На 02 августа 2026 года контроль за соблюдением законодательства о персональных данных (ПДн) остается одним из приоритетных направлений деятельности Роскомнадзора. Несмотря на периодические моратории на плановые проверки (последний действовал до конца 2024 года), ведомство активно использует инструменты внеплановых и документарных проверок, а также внедряет подходы, основанные на оценке рисков. Статья 152-ФЗ «О персональных данных» и сопутствующие нормативные акты устанавливают строгие требования, несоответствие которым грозит серьезными санкциями, включая оборотные штрафы.

Виды проверок и основания для их назначения

Роскомнадзор осуществляет надзор в двух основных формах. Понимание их отличий критически важно для подготовки организации.

Плановые проверки

Включение организации в план проверок зависит от степени риска нарушения законодательства. В соответствии с приоритетами надзора на 2025–2026 годы, в зоне повышенного внимания находятся:

• Операторы, ранее допускавшие нарушения;
• Компании, обрабатывающие большие объемы персональных данных;
• Субъекты критической информационной инфраструктуры (КИИ);
• Организации, работающие с биометрическими и специальными категориями данных (здоровье, раса, политические взгляды и т.д.).

Важно: Плановые проверки проводятся с уведомлением за 3 рабочих дня (в порядке, установленном ст. 21 ФЗ-294 «Об охране прав юридических лиц и ИП при осуществлении государственного контроля (надзора)»).

Внеплановые проверки

Инициируются без предварительного уведомления по основаниям:

• Поступление жалоб от субъектов персональных данных;
• Публикации в СМИ/интернете о утечках или нарушениях;
• Выявлении Роскомнадзором признаков нарушений при мониторинге открытых источников (в т.ч. анализ сайтов операторов);
• Направлении материалов от других контролирующих органов (прокуратура, ФСТЭК, ФСБ).

Документарные проверки

Проводятся на основании документов, предоставленных оператором по требованию ведомства (часто в электронном виде через личный кабинет или портал ГИС «Надзор»). Срок — до 30 календарных дней (с возможностью продления).

Ключевые направления проверки: чек-лист инспектора

Инспекторы Роскомнадзора не ограничиваются формальным наличием бумаг. Главный принцип современной проверки, сопоставление задекларированных в документах процессов с реальной картиной обработки данных (сотрудников, клиентов, подрядчиков, посетителей сайта).

Уведомление о обработке ПДн и реестр операторов

• Наличие актуального уведомления, внесенного в реестр Роскомнадзора (проверка соответствия сведений в уведомлении реальным целям и категориям данных).
• Своевременность подачи (в течение 30 дней с даты поступления уведомления ведомство вносит запись в реестр).
• Отсутствие уведомления — основание для штрафа по ст. 13.11 КоАП РФ (для юрлиц до 75 000 руб., с 2025 г. возможны оборотные штрафы за утечки).

Локальные нормативные акты (ЛНА) — «Скелет» защиты

Проверяется наличие, актуальность и фактическое применение следующих документов:

1. Политика обработки персональных данных (пublичная, на сайте, доступная субъектам ПДн).
2. Приказ об утверждении Политики и назначении ответственного за организацию обработки ПДн.
3. Модель угроз безопасности ПДн (разработана с учетом приказа ФСТЭК от № 21 или актуальных методик).
4. Перечень мер по обеспечению безопасности ПДн (организационные и технические), привязанный к модели угроз.
5. Инструкции и регламенты: по учету носителей, доступу к ПДн, инцидент-менеджменту, уничтожению/обезличиванию, работе с биометрией (если применимо).
6. Договоры с подрядчиками (операторами по поручению), содержащие обязательные условия ст. 28 152-ФЗ.

