Взаимодействие с Роскомнадзором (РКН) в сфере персональных данных (ПДн) остается одной из самых тревожных тем для бизнеса․ На практике вопросы клиентов к юристам часто сводятся к трем блокам: как не попасть под проверку, какие документы готовить и как отреагировать на результаты․ Ниже мы систематизировали актуальные ответы на основе положений 152-ФЗ, разъяснений регулятора (актуальных на ), судебной практики и опыта участия в проверках․

Основания и виды проверок: когда приходит инспектор?

Роскомнадзор осуществляет федеральный государственный контроль (надзор) за соблюдением законодательства о персональных данных․ Важно понимать: проверки не бывают «внезапными» без основания․

Главные основания для начала проверки:

• Плановые проверки — проводятся на основании утвержденного плана проверок․ С 2021 года введен мораторий на плановые проверки МСБ, однако для определенных категорий риска они могут сохраняться или восстанавливаться․
• Внеплановые проверки — основанием служат:
  • Обращения граждан (жалобы на утечки, спам, отказ в удалении данных)․
  • Сообщения СМИ о нарушениях․
  • Информация от других госорганов (прокуратура, ФСБ, ФНС, МВД)․
  • Выявление признаков инцидентов безопасности (утечки в открытые источники)․
  • Непредставление или несвоевременное представление уведомления о обработке ПДн․
• Профилактические визиты — не являются проверкой, не влекут ответственности, но позволяют инспектору оценить готовность компании․
• Мониторинг (камеральный контроль) — анализ открытых источников, сайта оператора, реестра уведомлений без визита на место․

Важный нюанс 2024–2026 гг․: Роскомнадзор активно использует индикаторы риска (утв․ Постановлением Правительства РФ)․ Объекты контроля делятся на категории риска (высокая, средняя, низкая)․ Частота и глубина проверки напрямую зависят от этой категории․ Попытка «пройти под радар» (не подать уведомление, не опубликовать политику) автоматически переводит компанию в категорию высокого риска․

Топ-5 «злободневных» вопросов, которые задают юристам

На основе практики (в т․ч․ материалов ГАРАНТ․РУ, Контур, Зарцын и партнеры) выделим три самых частых сценария, требующих юридической квалификации․

Вопрос №1: Является ли фотография в СКУД (системе контроля доступа) биометрическими персональными данными?

Короткий ответ: Сама по себе фотография, это общие персональные данные (образ лица позволяет идентифицировать субъекта)․ Она становится биометрическими ПДн только в двух случаях:

1. Если фото используется для автоматического распознавания лица (верификации/идентификации) путем сравнения с биометрическим шаблоном (вектором признаков)․
2. Если оператор целевым образом формирует биометрическую систему (создает базу шаблонов лиц для прохода без пропусков, по лицу)․

Позиция РКН и судов: Если в СКУД фото просто висит на экране у охранника для визуального сопоставления с человеком — это обработка общих ПДн․ Согласие на обработку биометрии (в форме, установленном 152-ФЗ, нотариальное или ЭП) в этом случае не требуется․ Достаточно оснований ст․ 6 152-ФЗ (договор труда, локальный нормативный акт, согласие в простой письменной форме)․

Риск: Если в настройках СКУД включена функция «Face ID» / «Распознавание лица», а вы оформили это как обычные ПДн — это грубое нарушение (штрафы по ст․ 13․11 КоАП РФ для юрлиц до 18 млн руб․ за повторное нарушение)․

Вопрос №2: Нужно ли уведомлять Роскомнадзор об обработке ПДн сотрудников?

Ответ: Нет, не нужно․ Согласно ч; 2 ст․ 22 152-ФЗ, уведомление не подается, если обработка осуществляется исключительно в целях трудовых правоотношений (кадровый учет, зарплата, медосмотры, СКУД для доступа на территорию)․

Ловушка: Если вы используете данные сотрудников для иных целей (рассылка новостей компании, корпоративный портал с профилями, передача в страховую компанию ДМС, биометрия в столовой/СКУД с Face ID) — уведомление обязательно (или нужно убедиться, что действует другое исключение, напр․, публикация ФИО на сайте по согласию)․

Вопрос №3: Что такое «оптимальный пакет документов» к проверке и что проверит инспектор по чек-листу (проверочному листу)?

