На контроль за соблюдением законодательства о персональных данных (ПДн) в России достиг беспрецедентной строгости. Роскомнадзор (РКН) перешел от точечных проверок к массовым автоматизированным мониторингам, а штрафные санкции за утечки данных достигли 15 млн рублей. Для бизнеса обработка персональных данных сегодня — это проход по минному полю, где ошибка в оформлении согласия или отсутствие уведомления в реестре влечет серьезные финансовые и репутационные риски.

В данной статье подробно разбираются основные направления проверок, топовые претензии регулятора, новые требования 2025–2026 годов и алгоритм действий при получении требования или предписания.

Нормативная база и инструменты контроля

Основным документом, регламентирующим порядок проверок, является Приказ Роскомнадзора от № 253 (с изм. и доп.), утвердивший Проверочный лист (список контрольных вопросов). Именно по этому чек-листу инспекторы (или автоматический бот) оценивают соответствие деятельности оператора требованиям 152-ФЗ «О персональных данных».

Ключевые блоки проверочного листа:

• Наличие и актуальность уведомления о обработке ПДн (включение в Реестр операторов).
• Наличие локальных нормативных актов (ЛНА): Политика конфиденциальности, Положение о защите ПДн, Инструкции по защите, Журналы учета.
• Назначение ответственного лица за организацию обработки ПДн (данные указываются в уведомлении).
• Обеспечение прав субъектов ПДн: получение согласия, информирование, право на отзыв, удаление, доступ.
• Технические и организационные меры защиты: ГОСТ Р 57580, шифрование, контроль доступа, учет инцидентов.
• Трансграничная передача данных: уведомление РКН, наличие адекватной защиты в стране-получателе.

Виды проверок в 2024–2026 гг.: от плановых к автоматическим

Автоматизированный мониторинг (Бот РКН)

С 2024 года РКН запустил специализированного бота, сканирующего сайты операторов. Это стало поворотным моментом: проверки стали массовыми, мгновенными и не требующим выхода инспектора на место.

Что проверяет бот за секунды:

1. Наличие Политики конфиденциальности в доступном месте (футер/хедер).
2. Наличие чек-бокса согласия на всех формах сбора данных (обратная связь, заказ звонка, регистрация, корзина, оплата).
3. Ссылку на Политику рядом с чек-боксом.
4. Отсутствие избыточных полей (требование только необходимых данных).
5. Наличие информации об ответственном лице или ссылки на уведомление в Реестре.

Пример из практики (апрель 2026): «Если на сайте нет подтверждения наличия согласия и запрета посторонним использовать эти данные, РКН считает это нарушением. Это касается любых страниц, где есть имена и фотографии сотрудников».

Плановые и внеплановые выездные/документарные проверки

Проводится на основании плана или обращений субъектов ПДн (жалоб). Часто инициируются после утечки данных или обнаружения ботом системных нарушений.

Проверка уведомлений при включении в Реестр

РКН тщательно проверяет состав полей уведомления (ст. 22 152-ФЗ). Ошибки в категориях субъектов, видах данных или целях обработки — частая причина отказа во включении в реестр или основание для предписания об устранении нарушений.

ТОП-10 частых претензий Роскомнадзора (Разбор по статьям 152-ФЗ и КоАП)

Отсутствие или неактуальность уведомления в Реестре операторов (ч. 1 ст. 13.11 КоАП РФ)

Самая массовая претензия. Оператор обязан уведомить РКН до начала обработки.

• Штраф: для юрлиц — от 150 000 до 300 000 руб. (до 2024 г. было до 75 тыс.).
• Риск: Обработка без уведомления = нелегальная обработка. Любая жалоба субъекта тянет проверку всего бизнеса.

