Бесплатная консультация юриста

+7 (800) 301-07-30

Реклама jurik.ru

Проверка Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) — это серьезное испытание для любой организации. Для компаний, зарегистрированных или действующих в Костромской области, взаимодействие ведется через Управление Роскомнадзора по Костромской, Ивановской, Владимирской и Ярославской областям (расположено в г. Ярославль, но курирует и Кострому). Грамотная подготовка позволяет не только избежать штрафов, но и выстроить прозрачные внутренние процессы.

В данной статье мы разберем полный алгоритм действий: от получения уведомления до итоговых документов.

Этап 1. Анализ основания и вида проверки (День 1–3)

Согласно Федеральному закону № 294-ФЗ «О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля», проверки делятся на плановые и внеплановые.

Проверьте законность основания

Плановая проверка: Должна быть включена в план проверок на соответствующий год (опубликован на сайте Роскомнадзора). Частота, не чаще 1 раза в 3 года (для малых предприятий могут быть льготы/мораторий).
Внеплановая проверка: Проведется только по основаниям, перечисленным в ст. 9 ФЗ № 294-ФЗ (жалоба гражданина, сообщение СМИ, поручение Президента/Правительства/Генпрокуратуры, устранение выявленных нарушений и т.д.).
Профилактические визиты: Не являются проверками, не влекут ответственности, но требуют готовности (проверка наличия вывесок, информационных стендов).

Изучите уведомление

Уведомление направляется не позднее чем за 3 рабочих дня до начала проверки (для плановых — за 5 дней). Оно должно содержать:

Полное наименование контролирующего органа (Управление Роскомнадзора…).
Основание и цели проверки.
Сроки проведения.
Перечень проверяемых вопросов (область проверки: персональные данные, ОРИ, связь, РЭК и т.д.).
Состав проверяющей группы (ФИО инспекторов).

Действие: Сверьте инспекторов с реестром уполномоченных лиц на сайте Роскомнадзора. Проверьте, не истек ли срок действия уведомления (оно действует 10 рабочих дней с даты подписания).

Этап 2. Формирование рабочей группы и назначение ответственных (День 1–5)

Не стоит возлагать общение с инспекторами на секретаря или системного администратора. Назначьте Координатора проверки (обычно — юрист, директор по правовым вопросам или генеральный директор).

Роли в команде:

Координатор: единая точка входа, сопровождение инспекторов, подпись протоколов, обжалование.
Ответственный за ПДн (персональные данные): подготовка пакета документов по 152-ФЗ (политики, согласия, уведомления в реестр, локальные акты).
Ответственный за ОРИ (организацию распространения информации): проверка сайта, доменов, возрастной разметки, контактных данных владельца (149-ФЗ).
Технический специалист / ИБ: предоставление логов, схем сети, сертификатов средств защиты информации (СЗИ), отчетов о пентестах.
Кадровый сотрудник: предоставление приказов о допуске к ПДн, трудовой договоры с условиями конфиденциальности, журналы обучения.

Этап 3. Внутренний аудит «по чек-листу» (День 3–10)

Проведите ревизию до прихода инспекторов. Ниже ключевые блоки, которые проверяет Роскомнадзор в 90% случаев.

Персональные данные (152-ФЗ, Постановление № 1119, Приказ ФСТЭК № 21)

Уведомление в реестр: Актуально? Адрес обработки совпадает с реальным (Кострома/филиалы)? Есть ли уведомление о перекрестной граничной передаче (если актуально)?
Политика обработки ПДн: Опубликована на сайте (п. 2 ст. 18.1 152-ФЗ)? Соответствует реальности?
Локальные акты: Приказ о назначении ответственного за организацию обработки ПДн, Перечень сотрудников с доступом к ПДн, Инструкция по учету носителей, Регламент реагирования на инциденты.
Согласия субъектов: Хранятся ли оригиналы (бумажные/электронные с ЭЦП)? Соответствуют ли формулировки целям?
Оценка вреда (ОВПД): Проведена ли? Есть ли отчет? Определен ли уровень защищенности (УЗ 1–4)?
СЗИ (Средства защиты информации): Соответствуют ли УЗ? Сертификаты ФСТЭК/ФСБ актуальны? Журналы учета ключей/паролей ведутся?