Форма проверочного листа утверждена приказом РКН․ Инспектор будет сверять реальность с документами․ Минимальный «выживающий» пакет (ЛНА — локальные нормативные акты):

• Политика обработки ПДн (опубликованная на сайте/доступная сотрудникам)․
• Приказ о назначении ответственного за обработку ПДн (часто — директор или спец․ сотрудник)․
• Перечень категорий субъектов ПДн и обрабатываемых данных (карта данных / реестр обработки)․
• ЛНА по обеспечению безопасности ПДн (Модель угроз, Перечень мер безопасности, Инструкции по инцидентам, Журналы учета инцидентов/доступов/носителей)․
• Документы на ИСПДн (Паспорт ИСПДн, Акт категорирования ИСПДн (1-4 уровень), Акт аттестации / заключение ФСТЭК — если 1-3 уровень)․
• Согласия / ЛНА-основания для каждой категории субъектов и целей․
• Договоры с операторами/подрядчиками (облачные 1С, CRM, почта, колл-центры, аутсорсинг кадров) с обязательным разделом о ПДн (ст․ 28 152-ФЗ)․
• Уведомление РКН (если требуется) с отметкой о внесении в реестр․
• Локальные акты по правам субъектов (Порядок рассмотрения обращений, формы уведомлений об утечках)․

На что обращают внимание инспекторы: «Болевые точки» 2024–2026 гг․

Анализ проверочных листов и судебных дел показывает фокус проверок:

А․ Соответствие целей обработки реальным процессам

В политике написано «для исполнения договора», а на деле, рассылка маркетинговых смс без согласия․ Инспектор сверяет реальные действия (логи CRM, скрипты колл-центра, куки на сайте) с заявленными целями․

Б․ Передача данных третьим лицам (ст․ 28 152-ФЗ)

• Есть ли договор с оператором (подрядчиком)?
• Прописаны ли в договоре: перечень данных, цели, действия, меры безопасности, обязанность удалить данные после окончания работ?
• Проверяет ли заказчик исполнение подрядчиком мер безопасности (аудит, запросы отчетов)?

В․ Межграничная передача данных

Использование иностранных сервисов (Google Analytics, AmoCRM на зарубежных серверах, Zoom, Slack, Telegram Bot API, облачные АТС за рубежом) требует:

• Наличия решения об адекватной защите в стране-получателе (ст․ 12 152-ФЗ), для большинства стран его нет․
• Или письменного согласия субъекта (специальной формы)․
• Или заключения стандартных договорных условий (СДУ) — актуально с 2024 г․ (Постановление Правительства РФ № 1559), но с оговорками для «неадекватных» стран․

Совет: Мигрируйте на российские аналоги (Яндекс․Метрика, Битрикс24, МойСклад, российские облака) — это снимает 90% рисков․

Г․ Сроки хранения и удаление

Отсутствие регламента сроков хранения = нарушение․ «Храним навсегда» — нарушение․ Удаление только по запросу — нарушение․ Нужен Перечень сроков хранения по категориям данных с привязкой к НПА/срокам исковой давности/налоговому периоду․

Д․ Инциденты безопасности (утечки)

Обязательно: Журнал инцидентов, порядок уведомления РКН и субъектов (в течение 24 часов после обнаружения/подтверждения)․ Отсутствие журнала — отдельный протокол․

Как подготовиться к проверке: пошаговый алгоритм (Чек-лист)