Нарушение процедуры получения согласия субъекта ПДн (ст. 9, 10 152-ФЗ)

• Отсутствие чек-бокса на формах (callback, заказ, подписка).
• Чек-бокс стоит по умолчанию («pre-ticked») — недопустимо.
• Согласие не разделено по целям (маркетинг + исполнение договора в одном чек-боксе).
• Нет ссылки на Политику конфиденциальности рядом с чек-боксом.
• Форма обратного звонка/оплаты, подключенная к иностранному сервису (CRM, платежный шлюз), без уведомления РКН о трансграничной передаче (см. п. 3.3).

Избыточный сбор персональных данных (ч. 1 ст. 13.11 КоАП РФ)

Сбор данных, не необходимых для заявленной цели.

• Запрос паспортных данных при регистрации в программе лояльности.
• Обязательное поле «Дата рождения» для оформления заказа (если не продается алкоголь/18+).
• Сбор геолокации без явной необходимости для сервиса.

Отсутствие или несоответствие локальных нормативных актов (ЛНА)

РКН проверяет не просто наличие файлов, а их содержание и актуальность.

• Политика конфиденциальности не содержит обязательных реквизитов (ст. 18.1 152-ФЗ): цели, категории ПДн, категории получателей, сроки хранения, права субъекта, меры защиты.
• Положение о защите ПДн не описывает организационно-технические меры (модель угроз, классы защищенности, роли доступа).
• Документы не подписаны руководителем или не ознакомлены с росписью сотрудники, имеющие доступ к ПДн.

Нарушение прав субъектов ПДн (ст. 14, 15, 18 152-ФЗ)

• Игнорирование требований на удаление/уничтожение данных (п. 5 ст. 21 152-ФЗ).
• Отказ в предоставлении информации об обработке (п. 2 ст. 18 152-ФЗ) в 30-дневный срок.
• Отсутствие простой формы для отзыва согласия (отзыв должен быть не сложнее предоставления).

Отсутствие ответственного за обработку ПДн (п. 2 ст. 22 152-ФЗ)

Лицо не назначено приказом, либо его ФИО/контакты не указаны в уведомлении РКН и/или на сайте в Политике конфиденциальности.

Утечка персональных данных и несвоевременное уведомление РКН/субъектов (ст; 13.11 КоАП РФ, ч. 3, 4)

С 2024 года введены жесткие штрафы за утечки:

• 1 000 000 – 3 000 000 руб. — за нарушение режима защиты, повлекшее утечку (малый масштаб).
• 3 000 000 – 15 000 000 руб. — за утечку крупного масштаба (новое правило 2024–2025 гг.).
• Обязательство уведомить РКН и субъектов в течение 24 часов с момента обнаружения инцидента.

Нарушение требований к трансграничной передаче (ст. 12 152-ФЗ, Поправки и )

Критически важное изменение 2025 года. Интеграции сайта с зарубежными CRM (Bitrix24 Cloud за рубежом, AmoCRM за рубежом, HubSpot, Salesforce), почтовыми сервисами (Mailchimp, SendGrid), аналитикой (Google Analytics 4 без анонимизации IP), это трансграничная передача.

• Претензия: Отсутствие уведомления РКН о наличии сервисов для трансграничной передачи (форма уведомления утверждена).
• Претензия: Отсутствие адекватной защиты в стране-получателе или стандартных договорных условий (СДУ).
• Решение: Перенести обработку в РФ-контур, либо подать уведомление РКН, либо использовать сервисы из «белого списка» стран с адекватной защитой.

Отсутствие журнала учета операций обработки / инцидентов

Инспекторы запрашивают журналы при любой документарной проверке. Отсутствие журнала учета носителей ПДн, журнала инцидентов безопасности, журнала выдачи доступа, прямое нарушение требований к защите (ФСТЭК, ФСБ, ГОСТ Р 57580).

Размещение ПДн сотрудников/клиентов в открытом доступе без согласия

Бот РКН находит страницы «О команде», «Наши специалисты», отзывы с ФИО и фото, портфолио с контактами заказчиков. Если нет письменного согласия на публикацию — это нарушение ст. 10.1 152-ФЗ (распространение).

