Роскомнадзор (РКН) контролирует соблюдение Федерального закона 152‑ФЗ «О персональных данных». Для большинства компаний проверка РКН — это не просто формальность‚ а реальная проверка устойчивости процессов и дисциплины в работе с персональными данными. Ошибки обходятся дороже‚ чем разовая корректировка документов: речь нередко идет о штрафах по статье 13.11 КоАП РФ‚ предписаниях‚ блокировке страниц сайта и даже уголовной ответственности.

Когда и почему Роскомнадзор приходит с проверкой

• Плановые проверки – проводятся в рамках ежегодного графика‚ установленного приказом РКН. Оператору заранее известна дата визита.
• Внеплановые проверки – инициируются после получения жалобы‚ сообщения о возможной утечке‚ либо в результате анализа данных о деятельности оператора.
• Документарные проверки – осуществляются без выезда инспектора‚ когда достаточно изучить предоставленные документы в электронном виде.

Основные причины проверок:

1. Отсутствие уведомления о начале обработки персональных данных.
2. Несоответствие уровня защиты ИСПДн (информационных систем персональных данных) требованиям ПП‑1119.
3. Повторные утечки данных или жалобы субъектов.
4. Трансграничная передача персональных данных без согласования.

Что инспектор смотрит в первую очередь

В ходе проверки РКН оценивает три уровня соответствия:

• Организационный – наличие локальных нормативных актов (ЛНА)‚ приказов о назначении ответственного лица‚ регламентов реагирования на инциденты.
• Технический – соответствие уровням защищённости (УЗ‑1…УЗ‑4)‚ наличие сертифицированных средств защиты информации (СЗИ)‚ актуальная модель угроз.
• Правовой – правильность согласий‚ наличие договоров с операторами‑поручителями‚ своевременное уведомление РКН.

Какие документы нужно подготовить заранее

Стандартный пакет документов‚ запрашиваемый при плановой проверке:

• Политика обработки персональных данных (публичная‚ размещённая на сайте).
• Приказ о назначении ответственного за организацию обработки (ст. 18.1 ФЗ 152‑ФЗ).
• Регламент доступа к персональным данным (список лиц‚ допущенных к обработке).
• Инструкция по работе с персональными данными и регламент реагирования на инциденты.
• Уведомление о начале обработки персональных данных (подача через портал pd.rkn.gov.ru).
• Договоры с операторами‑поручителями (ст. 6 152‑ФЗ) и с поставщиками облачных сервисов.
• Документ‚ определяющий уровень защищённости ИСПДн в соответствии с ПП‑1119 от .
• Журнал учёта машинных носителей ПДн.
• Отчёты о проведённых аудитах и оценке риска.
• Скриншоты и копии форм согласий‚ полученных от субъектов.

Не забывайте‚ что описание мер (ст. 18.1 и 19) должно отражать реальные процессы компании‚ а не скопированный шаблон.

Типичные нарушения‚ которые находят чаще всего

Как подготовиться к проверке: пошаговое руководство

Шаг 1. Инвентаризация данных и процессов

• Составьте реестр всех категорий ПДн (сотрудники‚ клиенты‚ контрагенты‚ посетители сайта).
• Для каждой категории укажите цель обработки‚ правовое основание‚ срок хранения‚ список лиц с доступом.
• Не забудьте про скрытые источники: CRM‑системы‚ мессенджеры‚ облачные хранилища‚ резервные копии.

Шаг 2. Правовой анализ документации

• Проверьте актуальность политики обработки ПДн и её публикацию на сайте.
• Убедитесь‚ что все формы согласий соответствуют ст. 9 152‑ФЗ (конкретные цели‚ сроки‚ способы обработки).
• Обновите договоры с операторами‑поручителями‚ включив обязательные условия (ст. 6 152‑ФЗ).
• Подайте (или актуализируйте) уведомление о начале обработки через портал pd.rkn.gov.ru.

Шаг 3. Техническая оценка ИСПДн

• Определите уровень защищённости каждой ИСПДн согласно ПП‑1119.
• Проверьте наличие сертифицированных СЗИ (по Приказу ФСТЭК 21‑2013).
• Сформируйте актуальную модель угроз и проведите её согласование с ответственным лицом.
• Обеспечьте шифрование данных при передаче и хранении‚ а также контроль доступа (логирование‚ многофакторная аутентификация).

Шаг 4. Формирование плана корректирующих мер

• Составьте реестр выявленных нарушений‚ оцените их риск и стоимость устранения.
• Назначьте ответственных за каждую задачу и установите сроки (обычно 30‑60 дней).
• Подготовьте отчёт о выполненных мерах для предоставления инспектору.

