С вступлением в силу Федерального закона № 152‑ФЗ «О персональных данных» каждая организация, обрабатывающая персональные данные (ПДн), обязана обеспечить их защиту и соблюдение установленных требований. Ниже – подробный разбор самых частых вопросов, которые возникают при подготовке к проверке со стороны надзорных органов.

Кто проводит проверки соблюдения требований по ПДн?

• Роскомнадзор (РКН) – главный надзорный орган, осуществляющий плановые и внеплановые проверки операторов персональных данных.
• Министерство цифрового развития, связи и массовых коммуникаций РФ (Минцифры) – участвует в проверках, связанных с трансграничной передачей данных и использованием государственных информационных систем.
• Федеральная служба по техническому и экспортному контролю (ФСТЭК) – контролирует соответствие требованиям защиты информации в критически важных объектах.
• Прокуратура и суды – могут инициировать проверки в рамках административного или уголовного производства.

С 2025 года проверки Роскомнадзора стали более строгими и частично автоматизированными: используются инструменты анализа сайтов, сканирование cookie‑баннеров и проверка наличия обязательной документации в открытых реестрах.

Какие основные этапы включает проверка?

1. Документарный этап – запрос и анализ внутренних нормативных актов (политика конфиденциальности, положение о обработке ПДн, согласия, журналы учета инцидентов и т.д.).
2. Технический этап – оценка мер информационной безопасности: шифрование, контроль доступа, антивирусная защита, журналы событий, тестирование на проникновение.
3. Выездной этап (при необходимости) – посещение офиса или дата‑центра для проверки физической защиты, работы с резервными копиями и соблюдения режима доступа.
4. Заключительный этап – формирование акта проверки, выдача предписаний или штрафов, предоставление срока на устранение нарушений.

Какие документы обязательно должны быть у оператора ПДн?

Полный чек‑лист из 37 пунктов (включая проверку cookie‑баннера, наличие ДПД, порядок обработки специальных категорий и биометрических данных) доступен в методических рекомендациях Роскомнадзора.

Как подготовиться к проверке и избежать штрафов?

Шаг 1. Проведите внутренний аудит

• Сравните текущие документы с требованиями ФЗ‑152 и приказами Роскомнадзора.
• Выявите пробелы: отсутствующие согласия, устаревшие политики, неучёные обработчики.

Шаг 2. Обновите нормативную базу

• Приведите политику конфиденциальности и положение в соответствие с последними изменениями (2024‑2025 гг.).
• Убедитесь, что в документах указаны порядок обработки специальных категорий и биометрических данных.

Шаг 3. Укрепите техническую защиту

• Шифруйте ПДн при хранении и передаче (AES‑256, TLS 1.2+).
• Настройте контроль доступа по принципу наименьших привилегий (RBAC).
• Ведите журналы событий и регулярно их анализируйте (SIEM).
• Проводите тесты на проникновение и сканирование уязвимостей минимум раз в полгода.

Шаг 4. Обучите персонал

• Ежегодно проводите инструктажи и тесты по защите ПДн.
• Фиксируйте результаты обучения в журналах и храните их не менее 3 лет.

Шаг 5. Документируйте все действия

• Журнал согласий, журналы обработки, акты об уничтожении данных – всё должно быть доступно для проверки.
• Храните документы в электронном виде с резервным копированием и контролем целостности.

При выявлении нарушений Роскомнадзор может назначить штраф от 100 000 до 500 000 000 рублей в зависимости от тяжести и повторности нарушения (ст. 13.11 КоАП РФ). Своевременная подготовка снижает риск штрафов до нуля.

Часто задаваемые вопросы (FAQ)

Нужно ли получать согласие на обработку файлов cookie?

Да, если cookie используются для идентификации пользователя (например, аналитика, таргетированная реклама). Требуется явное согласие через баннер с возможностью принять/отклонить.

Можно ли использовать зарубежные сервисы (Google Workspace, Microsoft 365) для хранения ПДн?

Можно, но только после проведения оценки уровня защиты и получения гарантий от оператора (стандартные договорные положения, Binding Corporate Rules или согласие субъекта). При передаче данных в страны без достаточного уровня защиты требуется дополнительное согласие Роскомнадзора.

Как часто нужно обновлять политику конфиденциальности?

При любом изменении целей, оснований или способов обработки ПДн, а также не реже одного раза в год.

Какие штрафы грозят за отсутствие согласия на обработку биометрических данных?

Нарушение обработки специальных категорий ПДн (в т.ч. биометрических) влечёт штраф от 500 000 до 6 000 000 рублей для юридических лиц (ст. 13;11 КоАП РФ).

Нужно ли вести журнал инцидентов информационной безопасности?

Да. Журнал инцидентов является обязательным элементом внутреннего контроля и должен фиксировать все случаи нарушения конфиденциальности, целостности или доступности ПДн.

Практический чек‑лист для быстрой самопроверки

1. Есть ли актуальная политика конфиденциальности, размещённая на сайте и доступная пользователям?
2. Содержит ли политика информацию о правах субъектов ПДн и порядке их реализации?
3. Есть ли signed согласия на обработку ПДн (включая cookie и биометрию)?
4. Опубликовано ли положение о обработке персональных данных и утверждено ли оно руководителем?
5. Назначено ли ответственное лицо (ДПО или уполномоченный по защите ПДн)?
6. Проведена ли оценка уровня защищённости (ОЗ) и приложены ли её результаты?
7. Есть ли журнал учета операций с ПДн и журналы инцидентов?
8. Обеспечено ли шифрование ПДн при хранении и передаче?
9. Настроен ли контроль доступа (роли, пароли, двухфакторная аутентификация)?
10. Проведено ли обучение персонала за последние 12 месяцев?
11. Есть ли договоры с подрядчиками, содержащие clauses о защите ПДн?
12. При трансграничной передаче данных – получены ли необходимые согласия или использованы ли стандартные договорные положения?
13. Проверена ли работа cookie‑баннера на соответствие требованиям Роскомнадзора (явное согласие, возможность отклонения)?
14. Хранятся ли резервные копии ПДн в зашифрованном виде и с контролем целостности?
15. Есть ли план мероприятий по обеспечению защиты ПДн на текущий год?
16. Проводилось ли внутреннее аудитирование соответствия ФЗ‑152 за последние 6 месяцев?
17. Доступны ли для проверки все запрошенные документы в электронном виде?

Если ответ «Да» на все пункты – ваша организация готова к проверке. При любом «Нет» следует немедленно устранить недостаток.

Соблюдение требований по защите персональных данных – это не только юридическая обязанность, но и важная часть репутации и доверия клиентов. Регулярный внутренний аудит, актуализация документации, технические меры защиты и обучение персонала позволяют минимизировать риски штрафов и кибератак. Используйте представленные чек‑листы и рекомендации как основу для построения эффективной системы соответствия ФЗ‑152.

Будьте внимательны, обновляйте документы вовремя и помните: лучшая защита – это проактивный подход к безопасности персональных данных.