Бесплатная консультация юриста

+7 (800) 301-07-30

Реклама jurik.ru

Актуально на: 02 августа 2026 г.

Надзорные проверки со стороны Роскомнадзора (уполномоченного органа по защите прав субъектов персональных данных) являются стресс-тестом для любой организации, обрабатывающей персональные данные. Федеральные законы (в первую очередь 152-ФЗ «О персональных данных»), постановления Правительства РФ и подзаконные акты устанавливают строгие требования к защите информации ограниченного доступа. Несоблюдение этих норм влечет за собой административную, а в некоторых случаях — уголовную ответственность.

В этой статье мы собрали ответы на самые частые вопросы, которые возникают у операторов персональных данных при подготовке к проверкам и в ходе их проведения. Материал основан на актуальном законодательстве и практике контролирующих органов.

Правовые основы и полномочия контролирующего органа

Кто осуществляет надзор за защитой персональных данных?

Главным контролирующим органом является Роскомнадзор (Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций). К его полномочиям относятся:

Осуществление федерального государственного контроля (надзора) за обработкой персональных данных;
Обращение в суд с исковыми заявлениями в защиту прав субъектов персональных данных и неопределенного круга лиц;
Привлечение к административной ответственности лиц, виновных в нарушении законодательства о персональных данных;
Запрашивание у физических или юридических лиц информации, необходимой для реализации своих полномочий, и безвозмездное получение такой информации;
Осуществление проверки сведений, содержащихся в уведомлении об обработке персональных данных.

Какие нормативные акты регулируют процесс проверки?

Основой служат:

Федеральный закон от № 152-ФЗ «О персональных данных»;
Федеральный закон от № 115-ФЗ «Об информации, информационных технологиях и о защите информации»;
Кодекс РФ об административных правонарушениях (КоАП РФ), в частности ст. 13.11;
Постановления Правительства РФ, устанавливающие требования к защите ПДн (например, Постановление № 1119, ФСТЭК/ФСБ руководящие документы);
Федеральный закон № 294-ФЗ «О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и финансового контроля» (регламентирует порядок проведения проверок).

Виды проверок и их особенности

Какие бывают проверки?

Согласно 294-ФЗ, выделяют два основных вида:

Документарные проверки — проводятся на основании документов и сведений, представленных контролируемым лицом, либо имеющихся у контролирующего органа. Срок, до 30 рабочих дней (может быть продлен до 20 дней). Выезд инспекторов не требуется.
Выездные проверки — проводятся на месте осуществления деятельности контролируемого лица. Срок — до 20 рабочих дней (в исключительных случаях до 30, с продлением до 10 дней). Требуется предписание руководителя органа контроля.

Что такое «мероприятие по контролю без взаимодействия с контролируемыми лицами»?

В условиях моратория на проверки малого и среднего бизнеса (продлеваемого ежегодно) Роскомнадзор активно использует этот формат. Проще говоря, инспекторы анализируют открытые источники (сайт компании, реестры, открытые базы данных) без направления официальных запросов и визита в офис. По итогам может быть составлен акт о выявленных нарушениях или направлено предписание об устранении нарушений.

Является ли запрос информации по обращению гражданина проверкой?

Нет. Направление контролируемому лицу запросов о получении информации по существу вопросов, указанных в обращениях граждан, не является документарной проверкой. Однако игнорировать такие запросы нельзя, это отдельное основание для привлечения к ответственности.

Подготовка документационного пакета: что проверяют в первую очередь

Нужно быть готовым к проверке локальных нормативных актов (ЛНА) и мер по защите данных. Инспекторы практически всегда запрашивают следующий пакет документов:

Обязательные локальные нормативные акты (чек-лист):

Политика обработки персональных данных — описывает, как организация работает с данными во всех категориях субъектов (клиенты, сотрудники, контрагенты, посетители сайта). Используется для выполнения требований закона и предъявляется при проверках.
Политика конфиденциальности сайта, адресована пользователям интернет-ресурса, объясняет, какие данные собираются, как обрабатываются, хранятся и защищаются.
Приказ о назначении ответственного за обработку ПДн (часто совпадает с руководителем или выделенным сотрудником/ДСП).
Приказы о возложении ответственности за обработку ПДн на конкретных сотрудников (уполномоченных лиц).
Документы классификации информационных систем персональных данных (ИСПДн) (Уровни 1–4).
Модель угроз ИСПДн.
Перечень мер по защите ПДн, реализуемых в соответствии с моделью угроз и уровнем защищенности.
Инструкции по обработке конфиденциальной информации для сотрудников.
Договоры/контракты с подрядчиками, получающими доступ к ПДн (передача третьим лицам).
Трудовые договоры/доп. соглашения с условиями неразглашения конфиденциальной информации.
Журналы учета (учет носителей, учет инцидентов, учет доступа к ИСПДн).
Акты инвентаризации носителей ПДн.
Уведомление об обработке ПДн (если подлежит публикации в реестре Роскомнадзора) или подтверждение исключения из реестра.

