Дата актуализации: 10:22:05

Содержание

1. Правовая база контроля за ПД
2. Виды проверок Роскомнадзора
3. Порядок проведения проверки
4. Типичные нарушения
5. Как подготовиться к проверке
6. Обязательные документы и их содержание
7. Последствия и административные меры
8. Лучшие практики и рекомендации
9. Часто задаваемые вопросы

Правовая база контроля за персональными данными

Контроль за обработкой персональных данных (ПД) в России регулируется следующими нормативными актами:

• Федеральный закон № 152‑ФЗ от г. «О персональных данных» – основной закон, определяющий права субъектов ПД и обязанности операторов.
• Постановления и приказы Роскомнадзора, издаваемые в соответствии с 152‑ФЗ (например, порядок регистрации уведомлений, требования к политике конфиденциальности).
• Федеральный закон № 2124‑1 от г. «О средствах массовой информации» – применяется к онлайн‑медиа и ТВ‑вещанию.
• Положение о порядке организации и осуществления федерального государственного контроля (надзора) за обработкой ПД (утверждено приказом Роскомнадзора).

Предметом надзора является соблюдение операторами обязательных требований, установленных этими актами.

Виды проверок Роскомнадзора

Роскомнадзор может проводить проверки по плану и внепланово. Основные основания:

• Плановые проверки – часть ежегодного графика, ориентированного на отраслевые риски (интернет‑бизнес, банковский сектор, телеком).
• Внеплановые проверки – инициируются:
  • по жалобам граждан или организаций;
  • в случае утечки, утраты или несанкционированного доступа к ПД;
  • по поручению прокуратуры;
  • по результатам автоматизированного мониторинга (в 2026 г. Роскомнадзор внедрил ИИ‑системы для сканирования сайтов).

Внеплановая проверка может быть проведена без предварительного уведомления, если речь идёт о срочном реагировании на инцидент.

Порядок проведения проверки

1. Запрос информации. Региональное управление надзорного органа направляет оператору запрос о выполнении требований (назначение ответственного за обработку, наличие политики ПД, порядок контроля и т.д.).
2. Ответ оператора. Оператор обязан предоставить запрошенные сведения в установленный срок (обычно 5–10 рабочих дней). Отсутствие ответа считается основанием для возбуждения административного дела.
3. Анализ полученных данных. Инспекторы проверяют соответствие предоставленных документов требованиям 152‑ФЗ и сопутствующим актам.
4. Проведение проверки на месте. При необходимости инспекторы посещают объект, осматривают ИТ‑инфраструктуру, серверные помещения, интервьюируют ответственных лиц.
5. Составление протокола. По результатам проверки оформляется протокол с указанием выявленных нарушений и рекомендаций по их устранению.
6. Выдача предписаний. Оператору высылаются предписания о необходимости устранения нарушений в установленный срок (обычно 30 дней).
7. Контроль за исполнением. После истечения срока Роскомнадзор проверяет выполнение предписаний. При их невыполнении может быть наложен штраф или иные административные меры.

Типичные нарушения

• Обработка ПД соискателей после отказа. Хранение резюме и персональных данных кандидатов без законных оснований (например, отсутствие кадрового резерва).
• Сохранение ПД дольше установленных сроков. Закон требует уничтожения или анонимизации данных по истечении сроков, указанных в локальных актах.
• Отсутствие или неполнота Уведомления о начале обработки ПД. Операторы обязаны регистрировать уведомления в Роскомнадзоре.
• Недостаточная защита технических средств. Отсутствие шифрования, контроля доступа, журналов аудита.
• Отсутствие назначенного ответственного за обработку ПД (ОБО). Закон требует наличия конкретного лица, отвечающего за соблюдение требований.
• Неактуальная политика конфиденциальности и локальные акты. Документы должны регулярно актуализироваться в соответствии с изменениями в бизнес‑процессах.

Как подготовиться к проверке

Подготовка к проверке – это комплексный процесс, который включает в себя документальное, техническое и организационное обеспечение.

Проведение внутреннего аудита

1. Соберите все документы, связанные с обработкой ПД (политика конфиденциальности, локальные акты, регистры обработки, договоры с третьими лицами).
2. Проверьте наличие и актуальность Уведомления о начале обработки ПД в реестре Роскомнадзора.
3. Оцените сроки хранения данных и наличие процедур их уничтожения.
4. Проверьте, назначен ли ответственный за обработку ПД (ОБО) и оформлены ли его полномочия.
5. Проведите тестовое сканирование сайта с помощью открытых инструментов (например, nmap, OWASP ZAP) для выявления уязвимостей.

