С 30 мая 2025 года вступил в силу Федеральный закон от № 420-ФЗ, кардинально изменивший ландшафт ответственности за нарушения в сфере персональных данных (ПДн). Размеры административных штрафов увеличены в десятки раз, а Роскомнадзор получил расширенные инструменты для плановых и внеплановых проверок. В этой статье подробно разбираем, как устроен контроль, что проверяют инспекторы, какие риски несут в себе новые санкции и как подготовить организацию к надзору в 2025–2026 годах.
Нормативная база и ключевые изменения 2025 года
Основным документом, регулирующим отношения в этой сфере, остается Федеральный закон от № 152-ФЗ «О персональных данных». Однако ноябрьские поправки (420-ФЗ) стали переломным моментом:
- Драматический рост штрафов: За неуведомление Роскомнадзора о начале обработки ПДн (ст. 19.7.5 КоАП РФ) штрафы для юрлиц составили от 100 000 до 300 000 рублей (ранее до 75 000 руб.), для должностных лиц, от 30 000 до 50 000 рублей, для ИП — от 5 000 до 10 000 рублей.
- Ответственность за утечки: За действия (бездействие), повлекшие незаконную передачу ПДн (ст. 13.11 КоАП РФ), установлены крупные штрафы, зависящие от тяжести последствий и категории субъекта.
- Обязательность реестра: Любой бизнес, обрабатывающий ПДн, обязан быть включенным в реестр операторов на официальном сайте Роскомнадзора. Отсутствие записи — повод для мгновенного штрафа.
Кто и как осуществляет контроль (Функции Роскомнадзора)
Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) является главным органом государственного контроля (надзора) за соблюдением законодательства о ПДн. Деятельность ведомства регламентируется Правилами организации и осуществления государственного контроля и надзора, утвержденными Постановлением Правительства РФ.
Основные формы контроля:
- Плановые проверки — проводятся на основании утвержденного план-графика на год. В 2026 году приоритетом остаются операторы, обрабатывающие большие объемы данных, биометрические и специальные категории ПДн, а также те, по кому поступали жалобы.
- Внеплановые проверки — инициируются по сигналам о нарушениях (жалобы субъектов ПДн, сообщения СМИ, данные о утечках, обращения других ведомств, в т.ч. ФСБ и ФСТЭК).
- Профилактические визиты — более мягкая форма взаимодействия (опрос, ознакомление с документами без изъятия), проводимые по утвержденному перечню индикаторов риска.
- Камеральные проверки, анализ представленных уведомлений, отчетов и публично доступной информации без выезда на объект.
Индикаторы риска (на что обращает внимание Роскомнадзор при планировании):
- Наличие/отсутствие уведомления в реестре или несоответствие сведений в уведомлении реальной обработке.
- Жалобы граждан на неправомерную обработку, отказ в доступе к своим данным, спам.
- Сведения об инцидентах безопасности (утечках) в открытых источниках или от операторов связи.
- Обработка биометрических данных без соответствующего уведомления и мер защиты.
- Передача данных третьим лицам (провайдерам, маркетинговым агентствам) без надлежащих договоров.
Чек-лист: Что проверяет Роскомнадзор при выезде (Документальная база)
По данным аналитических систем (ГАРАНТ, КонсультантПлюс) и практике вебинаров Роскомнадзора, инспекторы запрашивают следующий пакет документов (ЛНА, локальные нормативные акты):
| Категория документов | Ключевые требования |
|---|---|
| Уведомление Роскомнадзора | Актуальная версия, поданная через личный кабинет на сайте РКН. Соответствие целям, категориям субъектов и видам ПДн реальной деятельности. |
| Политика конфиденциальности (для сайта/приложения) | Публичная, понятная, содержащая все обязательные реквизиты (ст. 18.1 152-ФЗ): цели, правовые основания, категории данных, сроки хранения, права субъектов, контакты оператора. |
| Приказы/Распоряжения по 152-ФЗ | Назначение ответственного за обработку ПДн, утверждение ЛНА, создание комиссии по защите ПДн (при необходимости). |
| Модель угроз и Анализ рисков | Документ, обосновывающий выбор мер защиты (ФСТЭК/ФСБ). Актуализируется при изменении ИСПДн или угроз. |
| Перечень мер защиты (Технические/Организационные) | Соответствие приказам ФСТЭК (№ 17, № 21) и ФСБ. Шифрование, контроль доступа, антивирусная защита, учет доступа, резервное копирование. |
| Договоры с третьими лицами (Операторами/Уполномоченными) | Обязательное наличие условий о защите ПДн, запрете дальнейшей передачи без согласия, обязанности уведомлять об инцидентах (п. 11 ст. 6 152-ФЗ). |
| Журналы учета | Учет носителей ПДн, учет доступа сотрудников, учет инцидентов безопасности, учет запросов субъектов ПДн. |
| Документы по работе с персоналом | Согласия сотрудников (при необходимости), служебные записки о ознакомлении с ЛНА под роспись, программы обучения/инструктажей. |
| Акт категорирования ИСПДн | Определение класса защищенности (К1–К4, УБ1–УБ4) для выбора профиля защиты. |
Организация внутреннего контроля: От теории к практике
Согласно рекомендациям экспертов (Контур.Экстерн, ГАРАНТ), главной задачей становится не формальное наличие бумаг, а внедрение устойчивой системы управления защитой ПДн (СУЗПД). Необходимо организовать новый регламент работы сотрудников и обеспечить исполнение обязанностей по контролю во всех подразделениях:
Распределение зон ответственности по департаментам:
- Кадры (HR): Сбор согласий, оформление приказов о допуске, контроль сроков хранения личных дел, инструктажи новичков;
- Бухгалтерия: Защита ПДн в отчетности, безопасная передача данных в фонды/налоговую, учет носителей (флешки, бумага).
