Самое главное помнить, что проверки Роскомнадзора не ограничиваются только крупными корпорациями или компаниями, внесенными в реестр операторов персональных данных․ Любая организация или ИП, собирающий или хранящий персональные данные (даже просто через форму обратной связи на сайте или в кадровых документах пары сотрудников), может стать объектом проверки․ В 2026 году регулятор ужесточил подход: штрафы достигли исторических максимумов — до 500 млн рублей за повторные или грубые нарушения․

Мифы и реальность: кто попадает под прицел Роскомнадзора

Распространенное заблуждение: «Я не в реестре операторов, мне нечего бояться»․ На практике обязанность соблюдать 152-ФЗ возникает с момента начала обработки любых персональных данных․ Отсутствие записи в реестре — это уже отдельное нарушение (ст․ 19․7 КоАП РФ), но оно не освобождает от соблюдения всех остальных требований закона․

• Малый бизнес и стартапы: форма заявки на сайте, корзина интернет-магазина, рассылка по email, учет рабочего времени сотрудников — всё это обработка ПДн․
• Отсутствие сайта не спасает: бумажные анкеты кандидатов, журналы посетителей, видеонаблюдение с распознаванием лиц, повод для проверки․

Топ-10 частых ошибок, выявляемых при проверках (по данным экспертов и практике 2026 г․)

Отсутствие или неполнота локальных нормативных актов (ЛНА)

Это «визитка» компании для инспектора․ Отсутствие даже одного документа влечет штрафы․

1. Политика конфиденциальности (публичная версия): должна быть доступна на сайте и в местах сбора данных․ Частая ошибка — копипаст чужого текста без учета специфики своих процессов․
2. Внутренняя политика (для сотрудников): регламентирует порядок работы с ПДн внутри периметра․ Отличается от публичной версией детализацией процессов и ответственных лиц․
3. Приказ о назначении ответственного за обработку ПДн: не может быть «для галочки» — у лица должны быть реальные полномочия и компетенции․
4. Перечень категорий субъектов и обрабатываемых данных: обязательный документ для понимания масштабов․
5. Локальные акты по ИСПДн (Информационная система персональных данных): модель угроз, карта границ ИСПДн, план мер по обеспечению безопасности․

Проблемы с согласием на обработку ПДн

• Отсутствие согласия там, где оно обязательно (нет оснований ст․ 6, 11 152-ФЗ)․
• Несоответствие формы согласия требованиям ст․ 9 152-ФЗ: нет конкретных целей, перечня действий, срока действия, способа отзыва․
• «Тихие» чекбоксы: предварительно установленные галочки («Я согласен») признаются недействительными․ Согласие должно быть свободным, конкретным, информированным и недвусмысленным (действием)․
• Отсутствие механизма отзыва согласия простым и доступным способом․

Избыточный сбор данных (Принцип минимальности, ст․ 5 152-ФЗ)

Сбор данных «на всякий случай» или «для будущих маркетинговых целей» — прямое нарушение․ Примеры:

• Запрос паспортных данных при регистрации в программе лояльности․
• Сбор СНИЛС при оформлении заказа доставки еды․
• Обязательное заполнение поля «Должность» в форме обратной связи «Задать вопрос»․

Игнорирование требований к ИСПДн и защите информации (ФСТЭК)

Многие считают, что установка антивируса — это выполнение требований по защите․ На деле проверяется комплекс мер:

• Отсутствие акта категорирования объекта информатизации (Приказ ФСТЭК № 17/257): не определен уровень значимости (УЗ 1-4) и класс защищенности (КЗ 1-4)․
• Нет модели угроз и модели нарушителя: не понятно, от чего именно защищаетесь․
• Отсутствие средств защиты информации (СЗИ), сертифицированных ФСТЭК/ФСБ: использование «коробочного» софта без сертификатов соответствия для КЗ 1-3․
• Непроведение аттестации объектов ИСПДн: обязательная процедура для КЗ 1-3 (раз в 3 года или после изменений)․
• Отсутствие журналов учета инцидентов безопасности и доступа к ПДн․

Нарушение прав субъектов ПДн (ст․ 18-21 152-ФЗ)

