Дата актуализации:  г. 09:10:28

Общие положения

Роскомнадзор – главный надзорный орган в сфере информационных технологий и защиты персональных данных в России. С 2024‑го года регулятор усилил контроль за выполнением требований Федерального закона 152‑ФЗ «О персональных данных» и нового закона 420‑ФЗ от ноября 2024 г. Ключевыми направлениями проверок стали:

• полная локализация баз данных, содержащих персональные данные граждан РФ;
• соответствие процессов трансграничной передачи данных установленным правилам;
• наличие и актуальность документации (политики обработки, уведомления, договоров с подрядчиками);
• использование cookie‑баннеров и иных механизмов согласия пользователя.

Нарушения в любой из этих областей могут привести к административным штрафам, блокировке сервисов и даже уголовной ответственности.

Законодательная база

1. ФЗ‑152 «О персональных данных» (в редакции от 30 мая 2025 г.) – основной нормативный акт, регулирующий сбор, хранение и обработку ПДн.
2. ФЗ‑420 «О защите критической информационной инфраструктуры» (2024 г.) – вводит дополнительные требования к операторам, чья деятельность влияет на безопасность государства.
3. Приказы и методические рекомендации Роскомнадзора (2025‑2026 гг.) – детализируют порядок локализации, формы уведомлений и критерии оценки технической готовности.

Текущие требования к локализации персональных данных (с 1 июля 2025 г.)

Согласно последним изменениям, локализация подразумевает не просто наличие сервера в РФ, а полное физическое размещение всех элементов инфраструктуры, участвующих в сборе, хранении и обработке данных:

• серверы баз данных;
• резервные копии и системы восстановления;
• системы мониторинга и аналитики;
• компоненты облачных сервисов, если они предоставляются третьими лицами.

Роскомнадзор использует автоматизированные инструменты мониторинга (система «Контроль‑Локализация»), которые позволяют в режиме реального времени проверять географическое расположение IP‑адресов и физический доступ к оборудованию.

Трансграничная передача персональных данных

С 1 июля 2025 г. введены более строгие правила:

1. Любая передача ПДн за пределы РФ допускается только после получения согласия субъекта данных и уведомления Роскомнадзора за 30 дней до начала передачи.
2. Если данные изначально собирались в базе, расположенной на территории России, их последующая передача за границу считается трансграничной и подпадает под те же ограничения.
3. Для передачи в страны, не обеспечивающие адекватный уровень защиты, требуется заключить договор о совместной обработке и обеспечить технические меры (шифрование, VPN‑туннели с российскими точками выхода).

Как подготовиться к плановой проверке Роскомнадзора (2026 г.)

Инвентаризация баз данных

• Составьте полный реестр всех баз, содержащих ПДн (название, цель обработки, объём, место размещения, ответственный).
• Проверьте соответствие реестра данным в системе мониторинга Роскомнадзора.

Актуализация документации

1. Уведомление об обработке ПДн – отправьте в Роскомнадзор, если изменились цели, состав данных или место расположения серверов.
2. Обновите политику конфиденциальности и условия пользовательского соглашения в соответствии с новыми требованиями к cookie‑баннерам.
3. Подготовьте договоры с подрядчиками (облачные провайдеры, ИТ‑аутсорсинг) с пунктами о локализации и защите ПДн.

Техническая проверка

• Убедитесь, что все серверы находятся в дата‑центрах РФ и имеют физический доступ только уполномоченным лицам.
• Настройте шифрование данных в покое и в транзите (AES‑256, TLS 1.3).
• Проведите тесты на уязвимости (penetration testing) и убедитесь, что результаты задокументированы.
• Внедрите систему журналирования доступа (логирование всех операций с ПДн, хранение логов минимум 12 месяцев);

Проверка cookie‑баннеров и согласий

С 2025 г. Роскомнадзор требует:

• Отображения полноценного баннера при первом посещении сайта, где пользователь может выбрать типы cookie (необязательные, аналитические, рекламные).
• Хранения доказательства согласия (тайм‑стамп, IP‑адрес, версия политики).
• Возможности отзыва согласия в любой момент без потери доступа к сервису.

Документы, которые обязательно потребует Роскомнадзор

Штрафы и ответственность

Согласно постановлению от 15 янв. 2026 г.:

• За отсутствие локализации – штраф от 5 млн до 30 млн рублей (в зависимости от объёма нарушенных данных).
• За несвоевременное уведомление о трансграничной передаче – штраф 1 млн руб.
• За отсутствие согласия пользователя на обработку cookie – штраф 500 тыс; руб.
• Повторные нарушения в течение 12 мес. могут привести к приостановке деятельности организации.

Статистика 2025‑2026 гг.: в 100 % случаев, когда Роскомнадзор составлял протокол о нарушении локализации, компании привлекались к ответственности.

Практические рекомендации (чек‑лист)

1. Проведите инвентаризацию всех баз ПДн и сопоставьте её с реестром в Роскомнадзоре.
2. Обновите уведомления в случае любых изменений (цели, категории, место).
3. Перенесите все серверы в дата‑центры, расположенные в России, включая резервные копии.
4. Внедрите шифрование и систему журналирования доступа.
5. Обновите cookie‑баннер – предоставьте пользователю выбор и возможность отзыва согласия.
6. Проведите внутренний аудит (или привлеките внешнюю фирму) и подготовьте отчёт.
7. Сформируйте пакет документов (уведомления, договоры, политики, логи) и разместите их в защищённом репозитории.
8. Назначьте ответственного за взаимодействие с Роскомнадзором (обычно – DPO – Data Protection Officer).

Пример формы уведомления об изменении сведений (приложение А)

<?xml version="1.0" encoding="UTF-8"?>
<Уведомление xmlns="http://roskomnadzor.gov.ru/152-fz">
 <НомерДокумента>2026-07-15-001</НомерДокумента>
 <ДатаСоставления>2026-07-15</ДатаСоставления>
 <Оператор>
 <Наименование>ООО "ТехИнфо"</Наименование>
 <ИНН>7701234567</ИНН>
 </Оператор>
 <Изменения>
 <ЦельОбработки>Обновление CRM‑системы</ЦельОбработки>
 <СоставДанных>ФИО, телефон, e‑mail, история покупок</СоставДанных>
 <МестоположениеБазы>Дата‑центр "DataCenter‑Moscow", ул. Ленина, 10, Москва</МестоположениеБазы>
 </Изменения>
 <ПодписьОтветственного>Иванов И;И.</ПодписьОтветственного>
</Уведомление>

Проверки Роскомнадзора в 2025‑2026 гг. стали более технически детализированными и строгими. Основные требования – полная локализация всех компонентов инфраструктуры, своевременное уведомление о любых изменениях и прозрачное получение согласий от пользователей. Компании, которые заранее внедрят описанные практики, смогут не только избежать штрафов, но и повысить уровень доверия со стороны клиентов и партнёров.

Помните: профилактика лучше штрафа. Регулярный аудит, актуальная документация и чёткая внутренняя политика обработки персональных данных – залог стабильной работы в условиях современной цифровой экономики.

Статья подготовлена на основе открытых источников (КонсультантПлюс, ИТ‑Решения, Linkodium и др.) и актуальна на .