Проверка Роскомнадзора (РКН) — это стресс-тест для любой организации, обрабатывающей персональные данные (ПДн). С вступлением в силу с 30 мая 2025 года новых требований и значительного усиления надзора, цена ошибки выросла многократно: штрафы за повторные нарушения могут достигать 15 млн рублей (ч. 5 ст. 13.11 КоАП РФ), а за утечки данных — до 500 млн рублей (ст. 13.11.1 КоАП РФ).

В этой статье мы подробно разберем, какой пакет документов нужно подготовить, как оформить организационно-распорядительную документацию, подготовить IT-инфраструктуру и пройти проверку без потерь.

Понимание контекста: Виды проверок и категория риска

С 2026 года подход к планированию проверок кардинально изменился. Мораторий на плановые проверки малых и средних предприятий не действует в отношении Роскомнадзора по вопросам ПДн (ст. 21 ФЗ-294). Планирование теперь строится на категории риска (высокая, значительная, средняя, низкая), виду деятельности и записи в ЕРКНМ (Единый реестр проверок).

Основные виды проверок:

• Плановые: Назначаются на год вперед на основании плана проверок. Срок проведения — до 20 рабочих дней (может продлеваться до 10 дней).
• Внеплановые: Проводится по основаниям: обращения граждан/СМИ, предписания прокурора, восстановление справедливости, контроль за исполнением предписаний. Могут прийти с уведомлением за 24 часа или без уведомления (в исключительных случаях).
• Профилактические визиты: Не являются проверкой в строгом смысле (нет акта, нет штрафов), но инспекторы оценивают состояние дел и дают рекомендации. Отказ в допуске не влечет ответственности, но вызывает подозрения.
• Камеральные (документарные): Проводятся на базе РКН без визита. Запрашивают сканы документов через ЛК «Госуслуги» или почту. Срок, до 30 дней.
• Обследование веб-ресурсов: Автоматизированный или ручной анализ сайта/приложения на соответствие 152-ФЗ (политика конфиденциальности, согласие, уведомление в реестре).

Важно: Инспекторы имеют право запрашивать любые документы, связанные с обработкой ПДн, а не только те, что перечислены в приказе о проверке.

«Скелет» пакета: Организационно-распорядительная документация (ОРД)

Это фундамент. Без этих документов любая проверка начнется с предписания об устранении нарушений и штрафа по ст. 13.11 КоАП РФ (за отсутствие локальных актов).

Обязательный минимум (Чек-лист):

1. Приказ о назначении ответственного за организацию обработки ПДн (ООПД). Должен быть подписан генеральным директором. ФИО, должность, контакты. Совет: назначьте не системного администратора, а юриста или руководителя отдела, понимающего бизнес-процессы.
2. Приказ об утверждении Политики в отношении обработки ПДн (Публичной политики). Обязательна для публикации на сайте (п. 2 ч. 1 ст. 18.1 152-ФЗ).
3. Политика в отношении обработки ПДн (Внутренняя/Рабочая). Детальный документ для сотрудников: цели, категории субъектов/ПДн, правовые основания, сроки хранения, меры защиты, порядок реализации прав субъектов.
4. Приказ об утверждении Модели угроз (МУ) и Перечня мер защиты информации (МЗИ). Ключевой технический документ. Разрабатывается в соответствии с Постановлением Правительства РФ № 1119 и ФСТЭК/ФСБ руководящими документами.
5. Перечень мер защиты информации (МЗИ) с обоснованием. Таблица: Угроза -> Мера защиты -> Средство реализации (СЗИ/организационная) -> Статус (внедрено/планируется).
6. Приказ о назначении уполномоченного представителя (для проверки). Лицо, которое будет общаться с инспекторами, предоставлять документы, подписывать протокол осмотра. Должность — не ниже руководителя структурного подразделения.
7. Локальные акты по конкретным процессам:
   • Положение о порядке обработки обращений субъектов ПДн (ст; 14, 15, 18 152-ФЗ).
   • Положение об учтете инцидентов безопасности (утечки, несанкционированный доступ).
   • Инструкция по работе с ПДн для сотрудников (под роспись).
   • Положение о видеонаблюдении (если есть камеры).
   • Положение о биометрии (если применяется).