Техническая подготовка

• Убедитесь, что все серверы и базы данных защищены современными средствами шифрования (TLS 1.3, AES‑256).
• Настройте журналирование доступа к ПД и регулярно проверяйте логи.
• Внедрите систему управления привилегиями (RBAC) и ограничьте доступ к ПД только тем сотрудникам, которым это необходимо.
• Подготовьте план действий в случае инцидента (утечка, компрометация).

Обучение персонала

• Проведите обязательный инструктаж всех сотрудников, работающих с ПД, о их обязанностях и ответственности.
• Разработайте и разместите внутренние инструкции по обработке ПД (например, «Как правильно оформить согласие»).

Обязательные документы и их содержание

Последствия и административные меры

В случае выявления нарушений Роскомнадзор может применить следующие меры:

• Предписание об устранении нарушений – срок обычно 30 дней.
• Штрафы (по ст. 13.11 КоАП РФ):
  • От 5 000 до 5 000 000 рублей за отсутствие Уведомления.
  • От 100 000 до 5 000 000 рублей за нарушение правил обработки ПД (например, хранение без согласия).
  • Штрафы могут быть наложены как на юридическое лицо, так и на должностных лиц.
• Приостановление деятельности (в случае серьезных нарушений, угрожающих правам субъектов ПД).
• Внесение в реестр нарушителей – негативно сказывается на репутации и возможности участия в государственных закупках.

Важно помнить, что привлечение к ответственности возможно как после плановой, так и после внеплановой проверки. Поэтому профилактика и своевременное устранение выявленных проблем – лучший способ избежать санкций.

Лучшие практики и рекомендации

1. Регулярный аудит – минимум раз в полугодие проводите внутренний аудит ПД.
2. Автоматизация процессов – используйте системы управления согласиями (Consent Management Platform) и реестры обработки ПД.
3. Обновление политики – пересматривайте политику конфиденциальности и локальные акты при изменении бизнес‑процессов или законодательства.
4. Контроль доступа – внедрите многофакторную аутентификацию и ограничьте права доступа по принципу «необходимости знать».
5. Документирование инцидентов – фиксируйте каждый случай утечки или подозрения, даже если он оказался ложным.
6. Обучение персонала – ежегодные тренинги по защите ПД и реагированию на инциденты.
7. Взаимодействие с Роскомнадзором – при возникновении вопросов сразу обращайтесь за разъяснениями, используйте бесплатные консультации специалистов.

Часто задаваемые вопросы

Нужно ли регистрировать каждый отдельный процесс обработки ПД?

Да. По 152‑ФЗ каждый процесс, имеющий отдельную цель и набор данных, подлежит отражению в реестре обработки ПД и, при необходимости, в Уведомлении.

Что делать, если запрос Роскомнадзора не получил ответа в срок?

Отсутствие ответа считается основанием для возбуждения административного дела. Рекомендуется сразу после получения запроса подготовить ответ и, при невозможности предоставить всю информацию, объяснить причины задержки.

Как правильно оформить согласие пользователя?

Согласие должно быть:

• Свободным, информированным и конкретным;
• Оформленным в письменной форме или в электронном виде с подтверждением (например, чекбокс с указанием даты и времени).
• Содержать перечень целей обработки и сроков хранения.

Можно ли использовать готовые шаблоны политики конфиденциальности?

Шаблоны могут служить отправной точкой, но их необходимо адаптировать под конкретный бизнес‑процесс, учитывая особенности сбора и обработки ПД.

Какие технологии использует Роскомнадзор для автоматизированных проверок?

С 2026 года в работе находятся ИИ‑модели, сканирующие публичные сайты на наличие недостающих пунктов в политике конфиденциальности, проверяющие наличие обязательных меток (robots.txt, cookie‑banner) и сравнивающие их с реальными запросами к базе данных.

Контроль со стороны Роскомнадзора – это не просто формальная проверка, а реальный механизм защиты прав граждан на их персональные данные. Соблюдение требований 152‑ФЗ, своевременная регистрация уведомлений, наличие актуальных внутренних документов и техническая защищённость систем позволяют избежать штрафов и сохранить репутацию компании.

Если вы не уверены в правильности оформления документов или хотите получить бесплатную консультацию специалистов Всероссийского сервиса «РОСКОМ ОНЛАЙН СМИ», обратитесь к нам – мы поможем разработать политику конфиденциальности, подготовить Уведомление и организовать регулярный контроль за соблюдением законодательства о персональных данных.

Статья подготовлена на основе открытых источников и актуальна на .