Проверка Роскомнадзора (РКН) — это стресс-тест для любой компании, обрабатывающей персональные данные. В 2025–2026 годах регулятор существенно ужесточил подходы: штрафы выросли, практика применения норм 152-ФЗ «О персональных данных» стала более строгой, а проверки — более технологичными. Материал подготовлен на основе актуальной судебной практики, рекомендаций самого ведомства (размещенных на официальном сайте РКН) и реальных кейсов сопровождения проверок.

Понимание типов проверок: чего ждать в 2025–2026 гг.

Стратегия подготовки зависит от вида проверки. Законодательство (ст. 22.1 152-ФЗ, ФЗ-248) предусматривает два основных формата:

• Плановые проверки: Проводятся по утвержденному графику. О них известно заранее (не позднее чем за 3 рабочих дня до начала). Дают время на «последнюю полировку» документов.
• Внеплановые проверки: Инициируются по основаниям: обращения граждан (жалобы на спам, утечки данных), сообщения СМИ, информация от других госорганов, выявление признаков нарушения при мониторинге (в т.ч. автоматизированном). Внеплановые проверки часто длятся меньше времени, но требуют мгновенной реакции.

Важный тренд 2025–2026 гг.: РКН активно использует документарные проверки без выезда (анализ открытых источников, сайта, реестра уведомлений) и автоматизированные сканирования интерфейсов на предмет наличия политики конфиденциальности, форм согласия, корректной работы кнопок «Отказаться от cookies» и т.д.

Фундамент: Назначение ответственного и уведомление

Первый вопрос инспектора: «Кто у вас отвечает за персональные данные?». Отсутствие назначенного лица — это ст. 13.11 КоАП РФ (штраф на должностных лиц до 20 000 руб., на юрлиц — до 75 000 руб;).

Чек-лист базовых действий:

1. Приказ о назначении ответственного за обработку ПДн. В малом и среднем бизнесе это часто бухгалтер, кадровик или юрист. Важно: у него должно быть время и компетенции (или доступ к внешнему эксперту).
2. Уведомление Роскомнадзора. Проверьте актуальность сведений в реестре операторов. Изменились цели обработки, категории субъектов, перечень действий? — Подайте уведомление об изменении в течение 30 дней. Отсутствие уведомления или неактуальные данные — частая статья штрафов.
3. Локальный нормативный акт (ЛНА) — Политика конфиденциальности. Должна быть разработана «под себя», а не скопирована с конкурента. Обязательные реквизиты: цели, правовые основания, категории ПДн, перечень действий, сроки хранения/уничтожения, меры защиты, права субъектов.

Документооборот: Что запросит инспектор (Чек-лист)

По рекомендациям РКН и практике сопровождения, пакет документов для предоставления по требованию (ст. 22.1 152-ФЗ) включает:

Совет юриста: Ведите «Папку проверки» (физическую или электронную), где актуальные версии всех документов собраны в едином экземпляре. На проверке это экономит часы поисков и демонстрирует системность.

Аудит сайта и интерфейсов: «Цифровой ликбез»

С 2024–2025 гг. РКН масштабировал автоматизированный контроль веб-ресурсов. Сайт — это первое, что проверяет инспектор еще до выезда.

Критические точки на сайте:

• Политика конфиденциальности: Ссылка в футере (видна на каждой странице), текст соответствует реальным процессам, указана дата обновления.
• Формы сбора данных (обратная связь, заказ, регистрация, подписка): Чекбокс согласия не может быть предустановлен (pre-checked). Текст рядом с чекбоксом: ссылка на политику, цель сбора, перечень полей.
• Cookies и аналитика (Яндекс.Метрика, GA, пиксели): Баннер согласия (CMP) с возможностью детального выбора категорий (необходимые, аналитические, маркетинговые). Кнопка «Отклонить все» должна быть равноценной «Принять все».
• Персональный кабинет: Возможность скачать свои данные (портabilidad), удалить аккаунт, отозвать согласия.
• Реквизиты оператора: Название, ОГРН/ИНН, адрес, контакты ДПО (Data Protection Officer) — в открытом доступе.

Лайфхак: Перед плановой проверке закажите предварительный аудит сайта юристом + IT-специалистом. «Продуманная связка юриста и ИТ-специалиста экономит ресурсы, когда начинается проверка» (по данным практики 2026 г.).

Меры защиты информации: Не только бумаги

Инспекторы РКН все чаще привлекают к выездам специалистов по информационной безопасности (ИБ). Проверяется соответствие Приказа ФСТЭК от № 21 (для гос. систем/КИИ) и рекомендациям РКН для коммерческих организаций.

