Актуальность: Статья подготовлена с учетом законодательной практики и рекомендаций экспертов на . Наличие моратория на плановые проверки не освобождает операторов персональных данных (ОПД) от выполнения требований 152-ФЗ «О персональных данных» и иных нормативных актов. Профилактические визиты‚ внеплановые проверки и камеральные аудиты продолжают проводиться.

Понимание видов проверок и правовой базы

Прежде чем приступать к подготовке‚ критически важно понимать‚ с чем именно вы можете столкнуться. Роскомнадзор осуществляет контроль в нескольких формах:

• Плановые проверки: Проводятся на основании утвержденного графика (формируется до конца предыдущего года). Требуют предварительного уведомления не позднее чем за 3 рабочих дня.
• Внеплановые проверки: Назначаются при наличии оснований (жалобы граждан‚ сообщения СМИ‚ поручения вышестоящих органов‚ выявленные нарушения). Уведомление может отсутствовать.
• Профилактические визиты: Не являются проверками в строгом смысле (нет акта проверки)‚ но позволяют инспекторам оценить состояние дел и выдать предписание об устранении нарушений.
• Камеральные проверки (дистанционные): Проведение анализа информации‚ представленной ОПД (уведомления‚ отчеты‚ публичные источники‚ сайт организации) без визита на место.

Ключевой нормативный акт: Федеральный закон от № 152-ФЗ «О персональных данных»‚ КоАП РФ (ст. 13.11‚ 19.7 и др.)‚ Постановления Правительства РФ‚ приказы ФСТЭК и ФСБ.

Дорожная карта: Пошаговая стратегия подготовки

Эксперты рекомендуют системный подход — «Дорожную карту»‚ объединяющую процессы‚ документы и техническую реализацию. Не ждите назначения проверки‚ ведите подготовку в режиме постоянной готовности.

Этап 1: Инвентаризация и аудит текущего состояния (AS IS)

1. Карта обработки ПДн: Составьте полный реестр всех процессов обработки персональных данных: какие данные‚ от кого‚ на каком основании‚ кем обрабатываются‚ где хранятся‚ кто имеет доступ.
2. Аудит информационных систем (ИСПДн): Определите категории значимости (К1–К4) и уровни угроз по требованиям ФСТЭК (Приказ № 17/21).
3. Проверка уведомлений: Все ли ИСПДн уведомлены в Роскомнадзор? Соответствуют ли сведения в реестре реальности? (С 2022 г. уведомление подается только при создании новых систем или изменении сведений‚ но актуальность данных обязательна).

Этап 2: Документальное обеспечение (Локальные акты)

По данным практики‚ инспекторы запрашивают пакет из 30–35 ключевых документов. Отсутствие хотя бы одного, основание для предписания или штрафа.

Обязательный минимум локальных актов:

• Политика в отношении обработки персональных данных (публикуется на сайте).
• Приказ о назначении ответственного за организацию обработки ПДн.
• Модель угроз ИСПДн (утвержденная руководителем).
• Перечень мер обеспечения безопасности ПДн (соответствующий модели угроз и категории значимости).
• Инструкции по организации защиты ПДн (физическая‚ программная‚ организационная).
• Регламент учета носителей ПДн и контроля их перемещения.
• Инструкция по действиям персонала при инцидентах безопасности (утечка‚ несанкционированный доступ).
• Документы по защите от НСД (несанкционированного доступа): реестр пользователей‚ матрица доступа‚ журналы учета доступа/инцидентов.
• Локальные акты по работе с субъектами ПДн: порядок получения согласий‚ реализации прав субъектов (удаление‚ блокировка‚ уточнение).
• Договоры с операторами/третьими лицами (передача ПДн)‚ содержащие обязательные условия ст. 28 152-ФЗ.

Этап 3: Работа с сайтом и публичными ресурсами (Критично для камеральной проверки)

Сайт — первое‚ что проверяет инспектор дистанционно. Ошибки здесь — гарантированный повод для визита.