Специфика проверок интернет-магазинов и сервисов (High Risk)

Интернет-магазины — объект №1 для проверок. Обрабатывают: ФИО, телефоны, адреса, e-mail, IP, cookies, историю заказов, платежные данные (токены карт).

Чек-лист выживания для e-commerce:

• Согласие на обработку отдельно от оферты (чек-бокс не обязательный для исполнения договора, но обязательный для маркетинга/рассылок).
• Интеграция с платежными шлюзами (ЮKassa, Т-Банк, СБЕР) — проверка, что ПДн карты не сохраняются у вас (только токенизация).
• Виджеты чатов (JivoSite, Bitrix24, Telegram-виджеты), часто передают IP и историю чата за рубеж. Требуется уведомление РКН или замена на РФ-аналоги.
• Яндекс.Метрика / GA4, настройка анонимизации IP, отключение User-ID без согласия, наличие в Политике раздела про Cookies.
• Сроки хранения: удаление профилей неактивных пользователей (например, через 3 года без заказов), автоматическая джоба.

Новые требования 2025–2026 гг.: что изменилось

Алгоритм действий при получении требования/предписания от РКН

Получение письма от РКН, это не приговор, но сигнал к немедленным действиям. Игнорирование ведет к протоколу о коАП.

1. Не паникуйте, зафиксируйте срок. Обычно дается 10–30 дней на ответ/исправление.
2. Правовой аудит претензии. Часто РКН ссылается на устаревшие нормы или трактует нормы широко (например, требует согласие на обработку IP-адресов для чисто технической работы сайта — здесь есть судебная практика в пользу бизнеса, см. решение ВС РФ по email/IP).
3. Внутреннее расследование. Проверить факт нарушения: есть ли уведомление, есть ли ЛНА, как настроены формы.
4. Устранение нарушений (техническое и организационное).
   • Добавили чек-боксы? — Скриншот в ответ.
   • Подали уведомление в Реестр? — Квитанция/выписка в ответ.
   • Обновили Политику?, Новая версия на сайте + заказ-утверждение.
   • Назначили ответственного? — Приказ + обновленное уведомление РКН.
5. Подготовка мотивированного ответа. Структура: «Претензия получена, аудит проведен, нарушения устранены (приложения 1–N), просим считать предписание исполненным».
6. Работа с превентивными мерами. Внедрить регулярный мониторинг (чек-лист Приказа №253) раз в квартал.

Важно: «Предупреждение РКН, это фиксация расхождения между практикой и требованиями регулятора. В этот момент РКН не доказывает вину, он проверяет, понимаете ли вы, что происходит с ПДн, и способны ли привести в порядок без принуждения». (Из разъяснений экспертов 2026 г.)

Практический чек-лист для самоаудита (на основе Приказа №253)

Проводите ежемесячно/квартально перед визитом инспектора или запуском бота.

Организационные меры

• [ ] Уведомление в Реестре РКН актуально (все цели, категории, получатели)?
• [ ] Приказ о назначении ответственного за ПДн подписан? Данные в уведомлении и на сайте совпадают?
• [ ] Утверждены: Политика конфиденциальности, Положение о защите ПДн, Инструкции для сотрудников?
• [ ] Все сотрудники с доступом к ПДн ознакомлены с ЛНА под роспись (в т.ч. удаленные)?
• [ ] Заключены договоры с подрядчиками (обработчиками) с условиями ст; 28 152-ФЗ?

Технические меры и учет

• [ ] Проведена категоризация объектов защиты (К1–К4 / УБ1–УБ3) по ФСТЭК?
• [ ] Внедрены меры: контроль доступа (РБАК), антивирус, обновления ОС, шифрование БД/бэкапов, DLP/СКЗИ?
• [ ] Ведутся журналы: учета носителей, доступа, инцидентов, обработки запросов субъектов?
• [ ] Настроено резервное копирование и проверена восстановляемость?

