Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) является главным государственным органом, осуществляющим контроль за соблюдением законодательства о персональных данных в Российской Федерации. Понимание полномочий ведомства, видов проверок и процедур их проведения — критически важно для любого оператора персональных данных для минимизации рисков штрафов и репутационных потерь.

Нормативная база полномочий

Деятельность Роскомнадзора по надзору за защитой персональных данных регулируется следующими ключевыми актами:

• Федеральный закон от № 152-ФЗ «О персональных данных» (ст. 22, 23, 23.1) — основной закон, определяющий права и обязанности операторов, а также полномочия уполномоченного органа.
• Федеральный закон от № 210-ФЗ «Об организации предоставления государственных и муниципальных услуг» — регулирует порядок проведения проверок (плановых и внеплановых).
• Федеральный закон от № 294-ФЗ «О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля» — устанавливает общие принципы, формы и процедуры проверок.
• Постановление Правительства РФ от № 171 — утверждает Положение о Роскомнадзоре.
• Приказ Роскомнадзора от № 1006 — об утверждении Административного регламента по проведению проверок.

Виды проверок

Согласно ст. 23 ФЗ № 152-ФЗ и ФЗ № 294-ФЗ, Роскомнадзор осуществляет надзор в следующих формах:

Плановые проверки

• Проводятся на основании плана проверок, утверждаемого Роскомнадзором на календарный год.
• Включаются в план на основании критериев риска (категория риска субъекта МСП/не МСП).
• Важно: С 2021 года введен «режим тишины» для МСП (малых и средних предприятий): плановые проверки МСП, включенных в реестр, запрещены до 31 декабря 2024 года (с возможностью продления), за исключением случаев, предусмотренных законом (например, проверка исполнения предписаний).
• Срок проведения: как правило, не более 20 рабочих дней (может быть продлен руководителем ведомства до 10 рабочих дней, в исключительных случаях — до 30 календарных дней).

Внеплановые проверки

Назначаются в случаях, прямо предусмотренных ст. 9 ФЗ № 294-ФЗ и ст. 23 ФЗ № 152-ФЗ. Основные основания:

1. Обращения граждан и организаций (жалобы на нарушение прав субъектов ПДн).
2. Сообщения СМИ и информация из открытых источников (утечки данных, публикации в сети).
3. Выявление фактов нарушений при рассмотрении обращений о нарушении законодательства о ПДн.
4. Неисполнение или ненадлежащее исполнение предписаний, выданных по результатам предыдущих проверок.
5. Получение информации от других государственных органов (прокуртура, ФСБ, ФНС и др.) о нарушениях.
6. Возникновение угрозы причинения вреда безопасности персональных данных (инциденты безопасности).

Срок проведения: не более 10 рабочих дней (продление до 10 рабочих дней руководителем, до 30 календарных дней — в исключительных случаях).

Профилактические визиты и контрольные закупки

• Профилактические визиты — мероприятия профилактического характера (не проверки) для информирования о требованиях закона. Проводятся не чаще 1 раза в 3 года в отношении одного субъекта. Не влекут ответственности, но по итогам выдается заключение с рекомендациями.
• Контрольные закупки (заказы услуг) — применяются для проверки соблюдения правил обработки ПДн при предоставлении услуг (например, проверка работы колл-центров, сайтов).

Полномочия инспекторов Роскомнадзора при проверке

В ходе проверки уполномоченные сотрудники Роскомнадзора имеют право (ст. 23 ФЗ № 152-ФЗ, ст. 13 ФЗ № 294-ФЗ):

• Требовать предоставления документов и информации, необходимых для проверки (в бумажном или электронном виде), включая локальные акты (Политику конфиденциальности, Приказы о назначении ответственных, Журналы учета инцидентов, Отчеты об оценке вреда и т.д.).
• Получать объяснения от должностных лиц и сотрудников оператора.
• Проводить осмотр помещений, территорий, оборудования, программно-аппаратных комплексов, используемых для обработки ПДн (с составлением акта осмотра);
• Запрашивать у сторонних организаций и госорганов сведения, необходимые для проверки.
• Привлекать экспертов и специалистов (в т.ч. по информационной безопасности, криптографической защите).
• Фиксировать нарушения с помощью фото/видео/аудио съемки.
• Изымать документы и предметы (только в присутствии понятых и с составлением акта, оригиналы изымаются исключительно по решению суда, иначе — копии).

Этапы проведения проверки

1. Начало проверки: Вручение оператору приказа (решения) о проведении проверки (для внеплановых — в течение 24 часов с момента утверждения). Инспектор предъявляет служебное удостоверение и копию приказа.
2. Сбор информации: Изучение документов, опрос сотрудников, осмотр серверных, рабочих мест, анализ ИСПДн.
3. Завершение проверки: Составление акта проверки (для плановых) или предписания (для внеплановых/профилактических визитов). Документ подписывается инспектором и вручается оператору (под роспись или почтой с уведомлением).
4. Обжалование: Акт/предписание можно обжаловать в вышестоящее управление Роскомнадзора или в суд в течение 10 дней со дня получения (ст. 23.1 ФЗ № 152-ФЗ, ст. 21 ФЗ № 294-ФЗ).
5. Исполнение предписания: Оператор обязан устранить нарушения в установленный срок и сообщить об исполнении.