- IT / Информационная безопасность: Техническая реализация мер защиты (СЗИ, DLP, SIEM, шифрование), мониторинг инцидентов, управление уязвимостями, резервное копирование.
- Продажи / Маркетинг / Клиентский сервис: Работа с согласиями клиентов (маркетинговые, на звонки/рассылки), обработка запросов субъектов ПДн (доступ, удаление, исправление) в сроки закона (30 дней), исключение «мусорных» баз.
- Юридический отдел: Экспертиза договоров с контрагентами (DP Addendum), сопровождение уведомлений РКН, работа с претензиями и проверками, правовая оценка новых продуктов (Privacy by Design).
- Безопасность (СБ): Физическая защита серверных, режим доступа в помещения с ИСПДн, расследование инцидентов утечки.
Алгоритм действий при проверке Роскомнадзора
- Проверка полномочий: Требовать предъявить служебное удостоверение и приказ (направление) на проведение проверки с указанием оснований и перечня проверяемых вопросов.
- Обеспечение доступа: Предоставлять запрошенные документы и доступ к ИСПДн в установленные законом сроки (обычно 10 рабочих дней для камеральной, по ходу выездной).
- Фиксация процесса: Вести свой журнал посещения инспекторов, фотографировать/сканировать изымаемые документы (с квитанцией), привлекать свидетелей/видеосъемку.
- Обжалование: Акт проверки и предписание об устранении нарушений можно обжаловать в вышестоящее управление Роскомнадзора или в суд в течение 10 дней с момента получения копии.
Типовые ошибки, приводящие к штрафам в 2025–2026 гг.
- Отсутствие уведомления или уведомление «просто для галочки» (не соответствует реальным процессам).
- Обработка без правового основания (ст. 6 152-ФЗ): нет согласия, нет договора, нет законного основания.
- Передача данных подрядчикам (CRM, почта, колл-центры, облака) без договора с условиями ст. 6 152-ФЗ.
- Игнорирование запросов субъектов ПДн (не дали доступ к данным, не удалили по требованию, не уведомили о принятом решении).
- Отсутствие модели угроз / акта категорирования — невозможно доказать адекватность мер защиты.
- Формальное обучение персонала: нет подписей в журнале, нет программы, сотрудники не знают базовые правила (фишинг, чистый стол, пароли).
- Хранение данных дольше необходимого срока без обезличивания или уничтожения.
Практический план подготовки к 2026 году (Roadmap)
- Аудит текущего состояния (Gap-анализ): Внутренний или внешний аудит соответствия 152-ФЗ, приказам ФСТЭК/ФСБ, новым штрафным санкциям.
- Актуализация Реестра уведомлений: Проверка всех записей на сайте РКН. Подача новых/исправленных уведомлений при изменении целей, категорий данных или ИСПДн.
- Приведение ЛНА в соответствие: Политика конфиденциальности, Приказ о защите ПДн, Инструкции по подразделениям, Регламент обработки запросов субъектов.
- Работа с контрагентами: Аудит договоров с провайдерами (хостинг, CRM, рассылки, логистика). Подписание доп. соглашений с обязательствами по защите ПДн и уведомлению об утечках.
- Техническая защита (СЗИ): Внедрение/проверка DLP-систем, шифрования дисков/передачи, MFA, управления привилегированными доступами (PAM), SIEM для логирования.
- Обучение и культура: Проведение инструктажей для всех сотрудников с доступом к ПДн (не только IT). Тестирование на фишинг. Подписание росписей.
- Учет инцидентов: Настройка процесса обнаружения, локализации и уведомления РКН и субъектов ПДн об утечке в срок не позднее 24 часов (по рекомендациям РКН) / 72 часа (по общему правилу ГК РФ/152-ФЗ).
- Мониторинг план-графика: Регулярная проверка сайта РКН на предмет включения организации в план проверок на текущий/следующий год.
Контроль за соблюдением законодательства о персональных данных в России перешел в качественно новое состояние. Стоимость ошибки стала несоизмеримо выше (штрафы до 300 тыс. руб. за административное правонарушение и риск поворотных санкций за утечки). Формальный подход — «сделали папку с приказами и забыли» — гарантированно приведет к взысканиям при первой же проверке (плановой или по жалобе).
Единственная эффективная стратегия — внедрение живой системы управления защитой ПДн, интегрированной в бизнес-процессы всех подразделений (HR, IT, Sales, Legal, Finance), с четким распределением ролей, регулярным аудитом, обучением персонала и технической защитой, соответствующей актуальной модели угроз. Начните с проверки своего уведомления в реестре Роскомнадзора сегодня — это точка входа для любого инспектора.
Данная статья носит информационный характер и не является правовой консультацией. Нормативная база меняется (актуально на ). Для решения конкретных вопросов обратитесь к квалифицированным юристам по защите персональных данных.