Шаг 5. Тренинг персонала и тест‑проверка

• Проведите обучение сотрудников по работе с ПДн и реагированию на инциденты.
• Смоделируйте проверку (внутренний аудит) и устраните выявленные «слепые зоны».

Примеры типовых сценариев проверок

Сценарий 1. Интернет‑магазин (оборот до 500 млн руб.)

• Нарушения: форма согласия не указывает цели и сроки; договор с облачным провайдером без обязательных условий; данные хранятся за пределами РФ.
• Последствия: предписание об устранении в 30 дней‚ штраф 150 000‑300 000 руб.‚ затраты на миграцию ≈ 200 000 руб.

Сценарий 2. Медицинская клиника

• Обрабатываются специальные категории ПДн (состояние здоровья) – требуется уровень УЗ‑3.
• Нарушения: отсутствие модели угроз‚ использование несертифицированных антивирусов‚ передача данных в страховые компании без правового основания.
• Последствия: штраф до 700 000 руб.‚ предписание о приостановлении обработки до устранения.

Сценарий 3. Производственное предприятие с иностранными учредителями

• Трансграничная передача данных сотрудников в головной офис за рубеж без уведомления.
• Нарушение статьи 12 152‑ФЗ – требуется согласие и разрешение от РКН.
• Последствия: штраф до 1 млн руб.‚ блокировка передачи‚ обязательство внедрить механизм контроля трансграничных потоков.

Санкции и изменения в законодательстве

С 2023 года Роскомнадзор существенно ужесточил штрафные санкции:

• Обработка ПДн без согласия субъекта – до 700 000 руб. для юридических лиц.
• Утечка данных более 100 000 субъектов – до 15 млн руб.; повторная утечка – оборотный штраф до 3‑х годовых выручек‚ но не менее 15 млн руб.
• Нарушения технических требований (не соответствие уровню УЗ) – штраф по ст. 13.11 КоАП РФ.
• Уголовная ответственность (ст. 272 УК РФ) для должностных лиц при умышленном нарушении.

В 2022‑2024 годах внесены поправки‚ уточняющие требования к:

• Согласиям (конкретность‚ информированность‚ однозначность).
• Трансграничной передаче (необходимость уведомления и получения разрешения).
• Уровням защищённости ИСПДн (расширение перечня обязательных мер для УЗ‑3 и УЗ‑4).

Чек‑лист первичной диагностики (24 контрольные точки)

1. Уведомление о начале обработки подано?
2. Политика обработки ПДн опубликована?
3. Назначен ответственный за обработку (приказ 18.1)?
4. Существует реестр категорий ПДн?
5. Для каждой категории указаны цель‚ правовое основание‚ срок хранения?
6. Все формы согласий соответствуют ст. 9 152‑ФЗ?
7. Есть договоры с операторами‑поручителями (ст. 6 152‑ФЗ)?
8. Определён уровень защищённости каждой ИСПДн (ПП‑1119)?
9. Применяются сертифицированные СЗИ (приказ ФСТЭК 21‑2013)?
10. Существует модель угроз и план её актуализации?
11. Ведётся журнал учёта машинных носителей ПДн?
12. Есть регламент реагирования на инциденты?
13. Проведён внутренний аудит за последние 12 мес.
14. Обучён персонал работе с ПДн?
15. Контролируется доступ (логирование‚ MFA)?
16. Шифрование данных при передаче и хранении?
17. Проверена локализация данных (для РФ‑операторов)?
18. Осуществлена проверка соответствия сайта требованиям РКН?
19. Есть план корректирующих мер с указанием сроков?
20. Документы актуализированы в течение последних 12 мес.
21. Отсутствуют копии «шаблонных» описаний мер без реального применения?
22. Обеспечена защита специальных категорий данных (здоровье‚ биометрия)?
23. Проведена оценка риска трансграничной передачи?
24. Готова копия протокола внутреннего контроля для инспектора?

Подготовка к проверке Роскомнадзора — это не разовое действие‚ а постоянный цикл:

1. Инвентаризация → Анализ → Корректировка → Контроль → Аудит.
2. Регулярно обновляйте документы‚ проводите внутренние аудиты и обучайте персонал.
3. В случае получения предписания быстро реагируйте: предоставьте план устранения‚ докажите частичное исполнение — это снижает риск максимальных санкций.

Следуя описанным рекомендациям‚ вы превратите проверку в управляемый процесс‚ минимизируете финансовые риски и укрепите доверие клиентов к вашему бизнесу.

Полезные ссылки

• Портал уведомления о начале обработки ПДн
• Практика проверок операторов ПДн (VitVet)
• Приказы ФСТЭК по защите информации

Дата актуализации статьи: 23:53:34.