Чек-лист сайта (основные пункты):

• Политика конфиденциальности: Легко доступная ссылка в футере/шапке‚ соответствует ст. 18.1 152-ФЗ (назначение‚ категории ПДн‚ основания‚ способы‚ сроки‚ права субъектов‚ меры защиты‚ перечень третьих лиц).
• Формы сбора данных: Наличие чек-бокса согласия (не предустановленного!)‚ ссылки на политику‚ текста согласия‚ соответствующего целям сбора.
• Cookie-политика и баннер: Информирование об использовании куки‚ метрики‚ пикселей; возможность отказа.
• Реквизиты ОПД: Полное наименование‚ ИНН/ОГРН‚ адрес‚ контакты ответственного лица / ДПО (Data Protection Officer).
• Информация о правах субъектов: Четкая инструкция‚ как и куда обращаться для реализации прав (удаление‚ доступ‚ отзыв согласия).
• Отсутствие «мусорных» данных: Нет ли в открытом доступе тестовых баз‚ логов‚ бэкапов‚ списков клиентов в исходном коде или доступных директориях?

Этап 4: Техническая защита информации (ТЗИ)

Документы без технической реализации, фикция. Проверяют соответствие Приказа ФСТЭК от № 21 (для ГИС/КИИ — Приказ № 17).

• Средства защиты от НСД: Сертифицированные СЗИ (антивирусы‚ МЭ‚ СКЗИ‚ СДВП). Наличие сертификатов ФСТЭК/ФСБ‚ срок действия не истек.
• Учет и контроль доступа: Идентификация/аутентификация пользователей‚ разграничение прав (принцип минимальных привилегий)‚ ведение журналов событий (хранение не менее 3 лет для критических систем).
• Защита от вредоносного ПО: Регулярное обновление сигнатур‚ централизованное управление.
• Резервное копирование: Регламент‚ периодичность‚ проверка восстановления (тестовые восстановления)‚ шифрование бэкапов.
• Уничтожение/обезличивание: Сертифицированные средства уничтожения носителей‚ акты об уничтожении.

Этап 5: Организационные меры и работа с персоналом

• Обучающие программы: Ежегодное обучение сотрудников‚ допущенных к обработке ПДн (документированное: журналы‚ протоколы тестирования‚ приказа).
• Подписание обязательств: У всех сотрудников в трудовом договоре или доп. соглашении/обязательстве есть пункт о неразглашении ПДн.
• Режим доступа к помещениям: Контроль входа в серверные‚ архивы‚ кабинеты с ПДн на бумаге.
• Работа с инцидентами: Наличие плана реагирования‚ сроки уведомления Роскомнадзора и субъектов ПДн (в течение 24 часов после обнаружения утечки, ст. 22.1 152-ФЗ).

Маршрут проверки: Что происходит в день визита

Понимание процедуры снижает стресс и позволяет грамотно выстроить защиту.

1. Предъявление документов: Инспектор показывает служебное удостоверение и приказ о проверке (для плановых) или основание (для внеплановых). Проверьте полномочия и сроки.
2. Ознакомление с правами/обязанностями: Вам должны вручить протокол ознакомления.
3. Запрос документов: Инспектор выдает требование о представлении документов (обычно дается 3–5 рабочих дней‚ но могут забирать копии сразу).
4. Осмотр помещений и ИС: Проверка соответствия реальности документам: где стоят серверы‚ как закрыты двери‚ есть ли журналы учета посетителей‚ как организована работа АРМ операторов.
5. Опрос сотрудников: Инспекторы могут опрашивать ответственного за ПДн‚ сисадминов‚ HR-менеджеров‚ бухгалтеров. Готовьте ключевых лиц заранее (проведите инструктаж).
6. Составление акта проверки: По итогам составляется акт. У вас есть право написать в нем свои замечания/возражения по каждому пункту.
7. Выдача предписания/протокола об административном правонарушении: Если нарушения найдены.

Топ-10 частых ошибок (на что смотрят в 2025–2026 гг.)

