В 2025 году Роскомнадзор зафиксировал 103 случая компрометации баз персональных данных, в результате чего в сеть попало более 50 млн записей. Эти цифры подчёркивают, насколько важна правильная организация обработки персональных данных и готовность к проверкам со стороны надзорного органа.

Что представляет собой проверка Роскомнадзора?

Проверка – это комплексный аудит деятельности организации в сфере обработки персональных данных (ПД). Основные цели:

• Убедится, что компания соблюдает требования Федерального закона № 152‑ФЗ «О персональных данных»;
• Оценить наличие и корректность уведомления в Роскомнадзор, которое должно отражать реальные внутренние процессы компании: типы собираемых данных, категории субъектов, цели и способы обработки;
• Выявить риски утечки и предложить меры по их минимизации.

Проверка может быть плановой (по графику) или внеплановой (по факту получения жалобы, сообщения о нарушении и т.п.).

Ключевые требования к обработке персональных данных

1. Законность и справедливость – обработка допускается только при наличии законных оснований (согласие субъекта, договор, закон и др.).
2. Целевое ограничение – данные собираются и используются только для заявленных целей.
3. Минимизация данных – собираются только те данные, которые необходимы для выполнения целей.
4. Точность – данные должны быть актуальными и при необходимости обновляться.
5. Сроки хранения – персональные данные хранятся не дольше, чем это необходимо.
6. Защита – применяются технические и организационные меры (шифрование, контроль доступа, аудит).
7. Документирование – наличие реестра операций, политики конфиденциальности, инструкций и, конечно, уведомления в Роскомнадзор.

Типичные ошибки компаний при подготовке к проверке

Неактуальное или неполное уведомление в Роскомнадзор

Часто компании подают уведомление, которое не отражает реального состояния дел:

• Указаны устаревшие категории данных (например, «паспортные данные», хотя они уже не собираются).
• Пропущены новые источники данных (мобильные приложения, IoT‑устройства).
• Не указаны цели обработки или они сформулированы слишком общо («маркетинг», без уточнения каналов).

Отсутствие или несоответствие реестра операций с ПД

Реестр – основной документ, позволяющий инспектору проследить поток данных. Ошибки:

• Не указаны все операции (сбор, передача, хранение, удаление).
• Отсутствие указания правовых оснований каждой операции.
• Неправильные сроки хранения.

Недостаточная защита данных

Технические и организационные меры часто реализуются «на уровне бумаги»:

• Отсутствие шифрования при передаче данных в сети.
• Неограниченный доступ к базам данных (отсутствие ролей и прав).
• Отсутствие журналов аудита или их неполнота.

Нарушения в работе с согласиями субъектов

Согласие – один из главных правовых оснований. Ошибки:

• Согласие собирается в виде «чек‑бокса», но без отдельного описания целей.
• Отсутствие возможности отзыва согласия и процедуры его обработки.
• Согласия хранятся в виде неструктурированных файлов, что затрудняет их проверку.

Неадекватное реагирование на инциденты

В случае утечки компании часто не имеют:

• Плана реагирования (IR‑плана) с чёткими ролями и сроками.
• Процедур уведомления Роскомнадзора в течение 72 часов.
• Документации о проведённых расследованиях и принятых мерах.

Ошибки в работе с подрядчиками и третьими лицами

Передача ПД внешним контрагентам требует заключения договоров и контроля:

• Отсутствие договоров о совместной обработке.
• Недостаточный контроль за соблюдением контрагентами требований ФЗ‑152.
• Неучтённые риски при использовании облачных сервисов.

Как подготовиться к проверке: пошаговый план

1. Аудит текущего состояния
   • Соберите все документы: уведомление, реестр, политики, договоры с подрядчиками.
   • Проверьте актуальность данных в уведомлении.
2. Обновление уведомления
   • Отразите все типы данных, категории субъектов, цели и правовые основания.
   • Укажите сроки хранения и меры защиты.
3. Создание/корректировка реестра операций
   • Для каждой операции укажите: тип данных, цель, правовое основание, срок хранения, способ защиты.
4. Усиление технической защиты
   • Внедрите шифрование «в покое» и «в пути».
   • Настройте разграничение доступа по ролям.
   • Включите журналирование всех действий с ПД.
5. Обеспечение прав субъектов
   • Разработайте форму получения согласия с чётким описанием целей.
   • Создайте механизм отзыва согласия и удаления данных.
6. Подготовка к инцидентам
   • Сформируйте IR‑план, включающий уведомление Роскомнадзора в течение 72 ч.
   • Проведите тестовые сценарии утечки.
7. Контроль за подрядчиками
   • Подпишите договоры о совместной обработке.
   • Проведите аудит их мер защиты.
8. Обучение персонала
   • Проведите тренинги по работе с ПД и реагированию на запросы субъектов.

Последствия несоблюдения требований

Роскомнадзор имеет широкий спектр санкций:

• Административные штрафы – от 10 000 до 6 млн рублей в зависимости от тяжести нарушения.
• Приостановка обработки данных, что может парализовать бизнес‑процессы.
• Уголовная ответственность за умышленное разглашение особо защищённых ПД.
• Репутационные потери – утрата доверия клиентов и партнёров.

Практические рекомендации от экспертов

• Регулярный внутренний аудит – минимум раз в полугодие проверяйте соответствие реестра и уведомления реальному положению дел.
• Автоматизация – используйте специализированные решения для управления согласиями, журналирования и мониторинга доступа.
• Документируйте всё – каждая операция, изменение политики, инцидент должны быть зафиксированы в письменной форме.
• Тестируйте план реагирования – проводите «пробные» утечки, чтобы убедиться, что уведомление в Роскомнадзор может быть отправлено в течение 72 ч.
• Обратитесь к юристу – проверка юридической части (договоры, согласия) часто выявляет скрытые риски.

Рост количества компрометаций персональных данных (103 случая и 50 млн записей в 2025 году) свидетельствует о необходимости повышенного внимания к требованиям Роскомнадзора. Типичные ошибки – от устаревшего уведомления до слабой технической защиты – легко исправимы при системном подходе.

Главное правило: документировать каждый процесс, защищать данные на всех уровнях и быть готовым к проверке в любой момент. При соблюдении этих принципов компании снижают риск штрафов, сохраняют репутацию и укрепляют доверие своих клиентов.

Статья подготовлена в соответствии с актуальными данными на . Для получения более детальной консультации рекомендуется обратиться к специалистам по защите персональных данных.