)‚ профилактические визиты.
Постановление Правительства РФ от № 1457 — утвердило Положение о Роскомнадзоре.
Административные регламенты Роскомнадзора по проведению проверок.

Виды проверок

Согласно ст. 23 ФЗ № 152 и ФЗ № 294‚ Роскомнадзор осуществляет надзор в следующих формах:

Плановые проверки

Проводится на основании плана проверок‚ утверждаемого руководителем Роскомнадзора.

Частота: Не чаще одного раза в 3 года в отношении одного оператора (для субъектов МСП — в соответствии с категорией риска).
Основание: Вхождение оператора в план проверок на соответствующий год.
Уведомление: Оператору направляется уведомление не позднее чем за 3 рабочих дня до начала проверки (в электронном виде через личный кабинет или почту).

Внеплановые проверки

Проводится без включения в план проверок при наличии законных оснований (ст. 9 ФЗ № 294).

Основания:
- Обращения граждан (жалоб) о нарушении прав субъектов ПДн.
- Сообщения СМИ или информации в сети Интернет о нарушениях.
- Результаты ранее проведенных проверок (контроль исполнения предписаний).
- Поручения Президента РФ‚ Правительства РФ‚ Генерального прокурора.
- Выявление признаков совершения преступлений.
Сроки: Начинаются не ранее дня получения основания и не позднее 1 года со дня его обнаружения (кроме поручений вышестоящих инстанций).
Уведомление: Оператор уведомляется за 1 рабочий день до начала (в исключительных случаях — в день начала).

Профилактические визиты

Не являются проверками в строгом смысле‚ но являются формой надзора.

Цель: Профилактика нарушений‚ консультирование операторов‚ разъяснение требований законодательства.
Порядок: Проведение на основании плана профилактических визитов. Уведомление за 5 рабочих дней. Не допускается изъятие документов‚ проведение экспертиз‚ аудитов.
Результат: Составляется акт профилактического визита с рекомендациями (необязательными к исполнению).

Камеральные (документарные) проверки

Проводится на основании документов и сведений‚ представленных оператором по требованию Роскомнадзора или имеющихся в распоряжении ведомства (включая открытые источники‚ ЕГРЮЛ/ЕГРИП‚ реестр операторов ПДн).

Срок: до 30 календарных дней (может быть продлен до 60 дней).
Не требует посещения помещений оператора.

Выездные проверки

Проводится на месте нахождения оператора (офис‚ ЦОД‚ серверная) для осмотра‚ опроса лиц‚ изъятия документов/носителей‚ проведения экспертиз.

Срок: до 20 рабочих дней (продление до 10 рабочих дней руководителем органа‚ в исключительных случаях — до 30 дней).
Требует приказа (распоряжения) руководителя Роскомнадзора (территориального управления).

Порядок проведения выездной проверки (пошагово)

Приказ о проверке: Издается руководителем органа. Содержит: основание‚ цели‚ сроки‚ состав проверяющей группы‚ перечень запрашиваемых документов.
Вручение приказа: Под роспись представителю оператора (или направляется заказным почтовым отправлением/электронно).
Начало проверки: Ознакомление с правом и обязанностями сторон (ст. 17 ФЗ № 294).
Сбор доказательств:
- Изучение локальных актов (Политика конфиденциальности‚ Положение о защите ПДн‚ Приказы по назначению ответственных‚ Журналы учета инцидентов).
- Проверка соответствия ИСПДн требованиям ФСТЭК (при наличии угроз).
- Опрос сотрудников‚ ответственных за обработку ПДн.
- Технический осмотр серверных‚ рабочих станций‚ средств защиты информации.
- Изъятие копий документов‚ носителей информации (по протоколу).
Завершение проверки: Составление Акта о результатах проверки (в 2-х экземплярах). Акт подписывается проверяющими и представителем оператора (отказ от подписания фиксируется актом).
Направление акта: Оператору вручается/направляется в течение 5 рабочих дней со дня окончания проверки.