Минимальный набор (для 3-4 уровня ИСПДн — большинство СМБ):

1. Модель угроз (актуальная, учтены удаленная работа, мобильные устройства, облака).
2. Перечень мер защиты (организационные + технические).
3. СЗИ (Средства защиты информации): Антивирусы, межсетевые экраны, контроль целостности, шифрование (VPN, TLS, шифрование дисков/флешек), DLP-системы (по необходимости), SIEM/логирование.
4. Учет инцидентов: Журнал инцидентов ИБ. Есть ли процедура уведомления РКН и субъектов об утечке (ст. 22.1 152-ФЗ, срок — 24 часа для РКН, в разумный срок для субъектов).
5. Уничтожение ПДн: Акт списания/уничтожения носителей (бумага, шредер, электронные — программное затирание). График уничтожения по истечении сроков.

Работа с персоналом: «Человеческий фактор»

По статистике, до 80% утечек связаны с действиями сотрудников. Инспектор опросит случайных сотрудников:

• Знают ли они, кто ответственный за ПДн?
• Знают ли процедуру при получении обращения субъекта («Где жалобную книгу?»)?
• Есть ли доступ к политике конфиденциальности на интранете/стенде?
• Проходили ли обучение по защите ПДн (документированное: журнал, тесты, сертификаты)?

Рекомендация: Проведите внутреннее обучение (можно онлайн) за 2–4 недели до плановой проверки. Оформите приказом и журналом.

Алгоритм действий при получении требования/предписания

Если пришло официальное требование (документарная проверка) или инспекторы на пороге:

1. Не паникуйте и не игнорируйте. Сроки исполнения требований жесткие (обычно 10–30 дней). Просрочка = ст; 19.7 КоАП РФ (штраф до 500 тыс. руб. за повторное нарушение).
2. Привлеките юриста профильного. «Если уже получен запрос от РКН, рекомендуется подготовить ответ с юристами, так как для штрафов важно предоставить доказательства нарушения от самого бизнеса». Неграмотный ответ сам становится доказательством.
3. Проверьте законность требования. Соответствует ли оно компетенции РКН? Не запрашивают ли документы, не связанные с ПДн (бухгалтерию, налоговую тайну без оснований)?
4. Соберите пакет ответов. Ответ должен быть структурированным: обложка, указатель вложений, пояснительная записка по спорным моментам.
5. По итогам проверки — Акт. Изучите акт в срок 10 дней. Не согласны? Готовим возражения на акт (представляются в РКН или в суд). Юрист подготовит аргументацию по каждому пункту.

Типичные ошибки, приводящие к штрафам (Топ-5)

1. Формализм в согласиях: «Соглашаюсь на обработку любых данных для любых целей» — недействительно (п. 1 ст. 9 152-ФЗ). Цели должны быть конкретными.
2. Отсутствие договоров с подрядчиками (операторами): Передача данных в CRM, почту, 1С, курьерскую службу без пункта о защите ПДн в договоре.
3. Игнорирование прав субъектов: Не ответили на требование «Удалите мои данные» за 10 дней (п. 7 ст. 21 152-ФЗ) или «Дайте доступ» за 30 дней.
4. Неактуальное уведомление в реестре РКН: Добавили новую цель (например, рассылки), а в реестре старый перечень.
5. Отсутствие модели угроз / категорирования ИСПДн: Даже если СЗИ стоят, без бумажки (Акта категорирования) меры считаются недокументированными.

Региональная специфика и судебная практика

Практика применения норм может отличаться в регионах (Уральский, Сибирский, Центральный округа). Опытные юристы учитывают:

• Позицию конкретного территориального управления РКН по спорным вопросам (например, к биометрии, cookies, сканерам паспортов на входе).
• Судебную практику окружных судов по обжалованию актов (некоторые суды более лояльны к бизнесу в вопросах доказанности вины).
• Возможность досудебного урегулирования или сглаживания последствий на этапе рассмотрения дела в РКН.

Резюме: План подготовки «От А до Я»

Если у вас есть 1–3 месяца до плановой проверки (или вы хотите быть готовым к внеплановой):

Стоимость комплексной подготовки к проверке (аудит + документы + сайт + обучение) в 2025–2026 гг. составляет долю от возможных штрафов (до 15 млн руб. за повторные нарушения ст. 13.11 КоАП РФ, до 3 млн руб. за утечки по ст. 13.11.1, а также риск блокировки ресурса).

Главный принцип: Защита персональных данных — это не разовый проект «на галочку», а непрерывный процесс управления рисками. Внедрите культуру приватности (Privacy by Design), назначьте компетентного ответственного (или нанмите аутсорсера — DPO as a Service), и любая проверка Роскомнадзора пройдет как рутинная процедура, а не как кризис.

Нужна помощь юриста по подготовке к проверке Роскомнадзора?

• Аудит текущего состояния (Гап-анализ) за 3–5 дней.
• Разработка/актуализация пакета документов по 152-ФЗ «под ключ».
• Аудит сайта и настройка CMP (Cookies).
• Сопровождение на выездной/документарной проверке, подготовка ответов и возражений.
• Обучение сотрудников и ответственного за ПДн.

Консультация по оценке рисков — первый шаг к спокойствию бизнеса.