Деятельность ИТ-компаний в Российской Федерации тесно переплетена с регулированием в сфере связи, информационных технологий и защиты персональных данных. Основным контролирующим органом здесь выступает Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) и его территориальные органы. Понимание процедур, оснований и особенностей проверок позволяет бизнесу минимизировать риски штрафов, блокировок и приостановки деятельности.

Нормативная база и виды контроля

Правовое регулирование проверок строится на нескольких ключевых актах:

• ФЗ № 294 «О защите прав юридических лиц и ИП при осуществлении государственного контроля (надзора) и муниципального контроля» — базовый закон, регламентирующий все виды проверок (плановые, внеплановые, профилактические визиты).
• ФЗ № 126 «О связи» — определяет полномочия Роскомнадзора по надзору за соблюдением законодательства о связи.
• ФЗ № 152 «О персональных данных» — основа для проверок соответствия обработки ПДн требованиям закона.
• ФЗ № 149 «Об информации, информационных технологиях и о защите информации — регулирует деятельность хостинг-провайдеров, владельцев поисковиков, мессенджеров, соцсетей и т.д.
• Административный регламент Роскомнадзора (утв. приказом от № 896), детально описывает порядок проведения проверок.

Основные виды проверок для ИТ-бизнеса:

1. Плановые проверки, проводятся на основании утвержденного плана работы Роскомнадзора. Важно: с 2021 года введен мораторий на плановые проверки малого и среднего бизнеса (МСП) до 2030 года (с исключениями для высокорисковых сфер). Большинство ИТ-компаний (разработчики ПО, веб-студии, стартапы) попадают под мораторий, если не входят в реестр высокого риска;
2. Внеплановые проверки — назначаются по основаниям, указанным в ст. 9 ФЗ № 294 (жалоби граждан/организаций, сообщения СМИ, поручения Президента/Правительства/Генпрокуратуры, устранение выявленных нарушений и т.д.). Для ИТ-сферы частый триггер — жалобы на спам, утечки данных, нарушение закона о «провайдерах хостинга» (удаление контента) или законе о «высадке» (предустановка ПО).
3. Профилактические визиты — не проверки в строгом смысле, а консультационные мероприятия. Проводится не чаще 1 раза в 3 года для каждого субъекта МСП. Не влекут наложения штрафов, но фиксируют нарушения для устранения.
4. Разовые меры контроля (разовые действия) — закупка товара/услуги (тайный покупатель), опрос потребителей, изучение отчетности. Часто применяются для проверки соответствия тарифов, условий договора оферты, наличия лицензии.
5. Мониторинг — автоматизированный сбор информации из открытых источников (сайты, реестры, реестр запрещенных сайтов, реестр операторов ПДн).

Ключевые сферы риска для ИТ-компаний

Инспекторы Роскомнадзора при проверках ИТ-компаний фокусируются на специфических для отрасли требованиях:

А. Лицензирование деятельности

Наличие лицензии Минцифры на телематические услуги (предоставление доступа к интернету, VPN, хостинг, колокация, IP-телефония, VPN-сервисы). Разработка ПО (Custom development) и SaaS (если не предоставляется канал связи) лицензии не требуют, но на практике инспекторы часто требуют доказать отсутствие признаков телематических услуг в бизнес-модели.

Б. Закон о персональных данных (152-ФЗ)

• Наличие локального акта (Политики обработки ПДн) и ее публикация на сайте.
• Назначение ответственного за обработку ПДн.
• Обеспечение прав субъектов ПДн (согласие, отзыв, доступ, удаление).
• Локализация баз данных (ч. 5 ст. 18 152-ФЗ) — хранение баз, содержащих ПДн граждан РФ, на территории России. Критично для SaaS, EdTech, FinTech, HR-Tech.
• Уведомление Роскомнадзора об обработке ПДн (внесение в реестр операторов).
• Меры защиты информации (МЗИ) по приказам ФСТЭК № 17/21 (для ГИС/КИИ) или типовым требованиям для остальных.

В. Закон об информации (149-ФЗ), обязанности хостинг-провайдеров и организаторов распространения информации

• Удаление запрещенной информации по требованию (суд, Генпрокуратура, Роскомнадзор) в течение 24 часов.
• Хранение информации о фактах получения/передачи/доставки/обработки голосовой информации, текстов, изображений, звуков, видео и иных сообщений (закон о «блогерах»/мессенджерах — ст. 10.1, 15.1 149-ФЗ) в течение 6 месяцев на территории РФ.
• Идентификация пользователей (по номеру телефона/ЕСИА) для мессенджеров, соцсетей, почтовых сервисов.
• Предварительная установка российского ПО («Закон о высадке» — ст. 18;1 149-ФЗ) на смартфоны, компьютеры, Smart TV.