Уведомление Роскомнадзора: Основа легальности

С 2022 года уведомление подается только в электронном виде через ЛК «Госуслуги» (раздел «Уведомление об обработке персональных данных»). Бумажные уведомления не принимаются.

Что проверяют инспекторы:

• Наличие актуального уведомления (или уведомлений, если целей обработки несколько и они не объединены).
• Соответствие сведений в уведомлении фактической деятельности: категории ПДн, категории субъектов, цели, правовые основания, способы обработки, трансграничная передача, меры защиты.
• Наличие уведомления о трансграничной передаче (если данные уходят за рубеж — облака, CRM, рассылки, аналитика Google/Яндекс).
• Сведения о включении в Реестр операторов ПДн (проверяется автоматически по ИНН/ОГРН).

Лайфхак: Перед проверкой скачайте PDF-уведомление из ЛК Госуслуг и сверьте каждый пункт с реальными бизнес-процессами. Расхождения = нарушение ст. 22 152-ФЗ.

Учет и реестры: Доказательство управляемости процессами

Инспекторы любят просить «реестры». Их отсутствие, прямое нарушение требований по учету обработки (п. 3 ч. 1 ст. 22 152-ФЗ, Постановление ГРФ № 1119).

Ключевые реестры (ведутся в Excel, 1С, СЭД или специализированном ПО):

Техническая подготовка: Модель угроз, СЗИ и Инциденты

С 2025 года РКН требует не просто «иметь антивирус», а доказать адекватность мер защиты через Модель угроз (МУ).

Что должно быть готово к демонстрации:

• Модель угроз (МУ): Документ, описывающий источники угроз, объекты воздействия, реализуемые угрозы (НСД, НСД-2, НСД-3). Утверждается приказом.
• Перечень МЗИ: Привязка к МУ. Каждая мера должна быть обоснована: «Угроза НСД-2.1 (несанкционированный доступ к БД) -> МЗИ: разграничение доступа по ролям (СЗИ: СУБД + OS) -> Внедрено».
• Сертифицированные СЗИ (Средства защиты информации): Если используются СЗИ (антивирусы, МЭ, СКЗИ, DLP, SIEM) — должны быть сертификаты ФСТЭК/ФСБ на соответствие профилям защиты. Акты внедрения/аттестации объектов.
• Журналы регистрации событий (логи): Настроен сбор логов доступа к ПДн (вход/выход, ошибки доступа, действия админов) за минимум 6 месяцев (требование Постановления № 1119). Наличие SIEM или настроенного syslog-сервера — большой плюс.
• Результаты последнего аудита/аттестации: Акт проверки соответствия объекта требованиям (проводится не реже 1 раза в 3 года или после существенных изменений).
• План реагирования на инциденты: Инструкция для админов/ИБ: обнаружение -> локализация -> устранение -> оценка ущерба -> уведомление РКН (24 часа) -> уведомление субъектов.

Подготовка сайта и информационных систем (Веб-аудит)

Обследование веб-ресурса — самый частый сценарий камеральной проверки. Инспектор заходит на сайт как обычный пользователь.

Чек-лист сайта (Must Have):

