Дата актуализации: 16:34:49 ()

С введением Федерального закона № 152‑ФЗ «О персональных данных» контроль за их обработкой стал одной из ключевых функций Роскомнадзора. В последние годы ведомство усилило как плановые‚ так и внеплановые проверки‚ и практически любая организация‚ ИП или самозанятый‚ работающий с данными клиентов или сотрудников‚ может попасть под контроль;

В данной статье мы подробно рассмотрим‚ какие претензии чаще всего выдвигает Роскомнадзор при проверках по персональным данным‚ как их избежать и какие меры помогут пройти проверку без штрафов.

Что считается персональными данными?

Согласно ст. 3 ФЗ‑152‚ персональные данные – это любая информация‚ относящаяся к прямо или косвенно определенному субъекту. К ним относяться:

• ФИО‚ дата и место рождения;
• Паспортные данные‚ ИНН‚ СНИЛС;
• Контактная информация (телефон‚ e‑mail‚ адрес проживания);
• Сведения о здоровье‚ биометрические данные;
• Информация о трудовой деятельности‚ образование‚ профессиональные навыки;
• Любые другие сведения‚ позволяющие идентифицировать лицо.

Основания для проведения проверки Роскомнадзора

Проверка может быть инициирована по следующим основаниям:

1. Плановый контроль – ежегодный или периодический мониторинг операторов персональных данных;
2. Внеплановая проверка – поступило обращение от субъекта данных‚ СМИ или иной заинтересованной стороны;
3. Автоматизированный мониторинг – бот Роскомнадзора сканирует сайты на наличие форм сбора данных без соответствующего уведомления;
4. Проверка по результатам аудита – после внутренней или внешней ревизии выявлены потенциальные нарушения.

Частые претензии Роскомнадзора при проверках по персональным данным

Анализ множества материалов (новостей‚ разъяснений ведомства‚ судебной практики) позволяет выделить несколько типичных замечаний‚ которые встречаются в большинстве протоколов проверок.

Отсутствие или несвоевременное уведомление о начале обработки

Согласно ст. 22 ФЗ‑152‚ оператор обязан подать уведомление в территориальный орган Роскомнадзора до начала обработки персональных данных. Частые ошибки:

• Уведомление подано после фактического начала сбора данных;
• Уведомление подано в неверном формате (не через личный кабинет на портале pd.rkn.gov.ru);
• Отсутствие уведомления вовсе – штраф может достигать 300 000 руб. (с 30 мая 2026 г.)

Неполный или устаревший перечень обрабатываемых данных

В уведомлении необходимо указать полный перечень категорий персональных данных‚ которые будут обрабатываться. Часто встречаются:

• Упущение отдельных категорий (например‚ биометрические данные при использовании систем распознавания лиц);
• Указание устаревших данных‚ которые уже не собираются;
• Смешение персональных и обезличенных данных.

Отсутствие внутренних нормативных актов по защите ПДн

Оператор должен иметь:

• Политику обработки персональных данных;
• Положение о конфиденциальности;
• Инструкции по обеспечению безопасности (технические и организационные меры);
• Журнал учета обращений субъектов данных.

Отсутствие любого из этих документов часто приводит к замечанию «недостаточная документальная база».

Нарушение принципов обработки данных

Принципы‚ закрепленные в ст. 5‑6 ФЗ‑152‚ часто нарушаются:

• Принцип законности и справедливости – обработка без согласия или иного законного основания;
• Принципности – сбор данных «про запас» без четко определенной цели;
• Принцип минимизации – избыточный объем собираемых данных;
• Принцип точности – использование устаревших или неверных сведений без своевременного обновления;
• Принцип ограничения хранения – хранение данных дольше установленного срока.

Недостаточные технические и организационные меры защиты

Роскомнадзор обращает внимание на:

• Отсутствие шифрования при передаче и хранении данных;
• Отсутствие контроля доступа (ролевой модели‚ двухфакторной аутентификации);
• Непроведенные регулярные обновления антивирусного ПО и систем обнаружения вторжений;
• Отсутствие журнала событий (логирования) доступа к персональным данным;
• Недостаточное обучение персонала правилам работы с ПДн.

Нарушение прав субъектов персональных данных

Частые жалобы субъектов приводят к претензиям ведомства:

• Отказ или задержка в предоставлении информации о обработке своих данных;
• Несвоевременное исправление неточностей по требованию субъекта;
• Отказ в прекращении обработки или удалении данных по законному требованию;
• Недостаточное информирование о правах субъекта при сборе данных (например‚ отсутствие ссылки на политику конфиденциальности на сайте).