Основные нарушения‚ выявляемые при проверках

Практика Роскомнадзора показывает‚ что чаще всего операторы нарушают следующие требования:

Отсутствие или несоответствие локальных актов (п. 2 ст. 19‚ ст. 22 ФЗ № 152): нет Политики‚ Положения‚ приказа об ответственном лице.
Нарушение принципов обработки (ст. 5‚ 6 ФЗ № 152): обработка без согласия (где требуется)‚ избыточный сбор данных‚ нецелевое использование.
Неисполнение прав субъектов ПДн (ст. 14‚ 18‚ 21 ФЗ № 152): игнорирование запросов на доступ‚ исправление‚ удаление‚ отзыв согласия в установленные сроки (30 календарных дней).
Отсутствие мер технической и организационной защиты (ст. 19 ФЗ № 152‚ Постановление Прав. РФ № 1119): нет шифрования‚ контроль доступа‚ антивирусной защиты‚ учета инцидентов.
Нарушение режима переграничной передачи (ст. 12 ФЗ № 152): передача в «неадекватные» страны без гарантий.
Неуведомление Роскомнадзора об обработке ПДн (ст. 22 ФЗ № 152) или несвоевременное внесение изменений в реестр.
Нарушение сроков уведомления об утечке (инциденте) (ст; 22.1 ФЗ № 152): позднее 24 часов с момента обнаружения.

Меры ответственности и последствия проверки

По результатам проверки Роскомнадзор может применить следующие меры:

Административная ответственность (КоАП РФ)

Статья КоАП РФ	Нарушение	Штрафы (ориентировочно‚ актуализируются)
13.11 ч. 1	Нарушение принципов и правил обработки ПДн	ДЛ: 3 000 – 5 000 руб.; ЮЛ: 15 000 – 75 000 руб.
13.11 ч. 2	Нарушение прав субъектов ПДн (отказ в доступе‚ удалении и т.д.)	ДЛ: 5 000 – 10 000 руб.; ЮЛ: 20 000 – 100 000 руб.
13.11 ч. 3	Неуведомление/несвоевременное уведомление Роскомнадзора	ДЛ: 1 000 – 3 000 руб.; ЮЛ: 5 000 – 50 000 руб.
13.11 ч. 4	Нарушение требований к защите ПДн (отсутствие мер защиты)	ДЛ: 15 000 – 20 000 руб.; ЮЛ: 100 000 – 500 000 руб.
13.11 ч. 5	Нарушение режима переграничной передачи	ДЛ: 3 000 – 5 000 руб.; ЮЛ: 50 000 – 100 000 руб.
13.11 ч. 6	Неуведомление об утечке ПДн (инциденте)	ДЛ: 30 000 – 50 000 руб.; ЮЛ: 100 000 – 500 000 руб.
19.5 ч. 4	Неисполнение предписания Роскомнадзора	ДЛ: 10 000 – 20 000 руб.; ЮЛ: 100 000 – 500 000 руб. (повторно — до 1 млн руб. или приостановка деятельности до 90 суток)

* ДЛ, должностные лица; ЮЛ, юридические лица. Размеры штрафов указаны в обобщенном виде‚ точные суммы зависят от квалификации нарушения и повторности.

Предписание об устранении нарушений

Выдается по результатам проверки. Содержит перечень нарушений‚ меры по их устранению и срок исполнения (обычно 10–30 дней). Неисполнение влечет ответственность по ст. 19.5 КоАП РФ.

Внесение в реестр нарушителей / ограничение доступа

При систематических нарушениях или утечке биометрических/специальных категорий ПДн, возможно обращение в суд с иском об ограничении доступа к информационному ресурсу (сайту) (ст. 15.1 ФЗ № 149-ФЗ).
Внесение сведений в реестр операторов‚ не обеспечивающих защиту ПДн (публичный реестр).

Гражданско-правовая и уголовная ответственность

Возмещение ущерба и морального вреда (ст. 151‚ 1064 ГК РФ‚ ст. 23 ФЗ № 152), по искам субъектов ПДн.
Уголовная ответственность (ст. 137‚ 272‚ 273‚ 274 УК РФ) — за незаконное получение‚ распространение ПДн‚ несанкционированный доступ к компьютерной информации‚ создание вредоносных программ.