1. Политика конфиденциальности (Публичная): Ссылка в футере (видна на каждой странице). Текст соответствует ст. 18.1 152-ФЗ: цели, категории ПДн, основания, сроки, права субъектов, контакты ООПД, сведения о передаче третьим лицам/трансграничной передаче, использование Cookies/метрики.
2. Согласие на обработку ПДн: На всех формах сбора данных (обратная связь, заказ, регистрация, подписка, «Заказать звонок»).
   • Чекбокс не проставлен по умолчанию (opt-in).
   • Текст ссылки на Политику.
   • Отдельные чекбоксы для маркетинга/рассылок (если есть).
   • Фиксация факта согласия (логи: IP, User-Agent, timestamp, версия политики, hash согласия).
3. Уведомление в Реестре РКН: На сайте должна быть ссылка на реестр (или текст: «Оператор ПДн включен в реестр № …») — не обязательно, но хороший тон.
4. Cookies / Яндекс.Метрика / Google Analytics / Виджеты чатов / CRM-формы:
   • Наличие баннера Cookies (CMP) с возможностью отказа от не الضروريх файлов.
   • Настройка Яндекс.Метрики: включена анонимизация IP, отключен «Вебвизор» для личных кабинетов/форм оплаты, подписан ДОП (Договор о поручении обработки) с Яндексом/Google.
5. Личный кабинет / Профиль пользователя: Возможность скачать свои данные (портabilidad), удалить аккаунт, отозвать согласие «одной кнопкой».
6. HTTPS / TLS 1.2+: Валидный сертификат, HSTS, Secure-флаги для кук сессии.
7. Отсутствие «тестовых» данных в продакшене: Никаких реальных ПДн клиентов на тестовых стендах без анонимизации.

Работа с персоналом: «Человеческий фактор»

Инспекторы часто опрашивают сотрудников (HR, бухгалтерия, менеджеры продаж, сисадмины) прямо на рабочих местах.

Документы на каждого сотрудника (в личном деле или отдельной папке):

• Согласие на обработку ПДн сотрудника (широкое, на все HR-процессы) или обоснование обработки без согласия (исполнение трудового договора, ст. 6 152-ФЗ).
• Заявление на ознакомление с локальными актами (Политика, Инструкция, Положение о видеонаблюдении, Положение о контроле доступа) под роспись с датой.
• Допуск к ПДн / КГИ (Коммерческой/Государственной тайне): Приказ о допуске, подписанный НДА (соглашение о неразглашении).
• Протоколы обучения/инструктажей по защите ПДн (раз в год, при приеме на работу). Темы: фишинг, чистый стол, пароли, инциденты, права субъектов.

Совет: Проведите «мок-опрос» сотрудников за неделю до проверки: «Что вы сделаете, если найдете чужую зарплатную ведомость на принтере?», «Как реагируете на подозрительное письмо?», «Где лежит Политика?».

Алгоритм действий при получении уведомления о проверке (Плановый сценарий)

1. День 0 (Получение уведомления): Сообщить руководству и ООПД. Проверить законность: основание, сроки, состав комиссии, перечень запрашиваемых документов (приложение к уведомлению).
2. День 1-2: Сбор «пакета для инспектора». Распечатать/подготовить электронные копии:
   • Устав, ЕГРЮЛ/ЕГРИП, доверенность на представителя.
   • Все приказы (ООПД, МУ/МЗИ, Уполномоченный представитель, Комиссия по уничтожению).
   • Политики (Внутренняя + Публичная).
   • Уведомление РКН (PDF из ЛК Госуслуг).
   • Реестр операций обработки (Карта потоков), главный документ.
   • Реестр носителей, Матрица доступа, Реестр договоров с подрядчиками (с выделенными разделами ПДн).
   • Журналы: обращения субъектов, инцидентов, уничтожения, обучений.
   • Акты аудита/аттестации, сертификаты СЗИ.
3. День 2-3: Подготовка рабочих мест. Убрать с столов бумаги с ПДн (чистый стол). Заблокировать экраны (Win+L). Проверить, что на мониторах не висят открытые БД/CRM/почта. Убедиться, что камеры не снимают экраны мониторов/клавиатуры (ПИН-коды).
4. День 3: Брифинг команды. Назначить «теневых» сопровождающих для каждого инспектора. Правила: не волентерить информацию, отвечать по существу, не знать, говорить «подготовлю справку/запрошу у специалиста», не подписывать протоколы/акты без юриста, если есть замечания.
5. День проверки (День Х): Встреча в приемной. Проверка доверенностей инспекторов. Предоставление рабочего места (стол, розетка, Wi-Fi гостевой/изолированный). Выдача документов по перечню (под расписку в журнале учета выданных документов).
6. После проверки: Анализ акта/предписания. Обжалование в течение 10 дней (в вышестоящее управление РКН или суд). Исполнение предписания в установленный срок (обычно 10-30 дней) с отчетом об исполнении.