1. Расхождение политики на сайте и реальных процессов; Написали «храним 3 года»‚ храним 10. Написали «не передаем третьим лицам»‚ передаем в CRM/рассылки без договоров.
2. Отсутствие или неактуальность Модели угроз и Перечня мер защиты. Документы есть‚ но они «шаблонные»‚ не отражают специфику вашей ИС.
3. Нарушение сроков уведомления об утечке ПДн. Просрочка 24 часов — частая статья протокола.
4. Отсутствие договоров с подрядчиками (операторами) по ст. 28 152-ФЗ. Передача данных в облако‚ колл-центр‚ почту‚ 1С-Фреш без доп. соглашений.
5. Формальные согласия субъектов. «Я согласен на обработку моих данных для любых целей» — недопустимо. Цели должны быть конкретными.
6. Отсутствие учета носителей ПДн. Флешки‚ жесткие диски‚ бумажные архивы не учтены‚ не маркированы‚ не контролируются.
7. Несоответствие категории значимости ИС реально применяемым мерам защиты. Объявили К4 (минимальные меры)‚ а обрабатываете биометрию/мед. данные (требуется К1/К2).
8. Просроченные сертификаты СЗИ. Антивирус‚ МЭ‚ СКЗИ с истекшим сроком действия сертификата ФСТЭК = отсутствие защиты.
9. Отсутствие обучения персонала. Нет журналов‚ нет программ‚ сотрудники не знают‚ что такое ПДн и куда звонить при утечке.
10. Игнорирование прав субъектов. Не исполняют требования на удаление/уточнение в установленный законом срок (10 рабочих дней на ответ‚ 30 дней на исполнение в сложных случаях).

Внутренний аудит: «Репетиция» за месяц до проверки

Лайфхак экспертов: За месяц до плановой проверки (или регулярно раз в квартал) проведите внутренний аудит.

• Пригласите стороннего специалиста (DPO-аутсорс‚ юриста по 152-ФЗ‚ ИБ-эксперта) — «свежий взгляд» видит слепые зоны.
• Используйте профессиональные чек-листы (например‚ из 75 или 22 ключевых пунктов‚ рекомендованные РБК/профильные порталы).
• Промоделируйте запрос инспектора: «Дайте журнал инцидентов за год»‚ «Покажите акт уничтожения флешек»‚ «Где согласие Иванова И.И.?».
• Исправьте все выявленные дефекты до прихода инспектора.

Практические советы на день проверки (Чек-лист «Встречаем во всеоружии»)

• Назначьте координатора: Один ответственный человек (обычно ДПО/ответственный за ПДн)‚ который ведет общение с инспектором. Остальные сотрудники не общаются с проверяющими без координатора.
• Подготовьте «рабочее место инспектора»: Отдельный стол‚ розетка‚ доступ к гостевому Wi-Fi (не к корпоративной сети!)‚ вода. Это этикет и безопасность.
• Копируйте‚ не отдавайте оригиналы: Любые документы предоставляйте только в копии‚ заверенной печатью/подписью «Копия верна». Ведите журнал выдачи документов (что‚ кому‚ когда выдали).
• Не волейте лишней информации: Отвечайте конкретно на заданный вопрос. Не показывайте то‚ о чем не спросили.
• Фиксируйте всё: Ведите свой параллельный протокол: кто пришел‚ что спрашивали‚ какие документы забирали‚ что говорили. Фото/видео фиксация действий инспекторов (в пределах закона) допустима.
• Проверяйте протокол/акт: Не подписывайте пустые листы. Вписывайте замечания: «С пунктом 3 не согласен‚ так как…»‚ «Документ предоставлен‚ но инспектор отказался принимать».
• Обжалование: Помните: предписание и протокол об админправонарушении можно обжаловать в вышестоящее управление Роскомнадзора или в суд в течение 10 дней.

Штрафы и риски 2026 года (КоАП РФ)

Размеры штрафов регулярно индексируются. Основные статьи:

* Точные суммы уточняйте в действующей редакции КоАП РФ на момент проверки.

Главный практический совет: не готовьтесь к проверке‚ а выстраивайте систему управления защитой персональных данных (СУЗПД).

• Внедрите процесс управления рисками (ISO 27001 / ГОСТ Р ИСО/МЭК 27001).
• Автоматизируйте учет инцидентов‚ доступов‚ согласий (DLP‚ SIEM‚ системы управления согласиями — CMP).
• Проводите регулярные внутренние аудиты (квартально/полугодично).
• Держите документацию в актуальном состоянии (версионность‚ даты утверждения).
• Обучайте персонал не формально‚ а с пониманием «зачем».

При системном подходе любая проверка Роскомнадзора — это не стресс‚ а рутинная процедура подтверждения того‚ что вы и так делаете каждый день. Используйте открытые чек-листы (например‚ 75 вопросов самопроверки или 22 пункта по методике РБК/Инфосистем Джет) как пошаговые дорожные карты для аудита своего бизнеса уже сегодня.

Данная статья носит информационный характер и не является правовой консультацией. Для решения конкретных вопросов обратитесь к квалифицированным юристам по защите персональных данных и сертифицированным экспертам по ТЗИ.