• Игнорирование требований на доступ к данным (п․ 1 ст․ 18), не предоставление информации за 30 дней․
• Отказ в уточнении/уничтожении/блокировке данных без законных оснований․
• Отсутствие уведомления субъекта о получении данных из иных источников (п․ 2 ст․ 18)․

Передача данных третьим лицам без оснований

• Передача подрядчикам (CRM, почта, колл-центр, бухгалтерия аутсорс) без договоров о порученной обработке (ДПО) с обязательными условиями ст․ 28 152-ФЗ․
• Трансграничная передача в страны, не обеспечивающие адекватной защиты, без согласия субъекта или международного договора․

Хранение данных дольше необходимого срока

Отсутствие регламента сроков хранения и процедуры уничтожения/обезличивания․ Данные бывших сотрудников хранятся годами без дела, логи посещений сайта не чистятся годами․

Отсутствие инструктажей и обучения персонала

Критически важный момент 2026 года: инспекторы задают вопросы непосредственно сотрудникам (HR, менеджеры продаж, сисадмины)․

• Сотрудник не знает, что такое ПДн и где они лежат․
• Не умеет распознать фишинг/социальную инженерию (куда нельзя передавать пароли, какие письма опасны)․
• Не знает процедуру действий при утечке или запросе субъекта․
• Нет подписанных росписей о ознакомлении с ЛНА под роспись․

Ошибки в уведомлении Роскомнадзора (для тех, кто в реестре)

• Несвоевременное уведомление об изменении сведений (смена ФИО директора, адреса, целей, категорий данных), в течение 10 дней․
• Несоответствие сведений в реестре реальным процессам обработки․

Неготовность к выездной/документарной проверке

• Отсутствие регламента действий при появлении инспекторов․
• Неумение правильно составлять объяснения, отказывать в предоставлении нерелевантных документов, оспаривать протоколы․
• Хаос в документах: не найдены ключевые акты за 10-15 минут ожидания инспектора․

Как проходит проверка в 2026 году: этапы и фокус внимания

Роскомнадзор проводит как плановые (раз в 3 года, если есть основания), так и внеплановые (по жалобам, утечкам, поручениям прокуратуры) проверки․ Формат: документарная (запрос документов по почте/порталу) или выездная․

Что именно запрашивают и проверяют инспекторы (Чек-лист):

1. Полный пакет ЛНА (п․ 1-4 раздела выше)․
2. Документы по ИСПДн: Акт категорирования, Модель угроз, Акт аттестации (если КЗ 1-3), Перечень СЗИ с сертификатами․
3. Документы по персоналу: Приказы о назначении ответственных, Журналы инструктажей (с росписями), Трудовые договоры с условиями о неразглашении/обработке ПДн, Должностные инструкции с пунктом об ответственности за ПДн․
4. Договоры с подрядчиками (ДПО): наличие, корректность условий, фактическое соблюдение․
5. Учет инцидентов: Журнал инцидентов безопасности, уведомления в Роскомнадзор о нарушениях безопасности (в течение 24 часов по форме приказа № 869)․
6. Техническая проверка: настройка прав доступа (принцип минимальных привилегий), шифрование каналов передачи (VPN, TLS), защита БД, настройки бэкапов, отсутствие «дыр» в периметре (открытые порты, дефолтные пароли)․
7. Опрос сотрудников: проверка осведомленности о политике, процедурах инцидентов, правилах работы с паролями/почтой․

Пошаговая подготовка к проверке (Аудит по 152-ФЗ)

Эксперты (в т․ч․ Контур․Эгида) рекомендуют проводить внутренний аудит регулярно, а не за неделю до визита․

Этап 1: Инвентаризация активов и процессов

• Составить карту потоков ПДн: откуда приходят, где хранятся, кто обрабатывает, куда уходят, когда уничтожаются․
• Выделить все ИСПДн (сайт, 1С, CRM, почта, файловый сервер, видеонаблюдение, бумажный архив)․

Этап 2: Категорирование и оценка рисков (ФСТЭК)