Топ-10 ошибок, за которые штрафуют в 2025-2026 гг.

1. Отсутствие или неактуальность уведомления в РКН (не добавили новую цель/категорию ПДн/подрядчика).
2. Расхождение между Политикой на сайте и реальностью (пишут «храним 3 года», храним 10; пишут «не передаем третьим», передают в CRM/почту/доставку).
3. Отсутствие Модели угроз и Перечня МЗИ (или они формальные, «для галочки», не привязаны к реальным активам).
4. Нет реестра операций обработки (Карты потоков ПДн) — инспектор не видит полной картины.
5. Договоры с подрядчиками без раздела об обработке ПДн (ст. 28 152-ФЗ) или без ДОП (для облаков/СaaS).
6. Игнорирование прав субъектов: не отвечают на заявления за 30 дней, не удаляют данные при отзыве согласия, не предоставляют доступ к своим данным.
7. Отсутствие учета инцидентов и неуведомление РКН за 24 часа о утечке (даже если утечки не было, а был инцидент безопасности).
8. Сайт: нет Политики, чекбокс согласия проставлен по умолчанию, Яндекс.Метрика передает полные IP без ДОП.
9. Сотрудники не ознакомлены с локальными актами под роспись (нет доказательств обучения).
10. Хранение ПДн дольше установленных сроков без основания (нет реестра уничтожения, нет актов).

Новые реалии 2025-2026: На что обратить особое внимание

• Биометрия: Если используете биометрию (вход по лицу/отпечатку, контроль рабочего времени), обязательны: отдельное согласие (строгой формы), ДПИА (Оценка последствий для ПДн), уведомление РКН об обработке биометрии, изоляция биометрических шаблонов.
• Трансграничная передача: После ухода Google/Meta/Adobe фокус сместился на облачные провайдеры, CRM, рассылки, CDN, аналитику. Проверяют: есть ли у получателя адекватная защита (страна-адекватность или SCC/BCR), подписаны ли SCC (Стандартные договорные условия).
• ИИ и автоматическое принятие решений: Если используете скоринг, авто-отбор резюме, чат-боты с ИИ — нужно уведомить субъекта, предоставить право на человеческое вмешательство (ст. 18.1 152-ФЗ).
• Детские данные: Если обрабатываете данные несовершеннолетних (интернет-магазины, игры, эдукация) — жесткие требования: согласие родителей, минимализм сбора, запрет профилирования/таргетинга.
• Онлайн-сервисы подготовки: РКН в методических рекомендациях упоминает возможность использования специализированных сервисов (типа «Роском 24», «Контур», «УИБ» и др.) для генерации пакетов, но ответственность за достоверность остается на операторе. Шаблоны нужно адаптировать под реальные процессы.

Успешная проверка Роскомнадзора — это не магия и не удача. Это результат системной работы:

1. Актуальная ОРД (Приказы, Политики, МУ/МЗИ), живущая в бизнесе, а не в сейфе.
2. Прозрачная Карта потоков ПДн (Реестр операций), понятная любому инспектору за 15 минут.
3. Настроенные технические меры (логи, доступы, шифрование, бэкапы) с подтверждающими актами.
4. Обученные сотрудники, которые не теряются при вопросе «А где у вас лежат договоры клиентов?».
5. Работающий процесс реагирования на инциденты и обращения субъектов.

Главный совет: Не ждите уведомления о проверке. Проводите внутренний аудит (самообследование) хотя бы раз в год по чек-листу выше. Используйте сервисы автоматизации (ГРЦ, Контур, специализированные GRC-платформы) для поддержания реестров в актуальном состоянии. Стоимость подготовки в 10-50 раз ниже стоимости штрафов и репутационных потерь.

Данная статья носит информационный характер и не является правовой консультацией. Законодательство в сфере ПДн динамично меняется (ФЗ-152, Постановления Правительства, Постановления Пленума ВС РФ, приказы РКН/ФСТЭК). Для подготовки к конкретной проверке рекомендуется привлечь профильного юриста или компанию-эксперта по 152-ФЗ.