Интернет-проекты и ОРИ (149-ФЗ, 398-ФЗ, 276-ФЗ)

Идентификация пользователей: Реализована ли авторизация по телефону/Госуслугам для комментариев/постов (ст. 10.1 149-ФЗ)?
Возрастная разметка: Есть ли значок 0+, 6+, 16+, 18+ на контенте (ст. 15.1 436-ФЗ)?
Информация о владельце сайта: Раздел «О нас» / «Реквизиты» содержит полное наименование, ОГРН, ИНН, адрес (Кострома), контакты?
Удаление запрещенной информации: Есть ли регламент и техническая возможность удалить контент по требованию Роскомнадзора/Генпрокуратуры в течение 24 часов (ст. 15.1-1 149-ФЗ)?
Хранение логов (Закон о логах № 374-ФЗ): Если вы организатор распространения информации (сайт, приложение, Wi-Fi) — храните ли метаданные 1 год и контент 6 месяцев на территории РФ? Есть ли уведомление в реестр организаторов?

Реклама и маркетинг (Закон о рекламе № 38-ФЗ, 152-ФЗ)

Есть ли токен/идентификатор рекламы (ERID) в креативах?
Соблюдается ли порядок рассылки рекламы (согласие получателя, возможность отписки)?
Нет ли скрытой рекламы в контенте?

Связь и шифрование (если применимо)

Наличие лицензии на телематику/связь (если оказываете услуги).
Использование сертифицированных средств криптографической защиты информации (СКЗИ) для гостайны/КРИ/ПДн.
Уведомление ФСБ об использовании шифрования (при импорте/разработке/использовании СКЗИ).

Этап 4. Подготовка пакета документов к выдаче (День 5–12)

Инспекторы имеют право запросить документы в рамках проверяемых вопросов. Подготовьте две копии пакета: одну — инспекторам, вторую — себе (с отметками «получил», датой, подписью инспектора).

Стандартный пакет (базовый):

Устав / Учредительный договор.
Выписка ЕГРЮЛ/ЕГРИП (свежая, не старше 30 дней).
Приказ о назначении Генерального директора.
Приказ о назначении Ответственного за обработку ПДн (ст. 22.1 152-ФЗ).
Уведомление о обработке ПДн (копия с отметкой реестра/почты).
Политика конфиденциальности (версия для сайта + утвержденная внутренним приказом).
Локальные акты по ПДн (Перечень сотрудников, Инструкция по инцидентам, Журналы учета).
Отчет об оценке вреда (ОВПД) и Акт категорирования объекта информатизации.
Сертификаты СЗИ / СКЗИ и акты внедрения.
Договоры с операторами связи / хостинг-провайдерами (с условиями 152-ФЗ, ст. 28).
Журналы обучения сотрудников по защите ПДн/ИБ (подписи, даты).

Важно: Не выдавайте документы, не относящиеся к предмету проверки (бухгалтерию, налоговую отчетность, договоры с контрагентами, не касающиеся ИТ/ПДн), если они не указаны в уведомлении. Сошлитесь на ч. 4 ст. 11 ФЗ № 294-ФЗ.

Этап 5. Обеспечение доступа и прохождение выездной проверки (День Х)

Организационные моменты

Выделите отдельное переговорное помещение (не серверную, не открытый офис).
Обеспечьте доступ к копировальной технике (инспекторы имеют право копировать документы за свой счет).
Назначьте сотрудника, который будет фиксировать все действия инспекторов (фото/видео съемка разрешена, если не нарушает тайны — ст. 14 ФЗ № 294-ФЗ).

Работа с серверной и ИС

Доступ к серверной — только под сопровождением вашего сисадмина и координатора.
Не давайте «рутовый» доступ. Показывайте настройки через монитор/проектор или выдавайте выписки из конфигов/логов.
Если требуют доступ к БД ПДн — предоставьте выгрузку обезличенных данных или демонстрацию интерфейса админки (маскируя сами ПДн других субъектов).

Опрос сотрудников

Инспекторы могут опрашивать сотрудников (добровольно). Предупредите коллектив: отвечает только Координатор. Остальные направляют вопросы к нему. Это исключает случайные ошибки в показаниях.

Этап 6. Работа с протоколами и актами (Финальный этап)

Акт проверки

Составляется по итогам. Изучите его тщательно перед подписью.

Проверьте фактические обстоятельства: даты, названия систем, номера версий.
Не согласны с выводом? Пишите: «С выводом по пункту N не согласен, мое мнение прилагаю» (ст. 18 ФЗ № 294-ФЗ).
Приложите свои письменные объяснения/возражения к акту (они являются неотъемлемой частью).

