В современных реалиях работа с персональными данными (ПДн) становится объектом пристального внимания регулятора. Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) систематически усиливает контроль за соблюдением законодательства. Поскольку практически любая организация, индивидуальный предприниматель или самозанятый, обрабатывающие данные клиентов или сотрудников, являются операторами ПДн, риск попадания под проверку существует у всех. В этой статье подробно разберем виды проверок, ключевые фокусы инспекторов, перечень необходимых документов и алгоритм подготовки к визиту Роскомнадзора на 2025–2026 годы.

Нормативная база и актуальные изменения

Основным документом, регулирующим отношения в этой сфере, является Федеральный закон от № 152-ФЗ «О персональных данных». Нарушения в области защиты ПДн влекут за собой серьезную административную ответственность — штрафы могут достигать миллионов рублей (ст. 13.11 КоАП РФ).

Ключевые законодательные обновления 2024–2025 гг.:

• ФЗ-420 и ФЗ-421 от : вносят изменения в кодексы об административной ответственности, ужесточая санкции за нарушения при обработке персональных данных.
• Изменения в порядке уведомления (вступление в силу с 30 мая 2025 г.): тема уведомления Роскомнадзора об обработке ПДн стала особенно острой. Каждый оператор обязан зарегистрировать уведомление в реестре РКН (за исключением случаев, предусмотренных законом).
• Актуализация требований ФСТЭК и ФСБ: обновлены подходы к обеспечению безопасности ПДн и классификации информационных систем (ИСПДн).

Виды проверок Роскомнадзора

Согласно предоставленным сведениям, проверки осуществляются тремя основными способами. Понимание типа проверки определяет стратегию подготовки и сроки уведомления.

Плановая проверка

Проводится на основании плана проверок, утверждаемого Роскомнадзором. Организации включаются в план на основе критериев риска.

Внеплановая проверка

Назначается по основаниям, предусмотренным ст. 23 ФЗ-152 (жалоба субъекта ПДн, сообщения СМИ, информация от других госорганов, выявление утечки данных и т.д.). Уведомление о ней направляется не позднее чем за 1 сутки до начала.

Инспекционный визит (профилактический визит)

Это наиболее частый формат взаимодействия в 2025–2026 гг. Проводится в отношении организаций, отнесённых к категориям высокого или значительного риска, а также в отношении компаний, приступающих к осуществлению деятельности в сфере обработки ПДн.

Важное отличие: о таком визите контролирующий орган уведомляет организации заранее, за 5 рабочих дней до принятой даты. Это дает ценное время для финальной подготовки.

Ключевые точки проверки: на что смотрит инспектор

Анализ практики показывает, что Роскомнадзор фокусируется на пяти ключевых блоках. Несоответствие хотя бы в одном из них почти гарантированно ведет к предписанию или протоколу.

1. Документальное оформление (ЛНА): наличие и актуальность локальных нормативных актов.
2. Сайт и онлайн-деятельность: соответствие веб-ресурса требованиям 152-ФЗ (политика конфиденциальности, согласие, сбор куки/метрики).
3. Техническая защита информации: меры защиты в ИСПДн, соответствующие уровню защищенности (ПП № 1119).
4. Защита прав субъектов ПДн: обеспечение прав на доступ, исправление, удаление, отзыв согласия.
5. Передача данных третьим лицам: оформление договоров с подрядчиками/операторами, трансграничная передача.

Чек-лист документов: что запросит Роскомнадзор в первую очередь

Подготовка пакета документов — это фундамент успешной проверки. Инспекторы затребуют как общие документы по компании, так и специальные акты по защите ПДн.

Общеорганизационные документы

• Устав организации (актуальная редакция).
• Свидетельство о регистрации (ОГРН/ОГРНИП).
• Приказ о назначении ответственного за организацию обработки персональных данных (запрашивается при любой проверке).
• Уведомление Роскомнадзора об обработке ПДн (с отметкой о внесении в реестр) или основания для освобождения от уведомления.

Основные локальные нормативные акты (ЛНА) по 152-ФЗ

• Политика в отношении обработки персональных данных (опубликованная на сайте и доводенная до сотрудников).
• Правила обработки и защиты персональных данных (внутренний документ).
• Положение об обеспечении безопасности ПДн.
• Инструкция по учету обращений субъектов ПДн.
• Инструкция по действиям при обнаружении утечки ПДн.

Документы по информационным системам (ИСПДн)

• Акт категорирования ИСПДн (определение уровня защищенности: 1, 2, 3, 4 в соответствии с Постановлением Правительства № 1119 от ).
• Модель угроз ИСПДн.
• Акт аттестации ИСПДн (для 1-3 уровней защищенности, проводится аккредитованным центром).
• Схема ИСПДн (описание аппаратного/программного обеспечения, схемы сети).
• Журнал учета машинных носителей ПДн.
• Журналы учета инцидентов безопасности / нарушений режима доступа.

Кадровые и договорные документы

• Согласия сотрудников на обработку ПДн (при найме, для кадрового делопроизводства, биометрия и т.д.).
• Договоры с подрядчиками/операторами, содержащие условия по защите ПДн (ст. 28 152-ФЗ). Роскомнадзор уделяет этому повышенное внимание.
• Документы о передаче данных третьим лицам (в т.ч. трансграничная передача).