Ошибки при подаче уведомления через портал персональных данных

Согласно разъяснениям Роскомнадзора‚ самые частые ошибки при заполнении формы:

• Копирование мер защиты из примеров без адаптации под специфику организации;
• Неправильный указание ОКВЭД или ИНН;
• Отсутствие подписи уполномоченного лица (электронной подписи);
• Несоответствие указанного объема данных фактическому объему обработки.

Как подготовиться к проверке и избежать претензий

Шаг 1. Проведите внутренний аудит

Сформируйте перечень всех процессов‚ связанных с сбором‚ хранением‚ использованием и уничтожением персональных данных; Определите:

• Какие данные собираются;
• Для каких целей;
• Кто имеет доступ;
• Какие меры защиты применяются.

Шаг 2. Оформите обязательную документацию

Минимальный набор документов:

1. Политика обработки персональных данных;
2. Положение о конфиденциальности;
3. Инструкция по обеспечению безопасности ПДн;
4. Журнал учета обращений субъектов данных;
5. Согласия на обработку (если требуется).

Все документы должны быть утверждены руководителем и доступны сотрудникам.

Шаг 3. Подготовьте и отправьте уведомление в Роскомнадзор

Воспользуйтесь личным кабинетом на портале pd.rkn.gov.ru. Перед отправкой:

• Проверьте правильность указания всех реквизитов организации;
• Убедитесь‚ что перечень категорий данных полон и актуален;
• Прикрепите scanned копию подписи уполномоченного лица (ЭЦП);
• Сохраните подтверждение отправки (уведомление о принятии).

Шаг 4. Обеспечьте техническую защиту

• Шифруйте данные при передаче (TLS/SSL) и хранении (AES‑256);
• Внедрите систему контроля доступа на основе ролей (RBAC);
• Настройте журналы аудита и регулярно их анализируйте;
• Проводите периодические тесты на проникновение и сканирование уязвимостей;
• Обеспечьте резервное копирование с соблюдением требований по сохранности ПДн.

Шаг 5. Обучите персонал

Проведите обязательные инструктажи по:

• Основным требованиям ФЗ‑152;
• Правилам работы с персональными данными в вашей организации;
• Процедурам обработки запросов субъектов данных;
• Действиям при инциденте утечки данных.

Фиксируйте прохождения обучения в журналах.

Шаг 6. Регулярно обновляйте документацию

Политики и инструкции следует пересматривать хотя бы раз в год или при изменении бизнес‑процессов‚ законодательства или технической инфраструктуры.

Штрафы и последствия за нарушения

Согласно ст. 13.11 КоАП РФ‚ штрафы за нарушения в сфере персональных данных могут достигать:

• От 30 000 до 50 000 руб. – за непредоставление информации субъекту данных;
• От 100 000 до 300 000 руб. – за отсутствие уведомления о начале обработки (с 30 мая 2026 г. – до 300 000 руб.);
• От 300 000 до 500 000 руб. – за нарушение требований по защите данных (недостаточные технические меры);
• От 500 000 до 1 000 000 руб. – за повторные нарушения или грубые нарушения‚ повлекшие вред субъектам.

Помимо штрафов‚ Роскомнадзор может выдать предписание об устранении нарушений в установленный срок‚ а при неисполнении – приостановить деятельность организации.

Практические рекомендации от экспертов

• Не копируйте шаблоны «как есть». Адаптируйте меры защиты под специфику вашего бизнеса (например‚ для интернет‑магазина важны защита платежных данных и безопасность форм обратной связи).
• Ведьте реестр обработки операций. Это поможет быстро показать проверяющему‚ какие данные и для каких целей используются.
• Используйте проверенные сервисы для хранения ПДн. Облачные провайдеры с сертификатами ISO 27001‚ ФСТЭК и ФСБ значительно снижают риск штрафов.
• Регулярно проводите «проверку на проницаемость». Запускайте внутренние фишинг‑тесты и проверяйте‚ как сотрудники реагируют на подозрительные письма.
• Сохраняйте доказательную базу. Скриншоты настроек‚ журналы‚ акты о проведении инструктажей – всё это может спасти вас при споре с Роскомнадзором.

Проверки Роскомнадзора по персональным данным становятся все более частыми и строгими. Основные претензии ведомства связаны с отсутствием или несвоевременным уведомлением‚ неполной документацией‚ нарушением принципов обработки данных и недостаточной защитой информации.

Системный подход – проведение внутреннего аудита‚ оформление обязательной нормативной базы‚ своевременное подача уведомления‚ техническая и организационная защита‚ обучение персонала – позволяет не только избежать штрафов‚ но и выстроить доверительные отношения с клиентами и партнерами.

Помните: соблюдение требований ФЗ‑152 – это не только обязанность перед государством‚ но и конкурентное преимущество‚ демонстрирующее вашу ответственность и профессионализм.

Статья подготовлена на основе публичных источников‚ разъяснений Роскомнадзора и судебной практики на .