Предписание (если выявлены нарушения)

Сроки устранения должны быть адекватны (обычно 10–30 дней, для сложных технических мер — до 6 месяцев с обоснованием).
Можно обжаловать в вышестоящее управление (ГУ Роскомнадзора в ЦФО — Москва) или в суд (АС Костромской области) в течение 10 дней со дня получения копии.
Исполнение предписания — основание для прекращения производства по делу об АП (КоАП РФ).

Протокол об административном правонарушении (КоАП РФ)

Составляется отдельно от акта. Основные статьи для ИТ/ПДн:

13.11 КоАП РФ: Нарушение законодательства о персональных данных (штрафы юрлицам: 15–75 тыс. руб., за повтор — 100–500 тыс. руб.; за утечки — до 15 млн руб. по ст. 13.11 ч. 5);
13.12 КоАП РФ: Нарушение правил идентификации пользователей (до 500 тыс. руб.).
14.1, 14.10, 14.11, 14.12, 14.13, 14.14, 14.33, 14.34 КоАП РФ: Нарушения в сфере рекламы, ОРИ, закон о логах, запрещенной информации (штрафы до 4–6 млн руб. за повторные).
19.7.5-2 КоАП РФ: Неисполнение предписания Роскомнадзора (штраф юрлицу 100–500 тыс. руб.).

Стратегия: Не подписывайте протокол «с согласием» на месте. Возьмите копию, изучите с юристом, подготовьте возражения (отсутствие состава, истечение срока давности 2 года, отсутствие вины, принятые меры по устранению).

Специфика Костромского региона

Территориальный орган: Управление Роскомнадзора по Костромской, Ивановской, Владимирской и Ярославской областям. Юридический адрес: 150000, г. Ярославль, ул. Советская, д. 38. Телефон приемной: +7 (4852) -3-XX-XX (уточняйте на сайте rkn.gov.ru -> Региональные управления).
Плановые проверки: Часто совпадают с федеральными приоритетами (год защищенности КИИ, год борьбы с фишингом, проверка уведомлений об ОРИ).
Взаимодействие с Прокуратурой Костромской области: Роскомнадзор часто передает материалы в прокуратуру для возбуждения дел по ст. 13.11, 14.33 КоАП РФ или ст. 272, 273 УК РФ. Будьте готовы к параллельному надзору.
Мораторий на проверки МСП: Проверяйте актуальность моратория (ФЗ № 482-ФЗ и продления). Для микропредпринимателей и СОНО плановые проверки часто запрещены до 2030 года, но внеплановые и профилактические визиты возможны.

Чек-лист «День Х»: что взять с собой в переговорную

Папка с пакетом документов (2 экземпляра).
Ноутбук с доступом к 1С/CRM/Админке сайта (для демонстрации настроек).
Распечатанные актуальные версии Политики конфиденциальности и Пользовательского соглашения сайта.
Сертификаты СЗИ/СКЗИ (оригиналы или нотариальные копии).
Журналы: обучения, инцидентов, учета носителей, доступа к серверной.
Бланки для письменных объяснений/возражений (заранее подготовленные шаблоны).
Законодательство: ФЗ № 294-ФЗ, 152-ФЗ, 149-ФЗ, КоАП РФ (бумажные или оффлайн-версия на планшете).
Контакты юриста/адвоката (на связи).

Резюме: 5 главных правил выживания

Законность превыше всего. Любое требование инспектора должно иметь правовую основу (статью закона). Спросите: «На основании какой нормы вы это требуете?».
Единый голос. Общаются только Координатор и приглашенные им эксперты. Остальные молчат и направляют к Координатору.
Документируйте всё. Фото протоколов, актов, требований, копий документов, переданных инспекторам. Пишите служебные записки о факте изъятия/предоставления.
Не паникуйте и не конфликтуйте. Вежливая, деловая, процедурная позиция работает лучше эмоций.
Подготовка — залог успеха. 90% штрафов выписываются за отсутствие локальных актов, просроченные уведомления в реестр, отсутствие ОВПД и несвоевременное удаление контента. Это устраняется за 1–2 недели системной работы.

Потребуется профессиональная помощь? Для организаций в Костроме рекомендуется заранее заключить договор с юридической фирмой, специализирующейся на ИТ-праве и защите персональных данных, или нанять штатного DPO (Data Protection Officer) с сертификатом. Стоимость подготовки к проверке несоизмеримо ниже суммы возможных штрафов и репутационных потерь.

Данная статья носит информационный характер и не является правовой консультацией. Законодательство меняется (актуально на 2024–2025 гг.), перед действиями сверяйтесь с актуальными редакциями законов или обратитесь к юристу.