1. Инвентаризация (Аудит): Пройдитесь по всем процессам: HR, сайт, CRM, маркетинг, видеонаблюдение, СКУД, 1С, почта, мессенджеры․ Составьте Реестр обработки ПДн (не путать с уведомлением РКН!)․
2. Категорирование ИСПДн: Определите уровень значимости (1–4) по приказам ФСТЭК № 17/21․ Для 1–3 уровней нужна аттестация (заключение ФСТЭК)․ Для 4 уровня — Паспорт ИСПДн и модель угроз (самостоятельно)․
3. Приведение ЛНА в соответствие: Обновите Политику, Приказы, Инструкции под текущие процессы․ Уберите «воду», пишите конкретно: кто, что, зачем, как долго, как защищает․
4. Работа с подрядчиками: Подпишите доп․ соглашения к договорам со всеми, кто касается ваших ПДн (облака, аутсорсинг, колл-центры, юристы, бухгалтерия)․
5. Технические меры (Ст․ 19 152-ФЗ): Антивирусы, бэкапы, контроль доступа (пароли, MFA), шифрование при передаче (TLS/VPN), защита от утечки (DLP — желательно, для гос․сектора обязательно), учет инцидентов․
6. Обучение персонала: Проведите инструктаж (под роспись в журнале) по обращению с ПДн, фишингу, чистому столу, инцидентам․ Инспектор может опросить любого сотрудника․
7. Проверка сайта: Политика в футере, куки-баннер (согласие на маркетинг/аналитику), формы сбора данных (галочка согласия, ссылка на политику), отсутствие открытых ПДн в коде/ссылках․
8. Готовность к камеральному контролю: Проверьте запись в реестре уведомлений РКН (адрес сайта, ФИО ответственного, категории данных актуальны?)․

Процедура проверки: права и обязанности сторон

Этапы выездной проверки:

• Предъявление предписания/приказа о проведении проверки (не позднее 3 дней до начала, кроме случаев ст․ 15 152-ФЗ)․
• Осмотр помещений, изъятие документов/носителей (по протоколу, в присутствии понятых/видеозаписи)․ Важно: Инспектор не имеет права изымать оригиналы единственных документов (только копии), блокировать серверы без решения суда/прокурора․
• Опрос сотрудников (добровольно, лучше с юристом)․
• Составление акта проверки (в течение 20 дней, продление до 30)․
• Направление акта в РКН для принятия решения (предписание об устранении нарушений / протокол об АП / предупреждение)․

Как оспорить результаты (позиция «Зарцын и партнеры», судебная практика):

1. Заявление к руководителю РКН (вышестоящему инспектору), в течение 10 дней с момента получения копии акта/решения․
2. Апелляция в суд (АС РФ по месту нахождения РКН или по месту нахождения компании) — в течение 3 месяцев (общий порядок ГПК РФ / КАС РФ)․
3. Основания для отмены: процедурные нарушения (нет приказа, нарушены сроки, состав комиссии), несоответствие фактов делу, неправильное применение норм права, непропорциональность меры ответственности․

Частые вопросы бухгалтеров и HR (Краткие ответы)

На основе подборок Контур․Экстерн и практики․

Резюме: стратегия «Безопасный бизнес»

Проверка Роскомнадзора — это не цель, а следствие состояния вашей модели обработки данных․ Главные правила выживания:

• Документируйте реальность, а не идеал․ Лучше честно написать в политике «храним 5 лет по налоговому коду», чем «храним до отзыва согласия», если вы никого не удаляете․
• Автоматизируйте рутину․ DLP-системы, скрипты удаления старых логов, автоматическое формирование отчетов по инцидентам дешевле штрафов и зарплат юристов на исправлении․
• Проводите внутренний аудит раз в год (или до плановой проверки по индикаторам риска)․ Вовлекайте ИБ-специалистов и юристов совместно․
• Не игнорируйте обращения субъектов․ 30 дней на ответ (ст․ 18 152-ФЗ) — жесткий дедлайн․ Просрочка = протокол․
• Следите за изменениями в подзаконке․ 2024–2026 гг․ принесли СДУ для трансфертa, новые требования к биометрии, ужесточение штрафов за утечки (до 18 млн руб․)․

Помните: Юрист нужен не для того, чтобы «спрятать» нарушения, а чтобы построить архитектуру процессов, в которой проверка РКН пройдет как рутинная процедура, а не как стресс для бизнеса․ Грамотно составленные ЛНА, актуальная модель угроз и настроенные технические меры — ваш лучший адвокат в кабинете инспектора․

Статья подготовлена на основе актуальных на разъяснений Роскомнадзора, Постановлений Правительства РФ, судебной практики и материалов профильных изданий (ГАРАНТ․РУ, Контур, Зарцын и партнеры, КонсультантПлюс)․ Данная информация носит ознакомительный характер․ Для решения конкретных вопросов обратитесь к специалисту по защите персональных данных․