Г. Закон о связи (126-ФЗ), для операторов связи

• Соблюдение условий лицензии (покрытие, качество, тарифы).
• Обеспечение оперативной следственно-розыскной деятельности (ОРД/СОРМ), установка оборудования, предоставление ключей шифрования ФСБ.
• Защита абонентской информации (запрет передачи третьим лицам без согласия).

Д. Рекламное законодательство и защита прав потребителей

Проверка соответствия оферт, пользовательских соглашений, правил сервиса требованиям Закона о защите прав потребителей и Закону о рекламе (маркировка рекламы, токен АДАТА, передача данных в ОРД).

Процедура проведения выездной проверки: пошаговый алгоритм

Этап 1: Начало проверки (Приказ/Постановление)

Проверка начинается с вручения руководителю (или уполномоченному лицу) приказа (постановления) о проведении проверки. Документ должен содержать:

• Основание и основания проверки (ссылка на закон, жалобу, поручение).
• Сроки проведения (обычно до 20 рабочих дней, продление до 10 дней — руководителем тероргана, до 30 дней — руководителем Роскомнадзора).
• Перечень вопросов, подлежащих проверке.
• Состав проверяющей группы.
• Ссылку на план проверок (если плановая) или на основание внеплановой.

Совет: Тщательно проверьте компетенцию инспекторов (служебные удостоверения), соответствие перечня вопросов основаниям. Отказ в вручении приказа не прекращает проверку, но фиксируется в акте.

Этап 2: Предъявление требований и изъятие документов

Инспекторы имеют право требовать документы, указанные в приказе, а также связанные с ними. Ключевые правила:

• Требования оформляются письменно (на бумаге или в ЭДО).
• Срок предоставления, не менее 5 рабочих дней (если иное не установлено законом).
• Изъятие оригиналов допускается только при невозможности копирования, с составлением акта и выдачей копий под роспись.
• Доступ к информационным системам/серверам: инспекторы могут запросить доступ к логам, базам данных, конфигам; Компания обязана обеспечить доступ (пароли, ключи), но имеет право потребовать составления протокола доступа с указанием того, к чему именно был предоставлен доступ.

Этап 3: Опросы и осмотр

• Опрос сотрудников, добровольный. Отказ не влечет ответственности, но фиксируется.
• Осмотр помещений, серверных, рабочих мест — только в присутствии понятых (2 человека) или с видеозаписью. Акт осмотра подписывается всеми участниками.

Этап 4: Завершение проверки — Акт и Предписание

По итогам составляется Акт проверки (форма по Приказу Роскомнадзора). В акте фиксируются:

• Выявленные нарушения (или их отсутствие).
• Доказательная база (ссылки на документы, логи, объяснения).
• Нормы права, нарушенные действиями/бездействием.

Если нарушения есть, выдается Предписание об устранении нарушений со сроками исполнения (обычно 10–30 дней).

Особенности взаимодействия: «Лайфхаки» для ИТ-компаний

Подготовка «Тревожного чемоданчика» (Compliance-папки)

Держите в открытом доступе (для юристов/безопасности) актуальные версии:

• Устава, выписки ЕГРЮЛ, лицензий (если есть).
• Политики ПДн, Порядка обработки жалоб пользователей.
• Договоров с подрядчиками (операторами связи, дата-центрами), ст. 24.1 152-ФЗ (передача ПДн третьим лицам).
• Актов категорирования объектов КИИ/ГИС (если применимо) и сертификатов ФСТЭК/ФСБ.
• Логов СОРМ/ОРД (если оператор связи) — хранить 3 года.
• Отчетов о проверке соответствия требованиям 152-ФЗ (внутренний аудит).

Работа с «Локализацией данных» (ст. 18 152-ФЗ)

Это «ахиллесова пята» многих стартапов, использующих AWS, Google Cloud, Azure, DigitalOcean за рубежом.

• Используйте российские облака (Яндекс.Облако, VK Cloud, Selectel, Timeweb Cloud, SberCloud) для хранения ПДн граждан РФ.
• Если используете гибрид — четко разделяйте потоки: ПДн РФ, только в РФ контуре.
• Будьте готовы показать инспектору схему архитектуры: где физически лежат диски с БД пользователей.

