Автор: профессиональный юрист и DPO с многолетним опытом работы с запросами Роскомнадзора, мониторингом судебной практики и построением систем защиты персональных данных.
Содержание
- Законодательная база 2024‑2026 гг.
- Виды проверок, проводимых Роскомнадзором
- Что может стать основанием для проверки
- Что именно проверяют инспекторы
- Обязательные документы и ЛНА
- Штрафы и иные санкции (таблица)
- Как подготовиться к проверке: практический чек‑лист
- Примеры из судебной практики 2024‑2026 гг.
Законодательная база 2024‑2026 гг.
Ключевые нормативные акты, регулирующие деятельность Роскомнадзора в сфере персональных данных:
- Федеральный закон № 152‑ФЗ «О персональных данных» (с изменениями от 30 мая 2025 г.)
- КоАП РФ – статьи 13.11 и 13.11.3 (административные правонарушения в сфере ПД)
- Федеральный закон № 420‑ФЗ (увеличение штрафов за непредставление уведомлений о начале обработки ПД)
- Уголовный кодекс РФ – статья, введённая 11 декабря 2024 г., вводящая уголовную ответственность за незаконный сбор, хранение и передачу компьютерной информации, содержащей ПД.
С 2025 года вступил в силу мораторий на массовые плановые проверки, однако в III квартале 2025 года он был снят, и с 2026 года регулятор возобновил как плановые, так и внеплановые инспекции.
Виды проверок, проводимых Роскомнадзором
| Тип проверки | Характеристика | Периодичность |
|---|---|---|
| Плановая (регулярная) | Назначается в рамках ежегодного графика, основана на отраслевых рисках и объёме обрабатываемых ПД. | 1‑2 раза в год |
| Внеплановая (по факту) | Инициируется после получения жалобы, сообщения о утечке или после обнаружения нарушения в открытых источниках. | По мере необходимости |
| Тематическая | Фокусируется на конкретных аспектах: трансграничная передача, обработка биометрии, автоматизированное принятие решений и т.д. | Раз в 2‑3 года (зависит от приоритетов ведомства) |
| Онлайн‑сканирование (бот‑проверка) | Автоматический сканер, ищущий на сайтах недоступные ссылки на политику конфиденциальности, отсутствие согласия, открытые формы сбора ПД. | Постоянно, с последующей передачей «красных» кейсов инспекторам. |
С 2024 года Роскомнадзор активно использует специального бота, который в режиме реального времени проверяет публичные ресурсы компаний и формирует список потенциальных нарушений.
Что может стать основанием для проверки
- Отсутствие уведомления о начале обработки ПД в Роскомнадзор (ст. 13;11 КоАП).
- Неисполнение требований по трансграничной передаче персональных данных (отсутствие согласия субъекта, отсутствие договора с получателем).
- Получение жалобы от субъектов ПД (например, о неправомерном использовании их данных).
- Обнаружение утечки (сообщение о факте утечки в СМИ, в системе «Единый реестр»).
- Инициатива Роскомнадзора после анализа данных бота‑сканера.
- Проведение судебных разбирательств по делу о нарушении 152‑ФЗ, где суд может направить запрос в Роскомнадзор.
Что именно проверяют инспекторы
4.1 Технические и организационные меры
- Наличие и актуальность политики информационной безопасности.
- Реализация механизмов контроля доступа (логирование, двухфакторная аутентификация).
- Наличие системы обнаружения и реагирования на инциденты (SIEM).
- Проведение регулярных тестов на уязвимости и их документирование.
4.2 Документальная часть
- Локальная нормативная акт (ЛНА) о обработке и защите ПД.
- Регистры обработки персональных данных (РПД).
- Договоры с операторами‑обработчиками и третими лицами (включая трансграничные передачи).
- Уведомления в Роскомнадзор о начале обработки, изменениях и прекращении обработки.
- Отчёты о проведённых оценках воздействия на защиту персональных данных (DPIA), если обработка подпадает под требования GDPR‑подобных оценок.
4.3 Согласие субъектов и информирование
- Наличие документированного согласия (в т.ч. электронного) на обработку ПД.
- Политика конфиденциальности, размещённая на сайте, соответствует требованиям 152‑ФЗ.
- Соблюдение прав субъектов (право доступа, исправления, удаления, ограничения обработки).
4.4 Трансграничная передача
- Наличие договоров о передаче с иностранными получателями.
- Согласие субъекта на передачу за пределы РФ.
- Отсутствие запретов или ограничений, наложенных Роскомнадзором.
Обязательные документы и ЛНА (по мнению Роскомнадзора)
Согласно статье Документы по персональным данным, которые проверит Роскомнадзор в N 4, 2024, на с. 37, в каждой организации‑операторе должны быть:
- Локальная нормативная акт (ЛНА) – регламентирует цели, основания, категории и сроки обработки.
- Регистры обработки персональных данных (по каждому процессу).
- Договоры с операторами‑обработчиками и поставщиками ИТ‑услуг.
- Политика конфиденциальности, опубликованная в открытом доступе.
- Отчёты о проведённых оценках воздействия (DPIA), если обработка связана с высоким риском.
- План реагирования на инциденты и журнал инцидентов.
- Уведомления в Роскомнадзор о начале обработки, изменениях и утечках.
Отсутствие любого из перечисленных пунктов считается нарушением и может стать основанием для наложения административного штрафа.