Сайт и интерфейсы (Бот-проверка)

• [ ] Политика конфиденциальности в футере/хедере на каждой странице?
• [ ] На ВСЕХ формах (контакты, заказ, регистрация, корзина, callback, виджеты чатов) стоит чек-бокс согласия (не проставлен по умолчанию)?
• [ ] Текст согласия ссылается на Политику и содержит цели обработки?
• [ ] Нет обязательных полей с избыточными данными (паспорт, пол, возраст без нужды)?
• [ ] Фото/ФИО сотрудников/клиентов опубликованы только с письменным согласием?
• [ ] Используются только РФ-хостинг и РФ-сервисы (CRM, почта, аналитика) ИЛИ поданы уведомления РКН о трансграничной передаче?
• [ ] Cookie-баннер: информация о целях, кнопка «Принять все», «Настроить», «Отклонить» (не только «ОК»)?

Работа с субъектами ПДн

• [ ] Есть рабочий канал для запросов (email privacy@, форма на сайте)?
• [ ] Срок ответа на запрос субъекта не превышает 30 дней?
• [ ] Процедура удаления/анонимизации данных по истечении сроков/цели автоматизирована или регламентирована?
• [ ] Есть план реагирования на утечку (Инцидент-менеджмент) с уведомлением РКН за 24 часа?

Судебная практика и защита интересов бизнеса

Не все претензии РКН правомерны. Важные ориентиры для обжалования:

• Email / IP-адрес: Верховный суд РФ в отдельных определениях указывал, что адрес электронной почты не всегда является ПДн (если не позволяет идентифицировать конкретное физлицо без доп. усилий). Однако РКН настаивает на обратном. Стратегия: аргументировать отсутствие возможности идентификации без доступа к базе почтового провайдера.
• Исполнение договора (п. 2 ч; 1 ст. 6 152-ФЗ): Для доставки товара согласие на обработку адреса/телефона не требуется. РКН часто путает это с маркетингом. Разделяйте базы: «Исполнение договора» vs «Маркетинг (требует согласия)».
• Пропорциональность штрафа: Суды часто снижают штрафы до минимума (150 тыс. руб.) при отсутствии утечки и устранении нарушений до суда.

Резюме: как работать спокойно в 2026 году

Соблюдение 152-ФЗ перестало быть «бумажной работой» для галочки. Это инженерная задача по архитектуре ИТ-систем и бизнес-процессов.

1. Централизуйте учет ПДн. Заведите реестр обработок (Data Map) — откуда приходят, куда уходят, кто имеет доступ, сколько хранятся.
2. Автоматизируйте согласие. Используйте CMP (Consent Management Platform) для управления куки и согласиями на сайте — это защита от бота РКН.
3. Локализуйте стек. Переносите CRM, почту, аналитику, чаты на российские контуры (Bitrix24 On-premise/Cloud РФ, Яндекс.Метрика, Unisender, Carrot Quest и др.). Это снимает 90% проблем с трансграничной передачей.
4. Проводите обучение. 80% утечек — человеческий фактор (фишинг, отправка не тому адресату, потеря флешки). Обучение — обязательное требование ФСТЭК и аргумент в суде о принятии мер.
5. Нанимайте/выделяйте DPO (Data Protection Officer). Даже если закон не обязывает (для не критической инф. инфраструктуры), наличие компетентного человека внутри, лучшая страховка от штрафов.

Полезные ссылки и ресурсы (актуально на 2026 год)

• Реестр операторов ПДн (РКН): pd.rkn.gov.ru — проверка своего уведомления, подача нового, формы уведомлений о трансграничной передаче.
• Портал РКН — Электронные формы заявлений: подача жалоб, уведомлений, ответов на требования в электронном виде.
• Приказ РКН от № 253: Проверочный лист (базовый документ для самоаудита).
• КонсультантПлюс / Гарант: актуальные комментарии к 152-ФЗ, формы ЛНА, судебная практика.
• Центр цифровых прав / Хабр (тег «персональные данные»): разборы свежих кейсов проверок ботов и судебных практик.