Частая ошибка: Отсутствие трудовых договоров и инструкций

Практика показывает, что одной из самых частых нарушений является отсутствие трудовых договоров, контрактов и инструкций по обработке конфиденциальной информации у сотрудников, имеющих доступ к ПДн. Каждый сотрудник, касающийся данных, должен быть ознакомлен с инструкцией под роспись.

Часто задаваемые вопросы (FAQ)

Вопрос 1: В каких случаях операторами не должна обеспечиваться конфиденциальность персональных данных?

Исключения установлены ст. 6 и ст. 10 152-ФЗ. Конфиденциальность не обеспечивается (обработка без согласия возможна) при:

Обработке в целях, установленных законодательством о государственной службе, трудовом, пенсионном и др. законодательстве;
Обработке судебными органами, прокуратурой, следственными органами в порядке, установленном законом;
Обработке данных, сделанных общедоступными самим субъектом;
Обработке в статистических или научных целях (при обезличивании);
Осуществлении правопорядковой деятельности.

Важно: Даже в этих случаях оператор обязан обеспечивать защиту данных от несанкционированного доступа (ст. 19 152-ФЗ).

Вопрос 2: Как оператору подать Уведомление об обработке (о намерении осуществлять обработку) персональных данных?

С 2022 года уведомление подается исключительно в электронном виде через личный кабинет на сайте Роскомнадзора (реестр операторов). Бумажные уведомления не принимаются; Необходимо заполнить форму согласно Приказу Роскомнадзора, указать категории субъектов, категории ПДн, цели, правовые основания, меры защиты и сведения об ИСПДн.

Вопрос 3: Что спрашивают про сайт при проверке по 152-ФЗ?

Роскомнадзор уделяет особое внимание интернет-ресурсам. Проверяются:

Наличие Политики конфиденциальности в доступном месте (обычно ссылка в футере).
Соответствие Политики реальным процессам сбора данных (формы обратной связи, корзина, авторизация, куки, счетчики Яндекс.Метрики/Google Analytics).
Наличие согласия на обработку ПДн (чек-боксы) у форм сбора данных. Согласие должно быть свободным, конкретным, информированным и безусловным (ст. 9 152-ФЗ).
Информирование пользователей о цели сбора перед отправкой формы.
Язык интерфейса (должен быть на русском языке для пользователей в РФ).
Наличие информации об операторе (ОГРН, ИНН, адрес, контакты).

Вопрос 4: Какие меры защиты ПДн считаются достаточными?

Меры защиты должны соответствовать уровню защищенности ИСПДн (1–4) и модели угроз. Нет единого шаблона. Минимальный набор (для 4 уровня):

Организационные: ЛНА, инструкции, режимы доступа, обучение персонала, инвентаризация носителей.
Технические: Парольная защита, антивирусы, межсетевые экраны, резервное копирование, контроль целостности, защита от утечек (DLP — для высоких уровней), шифрование (при передаче по открытым каналам).

Инспекторы проверяют не просто наличие ПО, а документальное оформление его применения (журналы настройки, акты проверки работоспособности, логи доступа).

Вопрос 5: Как проводить внутренние расследования по фактам разглашения конфиденциальной информации?

Организация должна иметь утвержденный Порядок проведения внутренних расследований. Основные этапы:

Обнаружение инцидента (утеча, потеря носителя, хакерская атака).
Фиксация фактов (акт комиссии, скриншоты, логи, изъятие носителей).
Оценка масштаба и категории пострадавших субъектов.
Уведомление Роскомнадзора и субъектов ПДн (в срок не позднее 24 часов с момента обнаружения, если утечка создает угрозу правам субъектов — ст. 22.1 152-ФЗ).
Принятие мер по локализации и устранению последствий.
Анализ причин и корректировка модели угроз/мер защиты.