Штрафы и иные санкции (2024‑2026 гг.)
| Нарушение | Размер штрафа (руб.) | Дополнительные меры |
|---|---|---|
| Отсутствие уведомления о начале обработки ПД (ст. 13.11 КоАП) | от 200 000 до 500 000 | Предписание о немедленном уведомлении |
| Нарушение требований к согласиям субъектов | от 300 000 до 1 000 000 | Блокировка соответствующего функционала сайта |
| Трансграничная передача без согласия | от 500 000 до 2 000 000 | Запрет на дальнейшую передачу до устранения нарушения |
| Утечка персональных данных (первая утечка) | от 1 000 000 до 5 000 000 | Обязательное уведомление субъектов и Роскомнадзора в течение 72 ч |
| Повторные нарушения (в течение 1 года) | Увеличение штрафа в 2‑3 раза | Возможность привлечения к уголовной ответственности (ст. 276 УК РФ) |
| Неисполнение предписаний инспектора | от 500 000 до 3 000 000 | Блокировка сайта/сервиса |
С 30 мая 2025 года суммы штрафов удвоились, а за повторные нарушения введены оборотные штрафы (зависят от объёма утечки и количества затронутых субъектов).
Как подготовиться к проверке: практический чек‑лист
7.1 Предварительный аудит (за 30‑60 дней до плановой проверки)
- Проверьте актуальность ЛНА и всех внутренних регламентов.
- Сверьте реестр обработки ПД с реальными бизнес‑процессами.
- Убедитесь, что политика конфиденциальности размещена на сайте и соответствует требованиям 152‑ФЗ.
- Проверьте наличие договоров с обработчиками и их соответствие требованиям о передаче ПД.
- Проведите тестирование уязвимостей и обновите патчи.
- Обновите журнал инцидентов и подготовьте план реагирования.
7.2 Обучение персонала
- Организуйте минимум один раз в квартал тренинг по защите ПД для всех сотрудников, работающих с данными.
- Проведите отдельный курс для службы ИТ‑поддержки о работе с запросами Роскомнадзора.
- Разработайте инструкцию по реагированию на запросы инспектора (что предоставлять, в какие сроки).
7.3 Техническая подготовка
- Убедитесь, что все лог-файлы хранятся минимум 12 месяцев.
- Настройте шифрование при передаче и хранении ПД (TLS 1.3, AES‑256).
- Включите механизмы контроля доступа (RBAC, MFA).
- Проверьте, что система резервного копирования защищена от несанкционированного доступа.
7.4 Документальное обеспечение
- Сформируйте пакет документов для инспектора: ЛНА, реестр, договоры, журнал инцидентов, отчёт DPIA, уведомления в Роскомнадзор.
- Подготовьте пояснительные записки к каждому документу (кратко, но полно).
- Обеспечьте наличие подписей уполномоченных лиц (генеральный директор, DPO).
7.5 После проверки
- Сразу же выполните предписания инспектора в указанные сроки.
- Составьте акт о выполнении предписаний и направьте в Роскомнадзор.
- Обновите внутренние регламенты, учитывая полученный опыт.
Примеры из судебной практики 2024‑2026 гг.
8.1 Дело «ООО «ТехСервис» (2024)
Роскомнадзор выявил отсутствие уведомления о начале обработки ПД. Суд подтвердил правомерность штрафа в размере 450 000 руб. и обязал компанию в течение 10 дней подать уведомление.
8.2 Дело «ЗАО «МедИнфо» (2025)
Компания передала биометрические данные за границу без согласия субъектов. Был наложен штраф 1 800 000 руб. и предписание о прекращении передачи до получения согласий.
8.3 Дело «ИП Иванов И.И.» (2026)
Утечка персональных данных (около 15 000 записей). Суд учёл, что компания своевременно уведомила Роскомнадзор и пострадавших, поэтому штраф был снижен до 1 200 000 руб., но введено обязательство ежегодного аудита до 2028 года.
Ключевые выводы:
- С 2025 года проверки Роскомнадзора стали более технологичными (бот‑сканирование) и строгими (увеличены штрафы, введены оборотные санкции).
- Наличие полноценного ЛНА и актуального реестра обработки – фундаментальная защита от штрафов.
- Регулярные внутренние аудиты и обучение персонала позволяют выявлять нарушения до визита инспектора.
- Своевременное уведомление о начале обработки и о любой утечке – обязательное условие снижения риска административных и уголовных последствий.
Рекомендации для бизнеса:
- Назначьте ответственного за взаимодействие с Роскомнадзором (обычно DPO) и фиксируйте его полномочия в уставных документах.
- Внедрите автоматизированную систему контроля соответствия (Compliance‑CMS), которая будет генерировать отчёты по каждому требованию 152‑ФЗ.
- Проводите периодические тест‑плейсменты (симуляцию проверки) с привлечением внешних консультантов.
- Следите за изменениями в законодательстве (выпуски «КонсультантПлюс», «Гарант») и оперативно вносите коррективы в документы.
- Разработайте план коммуникаций на случай получения предписания: кто информирует руководство, как готовятся ответы, какие сроки соблюдаются.
Тщательная подготовка, прозрачность процессов и постоянный мониторинг рисков позволяют не только избежать штрафов, но и повысить доверие клиентов к вашему бренду.
Дата публикации: 11:48:18