Актуально на: 08 марта 2026 года.

Контроль за соблюдением законодательства о персональных данных (152-ФЗ) остается одним из приоритетных направлений деятельности Роскомнадзора. Для операторов персональных данных проверка — это не просто формальность‚ а серьезный стресс-тест процессов безопасности и документационного обеспечения. В этой статье мы подробно разберем‚ как проходят проверки‚ на что обращают внимание инспекторы в первую очередь‚ как правильно оформить уведомление об обработке ПДн и что делать в случае выявления нарушения безопасности.

Правовая основа и цели проверок

Деятельность Роскомнадзора по контролю за соблюдением закона о персональных данных регулируется ст. 23 ФЗ-152 «О персональных данных». Основная цель любого контроля — убедиться‚ что оператор:

• Подал уведомление об обработке персональных данных (если не подпадает под исключения);
• Разработал и утверждал необходимый пакет внутренних документов (политики‚ приказы‚ инструкции);
• Организовал технические и организационные меры защиты информации;
• Обеспечивает права субъектов персональных данных.

Виды проверок: плановые‚ внеплановые и камеральные

Согласно предоставленным сведениям‚ Роскомнадзор проводит проверки нескольких форматов:

Плановые проверки

Проводятся на основании утвержденного графика. С 2021 года вводится мораторий на плановые проверки малого и среднего бизнеса (МСП)‚ однако он не распространяется на все категории операторов (например‚ операторы‚ обрабатывающие биометрические или специальные категории данных‚ могут проверяться планово). Важно отслеживать реестр плановых проверок на сайте ведомства.

Внеплановые проверки

Назначаются при наличии оснований:

• Жалобы граждан (субъектов ПДн) на нарушение прав;
• Сообщения СМИ или иные сведения о нарушениях;
• Результаты мониторинга сайтов и онлайн-сервисов (автоматизированный сбор данных о наличии политики конфиденциальности‚ форм сбора данных и т.д.);
• Выявление утечки персональных данных.

Камеральные (документарные) проверки

Проводится без выезда к оператору. Инспекторы анализируют:

• Сведения из Реестра операторов ПДн;
• Информацию на официальном сайте организации (наличие политики конфиденциальности‚ реквизитов оператора);
• Ранее поданные уведомления и отчетность.

Важно: Камеральная проверка часто становится предстадией для выездной. Если в документах найдены расхождения (например‚ в уведомлении указаны цели обработки‚ которых нет на сайте‚ или наоборот)‚ вероятность выезда резко возрастает.

Уведомление об обработке ПДн: фундамент соответствия

Первое‚ что проверяют инспекторы‚ — подавала ли компания уведомление в Роскомнадзор. Компания‚ которая не отправила уведомление и не попадает под исключения ст. 22 ФЗ-152‚ будет привлечена к административной ответственности (ст. 13.11 КоАП РФ).

Кто освобожден от уведомления? (Исключения ст. 22 ФЗ-152)

Уведомление не требуется‚ если обработка осуществляется:

1. В рамках трудовых отношений (данные сотрудников);
2. В целях заключения договора с субъектом ПДн (данные клиентов/подрядчиков по договору);
3. В отношении данных‚ сделанных общедоступными самим субъектом;
4. Только с использованием средств автоматизации‚ если данные включены в реестр (редкий случай для бизнеса);
5. В иных случаях‚ прямо предусмотренных законом.

Нюанс 2026 года: Даже если вы считаете‚ что подпадаете под исключение‚ на проверке придется это доказать документально (локальные акты‚ категории данных‚ основания). Риск ошибки трактовки исключений — одна из частых причин штрафов.

Порядок подачи и сроки

• Уведомление подается до начала обработки персональных данных.
• Срок внесения Роскомнадзором сведений в реестр, 30 календарных дней с даты поступления уведомления.
• Подача осуществляется в электронном виде через личный кабинет на портале Госуслуг или портале персональных данных (посредством ЭП оператора или уполномоченного лица).
• При изменении сведений (смена цели‚ категории данных‚ переезд серверов‚ смена ФИО директора) необходимо подать уведомление об изменениях. Предельный срок для уведомления об изменениях законом не установлен‚ но эксперты рекомендуют делать это в течение 10 рабочих дней.

Чек-лист документов: что запросит инспектор

Подготовка пакета документов — это 80% успешного прохождения проверки. В первую очередь заинтересуют общие сведения о компании и специальная документация по 152-ФЗ.

Обязательный пакет внутренних документов:

• Политика конфиденциальности (опубликованная на сайте и доступная для неограниченного круга лиц);
• Приказ об утверждении Политики и назначении ответственного за организацию обработки ПДн;
• Модель угроз безопасности ПДн (документ‚ обосновывающий выбор мер защиты);
• Перечень мер защиты ПДн (организационных и технических)‚ реализуемых оператором;
• Локальные акты: инструкции по работе с ПДн‚ регламенты доступа‚ правила паролей‚ учет носителей‚ инструкции по инцидентам;
• Договоры с подрядчиками (третьими лицами)‚ обрабатывающими ПДн от имени оператора (ст. 6‚ 28 ФЗ-152);
• Журналы учета: обращений субъектов ПДн‚ инцидентов безопасности‚ выдачи/возврата носителей‚ доступа к ИСПДн;
• Акты категорирования ИСПДн (Информационных систем персональных данных) по уровням защищенности (1–4 уровень) с протоколами аттестации (если применимо);
• Копия уведомления с отметкой о внесении в реестр (или обоснование исключения).