Вопрос 6: Что делать, если инспектор требует предоставить сами базы данных (дампы)?

Инспектор имеет право запрашивать информацию, необходимую для реализации полномочий. Однако требование предоставить «сырые» базы данных с персональными данными клиентов/сотрудников может противоречить цели проверки (проверка организации защиты, а не самих данных) и принципу минимизации. Организация может:

Предоставить структуру БД, описание таблиц, скрипты создания схемы (без данных).
Показать работу системы защиты (маскирование, шифрование, разграничение доступа) в режиме демо-доступа под контролем ответственного лица.
Сослаться на ст. 19 152-ФЗ (обязательность защиты от несанкционированного доступа) — передача данных инспектору на флешку/почте может быть расценена как нарушение режима конфиденциальности самой организацией.

Любой отказ должен быть мотивированным письменно.

Типичные нарушения и штрафы (КоАП РФ ст. 13.11)

Нарушение	Санкция для должностных лиц	Санкция для юрлиц
Нарушение прав субъектов ПДн (отказ в доступе, исправлении, удалении)	3 000 – 5 000 руб.	15 000 – 75 000 руб.
Обработка ПДн без согласия / без правовых оснований	5 000 – 10 000 руб.	15 000 – 75 000 руб. (повторно: 100 000 – 500 000 руб.)
Непубликация/неактуализация Политики обработки / Уведомления в реестре	3 000 – 5 000 руб.	15 000 – 75 000 руб.
Необеспечение защиты ПДн (отсутствие ЛНА, мер защиты, модели угроз)	10 000 – 20 000 руб.	50 000 – 150 000 руб. (повторно: 300 000 – 500 000 руб.)
Неуведомление Роскомнадзора об утечке ПДн	20 000 – 30 000 руб.	100 000 – 300 000 руб.

* Размеры штрафов актуальны на 2026 год. За повторные нарушения в течение года применяются повышенные санкции.

Практический чек-лист: Как подготовиться к выездной проверке за 1 день

Собрание «аварийной бригады»: Руководитель, Ответственный за ПДн (ДСП), Юрист, Сисадмин/Инфобезопасник.
Проверка «коробки с документами»: Есть ли все приказы, политики, инструкции с росписями сотрудников? Актуальны ли версии (даты утверждения не старше года или после изменений в законе)?
Аудит сайта (15 мин): Открыть Политику конфиденциальности. Проверить формы: есть чек-бокс согласия? Ведет ли ссылка на актуальную Политику? Есть ли ОГРН/ИНН в футере?
Проверка Уведомления в реестре: Зайти на сайт РКН -> Реестр операторов -> Найти свою организацию. Совпадают ли категории ПДн, цели, ИСПДн с реальностью?
Меры защиты: Готовы ли логи доступа к ИСПДн за последний год? Есть ли акты проверки антивирусов/бэкапов? Где модель угроз и классификация?
Подрядчики: Есть ли договоры с условиями ст. 28 152-ФЗ у всех, кто имеет доступ (1С в облаке, CRM, колл-центр, аутсорс кадровика)?
Инциденты: Были ли утечки? Были ли уведомлены РКН и субъекты? Где акты?
Рабочее место ответственного: У ответственного за ПДн должен быть быстрый доступ ко всем журналам и ЛНА (электронно или бумажно).

Надзорная проверка, это не цель, а инструмент проверки системной работы по защите персональных данных. Главный совет: не готовиться к проверке «на скорую руку», а выстроить процесс непрерывного соответствия (Compliance).

Автоматизируйте учет: используйте системы DLP, SIEM, управление доступом (IdM) для генерации отчетов «одной кнопкой».
Проводите внутренние аудиты раз в квартал по чек-листу выше.
Обучайте персонал: регулярные инструктажи (раз в год и при приеме) с росписью в журнале — лучшая защита от штрафов за «человеческий фактор».
Ведите диалог с инспекторами конструктивно: предоставляйте запрошенное в срок, просите уточнять правовые основания требований, оспаривайте необоснованные акты в судебном порядке.

Защита прав субъектов персональных данных — это не только про штрафы, это про репутацию бизнеса и доверие клиентов. Системный подход к конфиденциальности делает любую проверку рутинной процедурой, а не кризисной ситуацией.

Данная статья носит информационный характер и не является правовой консультацией. Для решения конкретных вопросов обратитесь к квалифицированному юристу по защите персональных данных.