• Определить Уровень значимости (УЗ) и Класс защищенности (КЗ) для каждой ИСПДн․
• Разработать Модель угроз и Модель нарушителя․
• Подобрать и внедрить сертифицированные СЗИ (антивирусы, МЭ, СКЗИ, DLP, SIEM и т․д․ в зависимости от КЗ)․

Этап 3: Документальное оформление (ЛНА)

• Привести в соответствие с реальностью Политику (публичную и внутреннюю), Приказы, Регламенты․
• Оформить ДПО со всеми контрагентами-обработчиками․
• Создать Журналы: инструктажей, инцидентов, выдачи носителей, доступа к серверной․

Этап 4: Организационно-технические меры

• Настроить разграничение доступа (RBAC), парольные политики, MFA для админов и удаленного доступа․
• Внедрить мониторинг инцидентов (SIEM/лог-анализ)․
• Обеспечить защиту от утечки (DLP) для критических систем․
• Настроить резервное копирование с шифрованием и тестированием восстановления․

Этап 5: Работа с людьми (Human Factor)

• Проводить вводные и периодические инструктажи (минимум 1 раз в год) с проверкой знаний (тестирование/собеседование) и протоколами․
• Разработать понятные памятки: «Что делать, если пришло подозрительное письмо», «Как правильно отправить файл с ПДн», «Алгоритм действий при утечке»․
• Назначить Ответственного за обработку ПДн (ДПО — Data Protection Officer) с реальными полномочиями и доступом к руководству․

Этап 6: Репетиция проверки (Mock Audit)

• Провести внутреннюю проверку по чек-листу Роскомнадзора․
• Поработать над ошибками: дооформить документы, закрыть технические уязвимости, переобучить «слабых» сотрудников․

Штрафы и последствия в 2026 году (КоАП РФ, ст․ 13․11, 19․7)

Важно: Кроме штрафов — репутационные риски, предписания об устранении нарушений (с контролем исполнения), возможная блокировка ресурса (при утечках биометрии/медицины), гражданские иски субъектов ПДн (моральный вред)․

Резюме: чек-лист «Готовность к проверке, 100%»

1. [ ] Проведена инвентаризация всех потоков ПДн и ИСПДн․
2. [ ] Оформлены акты категорирования ИСПДн (ФСТЭК Приказ 17/257)․
3. [ ] Внедрены СЗИ согласно КЗ (сертифицированные ФСТЭК/ФСБ)․
4. [ ] Пройдена аттестация ИСПДн (для КЗ 1-3)․
5. [ ] Полный пакет ЛНА актуален, подписан руководителем, доведен до сотрудников под роспись․
6. [ ] Политика конфиденциальности на сайте соответствует реальности и ст․ 18․1 152-ФЗ․
7. [ ] Согласия собраны законно (форма, цель, срок, отзыв)․
8. [ ] ДПО заключены со всеми подрядчиками-обработчиками․
9. [ ] Регламентированы и работают сроки хранения и уничтожения․
10. [ ] Проводились инструктажи за последний год (есть протоколы и росписи)․
11. [ ] Сотрудники знают базы: фишинг, пароли, инциденты, права субъектов․
12. [ ] Есть журнал инцидентов, настроено уведомление РКН за 24 ч․
13. [ ] Назначен Ответственный за ПДн (ДПО) с реальными полномочиями․
14. [ ] Проведен внутренний аудит (Mock Audit) за последние 6 месяцев․

Взаимодействие с Роскомнадзором в 2026 году строится на принципе доказуемой соответствия․ Недостаточно «иметь бумажки» — они должны описывать реальные процессы, технические меры должны работать, а персонал — понимать свою ответственность․ Ошибки стоят дорого: от сотен тысяч до полумиллиарда рублей․

Главная стратегия защиты: системный подход (Процессы + Технологии + Люди) и регулярный внутренний аудит․ Лучше потратить ресурсы на профилактику и подготовку сегодня, чем оплачивать штрафы и восстанавливать репутацию завтра․

Статья подготовлена на основе актуальной практики проверок Роскомнадзора, разъяснений регулятора и экспертизы специалистов по 152-ФЗ и требованиям ФСТЭК на 2026 год․