Типичные нарушения, выявляемые при проверках

На практике Роскомнадзор чаще всего фиксирует следующие пробелы в комплаенсе:

• Отсутствие или несоответствие локальных нормативных актов (Политики обработки ПДн, Положения об ИСПДн, Инструкций по защите ПДн) требованиям закона и подзаконных актов (Постановление № 1119, Приказ ФСТЭК № 21).
• Нарушение порядка получения согласия субъектов ПДн (отсутствие согласия, неинформированность, сложность отзыва согласия).
• Отсутствие уведомления Роскомнадзора об обработке ПДн (для операторов, не освобожденных от уведомления) или неактуальные сведения в реестре.
• Несоблюдение требований к передаче ПДн третьим лицам и трансграничной передаче (отсутствие договоров, недостаточная защита в стране-получателе).
• Отсутствие или неполнота мер защиты информации (отсутствие СЗИ, несоответствие уровня защищенности классу ИСПДн, отсутствие журнала учета инцидентов).
• Нарушение сроков и порядка уничтожения/обезличивания ПДн после достижения целей обработки.
• Неисполнение прав субъектов ПДн (отказ в доступе, исправлении, удалении без законных оснований, нарушение сроков ответа — 30 календарных дней).
• Отсутствие ответственного за защиту ПДн или несоответствие его квалификации требованиям.

Ответственность за нарушения

По результатам проверки могут быть применены меры ответственности по КоАП РФ (ст. 13.11, 13.11.1, 19.7 и др.):

Дополнительные меры: Приостановка обработки ПДн (до 6 месяцев), блокировка доступа к сайту/ресурсу (при повторных грубых нарушениях или угрозе безопасности), обращение в суд о ликвидации юрлица (при систематических нарушениях).

Рекомендации по подготовке к проверке (Compliance-чек-лист)

Для минимизации рисков рекомендуется провести внутренний аудит и обеспечить готовность к следующим запросам:

1. Документальная база: Актуальные локальные акты (Политика, Положения, Инструкции, Приказы), согласия субъектов (шаблоны и заполненные), договоры с третьими лицами (передача ПДн), уведомление в Роскомнадзор (или обоснование освобождения).
2. Организационные меры: Назначен ответственный за защиту ПДн (приказ), проведено обучение персонала (журналы/протоколы), разработан план реагирования на инциденты.
3. Технические меры (СЗИ): Соответствие класса защищенности ИСПДн (К1–К4) требованиям Приказа ФСТЭК № 21 (антивирусы, МЭ, контроль доступа, шифрование, учет событий, резервное копирование). Наличие сертификатов ФСТЭК/ФСБ на используемые СЗИ.
4. Учет и инциденты: Журнал учета инцидентов безопасности, отчеты об оценке вреда от инцидентов, уведомления Роскомнадзора и субъектов ПДн об утечках (в срок 24 часа).
5. Права субъектов: Работающий процесс обработки запросов (доступ, исправление, удаление, отзыв согласия) в срок 30 дней. Наличие формы обратной связи на сайте.
6. Трансграничная передача: Оценка адекватности защиты в стране-получателе, соответствующие условия в договорах (SCC), уведомление Роскомнадзора (если требуется).
7. Локализация: Использование БД, находящихся на территории РФ, для обработки ПДн граждан РФ (если нет исключений).

Особенности текущего периода (2024–2025 гг.)

• Акцент на инцидентах: Роскомнадзор усиливает контроль за своевременным уведомлением об утечках (24 часа) и оценкой вреда.
• Крупные операторы и критическая инфраструктура: Приоритет проверок — операторы, обрабатывающие большие объемы данных, биометрию, данные несовершеннолетних, а также субъекты КИИ/ВИИ.
• ИИ и новые технологии: Появляются разъяснения по обработке ПДн при использовании ИИ, распознавании лиц, профилировании.
• Штрафные санкции: Тенденция к назначению максимальных штрафов за повторные нарушения и неисполнение предписаний.
• Цифровизация надзора: Развитие автоматизированных систем мониторинга (парсинг сайтов, проверка уведомлений в реестре, анализ утечек в даркнете).

Проверки Роскомнадзора — это не только инструмент наказания, но и мощный стимул для построения качественной системы управления защитой персональных данных (СУЗПД). Ключ к успешному прохождению проверки — не «подготовка за неделю», а системная, ежедневная работа по комплаенсу: актуальная документация, настроенные технические средства защиты, обученный персонал и отлаженные процессы реагирования на инциденты и запросы субъектов.

Помните: Грамотно построенная система защиты ПДн дешевле любого штрафа, приостановки бизнеса или репутационного скандала. Инвестиции в приватность — это инвестиции в устойчивость бизнеса.