Проверка сайта компании: «Цифровой аватар» оператора

Помимо документации, Роскомнадзор обязательно проверит сайт компании. Это удаленный этап проверки, который часто предшествует выездному. Типовые ошибки на сайте:

• Отсутствие или неактуальная Политика конфиденциальности (должна быть доступна по ссылке с любой страницы сбора данных).
• Сбор данных через формы обратной связи, корзину, регистрацию без чек-бокса согласия (или с предзаполненным чек-боксом).
• Использование счетчиков аналитики (Яндекс.Метрика, Google Analytics, пиксели VK/Яндекс) без анонимизации IP и без упоминания в политике.
• Отсутствие информации об использовании Cookie-файлов.
• Ссылки на несуществующие или устаревшие реквизиты уведомления в реестре РКН.

Рекомендация: Проведите аудит сайта на соответствие законодательству перед визитом инспекторов. Настройте сервисы аналитики с учетом требований анонимизации.

Особенности проверки кадровых данных и передачи подрядчикам

Практика показывает, что два направления вызывают 80% претензий:

Кадровые данные (сотрудники)

Инспекторы проверяют полный цикл: от согласия при приеме на работу до правил доступа к личным делам и порядка уничтожения архивов после истечения сроков хранения. Отсутствие приказа о назначении ответственного за кадровые ПДн — частая причина штрафа.

Передача данных контрагентам и подрядчикам (Аутсорсинг)

Если вы передаете данные бухгалтерии, колл-центру, IT-аутсорсеру, курьерам, обязателен договор с условиями ст. 28 152-ФЗ. Инспектор проверит:

• Есть ли у подрядчика уведомление в реестре РКН.
• Соответствуют ли его меры защиты уровню вашей ИСПДн.
• Проведен ли аудит безопасности подрядчика (для 1-3 уровней защищенности).

Пошаговый алгоритм подготовки к проверке (Roadmap)

У вас есть 5 рабочих дней (при инспекционном визите) или меньше (при внеплановой). Действуйте системно:

1. Аудит реестра операторов: проверьте актуальность сведений в реестре РКН (юридический адрес, ФИО руководителя, цели обработки). При расхождениях — подайте изменение.
2. Инвентаризация ИСПДн: составьте реестр всех систем, где хранятся ПДн (1С, CRM, сайт, почта, файловые сервера, бумажные носители).
3. Категорирование и модель угроз: для каждой ИСПДн определите уровень защищенности (1–4) и разработайте модель угроз.
4. Внедрение мер защиты: настройте контроль доступа (ролевая модель), шифрование, антивирусную защиту, резервное копирование, журналирование событий в соответствии с уровнем защищенности (Приложение к ПП № 1119).
5. Документальное оформление: приведите ЛНА в соответствие с реальными процессами. «Бумажная» защита, не работающая на практике, расценивается как нарушение.
6. Работа с персоналом: проведите инструктаж по защите ПДн (с росписью в журнале), соберите актуальные согласия.
7. Аудит сайта и договоров: исправьте ошибки на сайте, приведите договоры с подрядчикам в соответствие со ст. 28 152-ФЗ.
8. Подготовка ответственного лица: назначьте сотрудника, который будет общаться с инспектором, знает, где лежат документы, и может объяснить схему ИСПДн.
9. Сборка «папки для проверки»: подготовьте физическую или электронную папку с полным пакетом документов по чек-листу выше.

Как проходит проверка: практические советы

• Проверьте полномочия: требуйте предъявить служебное удостоверение и постановление о проверке (или уведомление об инспекционном визите).
• Не препятствуйте: отказ в предоставлении документов или доступа к ИСПДн, отдельное административное правонарушение.
• Предоставляйте копии: оригиналы не отдавайте, готовьте заверенные копии под расписку инспектора.
• Фиксируйте процесс: ведите свой протокол действий инспектора, фотографируйте изымаемые документы/носители.
• Не признавайтесь в вине устно: все объяснения давайте письменные, после консультации с юристом/специалистом по 152-ФЗ.

После проверки: предписание, протокол, обжалование

По итогам проверки выдается Акт проверки. При выявлении нарушений — Предписание об устранении нарушений (срок исполнения обычно 10–30 дней) или составляется Протокол об административном правонарушении (ст. 13.11 КоАП РФ).

Важно: И предписание, и протокол можно и нужно обжаловать в вышестоящее управление Роскомнадзора или в суд в 10-дневный срок. Неисполнение предписания влечет повторные проверки и ужесточение штрафов.

Резюме: защита — это процесс, а не разовая акция

Инспекция Роскомнадзора, это стресс-тест для системы управления защитой персональных данных в компании. Главный секрет успешной проверки — не «подготовка за неделю», а построение работающей СЗПДн (системы защиты ПДн) в соответствии с 152-ФЗ и ПП № 1119.

Ключевые пиляры безопасности сегодня:

• Актуальное уведомление в реестре РКН.
• Понятная и работающая Политика конфиденциальности на сайте.
• Категорирование ИСПДн и внедренные меры защиты по уровню;
• Оформленные отношения с подрядчиками (ст. 28 152-ФЗ).
• Готовность обеспечить права субъектов ПДн (доступ, удаление, отзыв согласия) в установленные законом сроки.

Инвестиции в аудит, документацию и техническую защиту сегодня стоят в десятки раз дешевле, чем штрафы, репутационные потери и остановка бизнес-процессов после визита инспекторов. Будьте готовы заранее.

Материал подготовлен на основе актуальной на 2025–2026 гг. практики проверок Роскомнадзора, разъяснений регулятора и судебной практики. Статья носит информационный характер и не заменяет консультацию профильного юриста или лицензированного аудитора по защите информации.