СОРМ и шифрование

Если вы оператор связи (VPN, хостинг с выделенным IP, VoIP, провайдер интернета):

• Обязательно установите СОРМ (ПСОРМ/ТСОРМ) по приказам ФСБ.
• Предоставьте ФСБ ключи шифрования (ст. 13 126-ФЗ). Отказ — основание для приостановки лицензии.
• Для обычных SaaS/веб-сервисов (не операторы связи) требования СОРМ не применяются, но могут требоваться меры защиты по 152-ФЗ.

Удаление контента (149-ФЗ)

Настройте автоматический/полуавтоматический процесс обработки требований Роскомнадзора (Реестр запрещенных сайтов, требования Генпрокуратуры, судебные решения).

• Срок реакции — 24 часа.
• Ведите журнал учета требований и действий по ним.
• Для мессенджеров/почты: храните метаданные (кто, кому, когда, IP) — месяцев в РФ.

Маркировка рекламы и ОРД

Если монетизируете трафик или размещаете партнерские ссылки:

• Передавайте данные в ОРД (Оператор реklamных данных) — АДАТА, МТС, Яндекс, VK и др.
• Получайте и проставляйте токен (erid) в каждом рекламном креативе/посте.
• Храните копии рекламных материалов и договоров 3 года.

Обжалование действий инспекторов

Не согласны с актом, предписанием или действиями проверяющих? Действуйте быстро:

1. В порядке подчинения (внутри ведомства): Жалоба руководителю вышестоящего тероргана Роскомнадзора или непосредственно в Центральный аппарат (Москва) в течение 10 дней со дня получения копии акта/предписания. Не приостанавливает исполнение предписания.
2. В судебном порядке (КАС): Иск в арбитражный суд по месту нахождения проверяемого (ст. 22 ФЗ № 294). Срок — 3 месяца со дня получения акта/предписания. Можно ходатайствовать о приостановлении исполнения предписания на время судебного разбирательства (если исполнение принесет непоправимый вред).
3. Жалоба в Прокуратуру: На нарушение процедуры проверки (превышение сроков, выход за пределы перечня вопросов, давление).

Типичные ошибки ИТ-компаний при проверках

Актуальные тренды 2024–2026 гг.

• Тотальная цифровизация контроля: Роскомнадзор активно внедряет автоматизированные системы мониторинга (АСМ) для проверки доступности сайтов, наличия политик ПДн, маркировки рекламы, соответствия реестру запрещенных ресурсов. Проверки становятся «безвыездными» по умолчанию.
• Фокус на КИИ/ГИС: Если ИТ-компания обслуживает объекты Критической информационной инфраструктуры (банки, энергетика, транспорт, медицина, госсектор), проверки проводятся совместно с ФСТЭК и ФСБ. Требования: сертифицированные СЗИ, категории защищенности, инцидент-менеджмент (ГоСОПКА).
• Закон о «высадке» ПО (149-ФЗ, ст. 18.1): Активные проверки производителей/импортеров/продавцов оборудования на наличие предустановленного российского ПО (Реестр Минцифры). Штрафы до 200 тыс. руб. за единицу товара.
• ИИ и большие данные: Начало регулирования ИИ (поправки в 149-ФЗ, 152-ФЗ). Проверки соответствия рекомендательным системам, прозрачности алгоритмов, обучению на ПДн.
• Кросспограничная передача ПДн: Ужесточение контроля за передачей данных в «недружественные» юрисдикции. Требуются стандартные договорные условия (СДУ) или иные основания (согласие, договор).

Проверки Роскомнадзора для ИТ-компаний — это не случайность, а системный риск, который необходимо управлять. Ключ к успешному прохождению — проактивный комплаенс: аудит соответствия 152-ФЗ, 149-ФЗ, 126-ФЗ и рекламному законодательству до прихода инспекторов.

Инвестиции в правильную архитектуру хранения данных (локализация), оформление документооборота (политики, уведомления, договоры с операторами), настройку процессов удаления контента и взаимодействия с ОРД/СОРМ стоят на порядки дешевле штрафов, блокировок и репутационных потерь. В случае начала проверки — действуйте спокойно, по закону, фиксируйте все действия инспекторов и подключайте профильного юриста по ИТ-праву на ранней стадии.