Что проверяют «в живую» (при выездной проверке):

• Соответствие реальных процессов описанным в документах (интервью сотрудников‚ осмотр серверных‚ рабочих мест);
• Наличие средств защиты информации (СЗИ): антивирусы‚ МЭ‚ СКЗИ‚ контроль целостности‚ DLP-системы (для высоких уровней);
• Физическую безопасность (доступ к серверной‚ уничтожение бумажных носителей);
• Обеспечение прав субъектов: как обрабатываются запросы на удаление‚ уточнение‚ отзыв согласия.

Типичные нарушения (Топ-5 по итогам проверок)

1. Отсутствие уведомления или расхождения между уведомлением и реальной деятельностью (цели‚ категории субъектов‚ категории данных).
2. Отсутствие или неполнота локальных актов (нет модели угроз‚ нет перечня мер защиты‚ политика конфиденциальности скопирована с конкурента и не соответствует реальности).
3. Нарушение режима доступа: доступ к ПДн есть у лиц‚ не уполномоченных на это приказом; отсутствует учет доступа (логи).
4. Отсутствие договоров с подрядчиками (облачные CRM‚ почта‚ колл-центры‚ бухгалтерия-аутсорс) с обязательными условиями ст. 28 ФЗ-152.
5. Игнорирование прав субъектов: не предоставлен ответ на запрос за 30 дней‚ отказ в удалении без оснований‚ сложная процедура отзыва согласия.

Уведомление о нарушении безопасности персональных данных (Инцидент-менеджмент)

Отдельно стоит выделить тему уведомления о факте нарушения безопасности ПДн (утечке). С 2022 года (поправки к 152-ФЗ) оператор обязан уведомить Роскомнадзор и субъектов ПДн о нарушении‚ которое привело или может привести к несанкционированному доступу к ПДн.

Сроки и порядок:

• Роскомнадзор: в течение 24 часов с момента обнаружения нарушения (через личный кабинет оператора на портале Госуслуг/РКН).
• Субъекты ПДн: в течение 24 часов после установления круга пострадавших (если нарушение создает угрозу их правам).

Что должно содержать уведомление Роскомнадзору:

• Характер нарушения (утечка‚ утрата‚ изменение‚ несанкционированный доступ);
• Категории и примерное число пострадавших субъектов ПДн;
• Категории ПДн‚ подвергшихся нарушению;
• Последствия нарушения;
• Принятые/планируемые меры по устранению и предотвращению;
• Контакты ответственного лица / ДПО (Data Protection Officer).

Важно: Скрытие факта утечки или несвоевременное уведомление влечет за собой отдельные санкции (ст. 13.11 КоАП РФ)‚ часто более тяжелые‚ чем за саму утечку‚ если меры защиты были заявлены‚ но не сработали.

Пошаговая подготовка к проверке (Action Plan)

1. Аудит уведомления: Сверьте сведения в Реестре РКН с реальной деятельностью. Подайте уведомление об изменениях при расхождениях.
2. Инвентаризация ИСПДн: Составьте реестр всех систем‚ где хранятся ПДн (сайт‚ 1С‚ CRM‚ почта‚ облака‚ бумажные архивы). Определите уровень защищенности (УЗ 1–4) для каждой.
3. Обновление документации: Приведите Политику‚ Модель угроз‚ Перечень мер защиты в соответствие с текущими процессами и УЗ систем.
4. Работа с подрядчиками: Заключите доп. соглашения со всеми контрагентами‚ имеющими доступ к ПДн (хостинг‚ CRM‚ бухгалтерия‚ курьеры).
5. Техническая защита: Внедрите/проверьте СЗИ согласно УЗ: антивирус‚ МЭ‚ резервное копирование‚ контроль целостности‚ шифрование (для УЗ 1–3)‚ DLP/СКЗИ (для УЗ 1–2).
6. Обучение персонала: Проведите инструктаж по работе с ПДн‚ зафиксируйте в журнале. Сотрудники должны знать‚ кому сообщать об инциденте и как реагировать на запрос клиента.
7. Регламент инцидентов: Утвердите план реагирования на нарушение безопасности (кто делает что за первые 1‚ 4‚ 24 часа).
8. Проверка сайта: Политика конфиденциальности в футере‚ формы сбора данных с чек-боксом согласия (где нужно)‚ реквизиты оператора.

Ответственность за нарушения (Ст. 13.11 КоАП РФ)

Штрафы индексируются регулярно. На 2026 год основные санкции для юрлиц:

• Отсутствие уведомления / расхождения: 30 000 – 75 000 руб. (повторно — до 500 000 руб. или приостановка деятельности до 90 дней).
• Нарушение прав субъектов ПДн (отказ в доступе‚ удалении): 30 000 – 75 000 руб.
• Непринятие мер защиты / несоответствие УЗ: 30 000 – 75 000 руб.
• Нарушение режима доступа / передача третьим лицам без оснований: 30 000 – 75 000 руб.
• Неуведомление РКН/субъектов об утечке: 30 000 – 75 000 руб.

Для должностных лиц штрафы ниже (3 000 – 20 000 руб.)‚ но при повторных нарушениях возможна дисквалификация.

Резюме: Проверка как управляемый процесс

Проверка Роскомнадзора не должна становиться неожиданностью. Ключ к успеху — системность:

• Уведомление подано и актуализировано вовремя.
• Документы описывают реальность‚ а не «идеальный мир».
• Меры защиты реализованы и работают (есть логи‚ отчеты СЗИ).
• Персонал обучен и знает алгоритм действий при инциденте и запросе клиента.
• Есть регламент уведомления об утечке за 24 часа.

Инвестиции в соответствие 152-ФЗ дешевле штрафов‚ репутационных потерь и приостановки бизнеса. Начните с аудита уведомления и модели угроз — это фундамент‚ на котором строится вся защита персональных данных.

Данная статья носит информационный характер и не является правовой консультацией. Для решения конкретных вопросов обратитесь к специалистам в области информационного права и защиты персональных данных.