Права оператора при проверке (Гарантии)

Зная свои права‚ можно минимизировать риски и избежать процедурных ошибок инспекторов:

Право на ознакомление с приказом перед началом действий (требовать предъявления служебного удостоверения и приказа).
Право не предоставлять документы‚ не указанные в приказе (кроме случаев обнаружения признаков преступления);
Право на присутствие представителя/адвоката при проведении осмотров‚ опросов.
Право на получение копий протоколов‚ актов‚ изъятых документов (бесплатно).
Право на обжалование действий (бездействия) и решений инспекторов:
- Вышестоящему руководителю в Роскомнадзоре (в течение 10 дней).
- В суд (в течение 3 месяцев со дня узнавания о нарушении права).
- Прокурору (по общему порядку).
Запрет на повторную проверку по тем же основаниям (за исключением контроля исполнения предписания).

Подготовка к проверке: Чек-лист для оператора

Системная подготовка, лучшая защита. Рекомендуется регулярно аудировать следующее:

Документальная база: Актуальная Политика конфиденциальности (на сайте и внутри)‚ Положение о защите ПДн‚ Приказы о назначении ответственных лиц‚ Журналы учета обработки/инцидентов/доступов.
Уведомление Роскомнадзора: Запись в реестре актуальна? Соответствует ли перечень категорий ПДн и целей реальной деятельности?
Согласия субъектов: Есть ли доказательства получения согласия (чек-боксы‚ подписанные бумажные формы‚ логи IP-адресов)? Соответствует ли форма требованиям ст. 9 ФЗ № 152?
Обеспечение прав субъектов: Работает ли канал приема запросов (email‚ форма на сайте)? Соблюдаются ли сроки ответа (30 дней)? Есть ли образцы ответов?
Техническая защита (ИСПДн): Соответствует ли уровень защищенности (УЗ 1-4) требованиям ФСТЭК (Приказ ФСТЭК № 21‚ Постановление № 1119)? Проведена ли аттестация? Действуют ли сертификаты СЗИ?
Учет инцидентов: Есть ли регламент реагирования? Были ли уведомлены Роскомнадзор и субъекты за 24 часа при утечках?
Переграничная передача: Есть ли договоры со стандартными условиями (SCC) или BCR для передачи в «неадекватные» страны?
Работа с подрядчиками (распорядителями): Заключены ли договоры с обязательными условиями ст. 28 ФЗ № 152? Проводится ли их аудит?
Обучение персонала: Есть ли журналы инструктажей/обучения по защите ПДн? Знают ли сотрудники процедуру действий при инциденте?

Актуальные тренды и международный контекст

Сфера регулирования динамично развивается. Важно отслеживать изменения:

Ужесточение штрафов: Тенденция к росту верхних пределов штрафов за повторные и грубые нарушения (до 15 млн руб. или 3% выручки за утечки в отдельных законопроектах).
Биометрия и ИИ: Особое внимание Роскомнадзора к обработке биометрических данных и использованию ИИ для профилирования/автоматизированных решений.
Локализация данных: Контроль за соблюдением ст. 18 ФЗ № 152 (хранение баз данных граждан РФ на территории РФ).
Международное сотрудничество: Рост числа запросов от зарубежных регуляторов (GDPR‚ КЗ‚ РБ и др.). Важно: По информации из открытых источников (Telegram-канал «Акорды» от 24 июня 2026 г.)‚ Глава государства Республики Казахстан подписал Закон «О внесении изменений…»‚ что может повлиять на режим адекватности защиты и правила переграничной передачи с РК, операторам необходимо мониторить обновления списка адекватных стран Роскомнадзором.
Публичные реестры нарушителей: Развитие практики публичного «позора» для недобросовестных операторов.

Проверки Роскомнадзора — это не только инструмент наказания‚ но и драйвер зрелости процессов управления персональными данными в организации. Ключ к успешному прохождению проверки — системность: не «подготовка за неделю»‚ а встроенная в бизнес-процессы культура защиты данных (Privacy by Design).

Рекомендуется:

Проводить внутренние аудиты не реже раза в год.
Вести актуальный реестр операций обработки (ROPA).
Автоматизировать учет запросов субъектов и инцидентов.
Консультироваться с профильными юристами и экспертами по ИБ для актуализации локальных актов и модели угроз.

Своевременная подготовка позволяет не только избежать штрафов и репутационных потерь‚ но и построить доверительные отношения с клиентами и партнерами в цифровой экономике.

Данная статья носит информационный характер и не является правовой консультацией. Для решения конкретных вопросов обратитесь к квалифицированным юристам в области защиты персональных данных.