Обеспечение прав субъектов персональных данных

Это один из самых «болезненных» пунктов при проверках 2025–2026 гг.:

• Согласие на обработку: форма (письменная/электронная), содержание (цели, сроки, перечень данных, действия), свободность воли. С марта 2024 г. ПДн из общедоступных источников не могут распространяться/обрабатываться без письменного согласия субъекта (ст. 22 152-ФЗ).
• Обработка обращений субъектов: наличие процедуры и сроков (10 дней на уточнение/блокирование/уничтожение, 30 дней на ответ по сути) по ст. 18, 21 152-ФЗ. Журнал учета обращений.
• Информирование субъектов: легкость нахождения Политики на сайте, наличие уведомлений при сборе данных (форма обратной связи, корзина, регистрация).

Техническая и организационная защита (соответствие Приказу ФСТЭК № 17 / № 21)

Инспекторы запрашивают подтверждение внедрения мер защиты информации (МЗИ):

• Учет доступа: разграничение прав (RBAC), журналирование событий (SIEM/логи), парольная политика, МФА (двухфакторная аутентификация) для удаленного доступа и привилегированных учетных записей.
• Защита от утечек (DLP): контроль каналов передачи данных (email, веб, USB, печать).
• Шифрование: при передаче (TLS 1.2+/VPN) и хранении (БД, бэкапы, диски).
• Антивирусная защита, обновление ПО, управление уязвимостями (патч-менеджмент).
• Резервное копирование и восстановление: регулярность, тестирование восстановления, защита копий.
• Физическая защита: доступ к серверным, учет носителей, уничтожение бумажных носителей (акт об уничтожении).

Передача данных третьим лицам и трансграничная передача

• Наличие договоров с операторами по поручению (облачные сервисы, колл-центры, бухгалтерия-аутсорс, HR-агентства).
• Проверка условий трансграничной передачи (адекватность защиты в стране-получателе, стандартные договорные условия, BCR, согласие субъекта).

Работа с инцидентами (утечками ПДн)

• Наличие регламента реагирования на инциденты ИБ.
• Своевременность уведомления Роскомнадзора и субъектов ПДн (в течение 24 часов с момента обнаружения — ст. 22.1 152-ФЗ).
• Наличие журнала учета инцидентов.

Сайт и онлайн-сервисы оператора

Автоматизированные системы мониторинга Роскомнадзора сканируют сайты на предмет:

• Наличия и доступности Политики обработки ПДн (ссылка в футере/шапке).
• Наличия чек-боксов согласия (непредустановленных!) на формах сбора данных.
• Использования защищенного соединения (HTTPS, валидный сертификат).
• Отсутствия открытых индексируемых каталогов с ПДн (логи, бэкапы, выгрузки).
• Корректности работы Cookie-баннеров (категоризация, возможность отказа).

Типовые нарушения, выявляемые при проверках

Анализ практики показывает «топ» нарушений, за которые выписывают предписания и протоколы:

1. Расхождение документов и реальности: Политика написана «для галочки», но процессы идут иначе (нет журналов учета, доступы не разграничены, пароли «123456»).
2. Отсутствие/неактуальность Модели угроз и Перечня мер защиты.
3. Нарушение прав субъектов: игнорирование запросов на удаление/уточнение, отсутствие механизма отзыва согласия.
4. Незаконная передача третьим лицам: передача данных подрядчикам без договора ст. 28 152-ФЗ или передача в рекламные системы без согласия.
5. Утечки данных: отсутствие DLP/шифрования, приведшее к инциденту; несвоевременное уведомление ведомства.
6. Обработка биометрии/спецкатегорий без надлежащих оснований и мер защиты.
7. Просроченное уведомление в реестр или несоответствие сведений в реестре фактической деятельности.

Санкции и последствия (актуально на 2026 год)

Система ответственности существенно ужесточилась:

• Административные штрафы (ст. 13.11, 19.7 КоАП РФ): для юрлиц — от 15 000 до 75 000 руб. за отдельные нарушения (повторные — выше).
• Оборотные штрафы за утечки ПДн (ФЗ от № 272, в ред. от 2024–2025 гг.): до 3% оборота организации за предшествующий год (мин. 15 млн руб., макс. 500 млн руб.). Начисляются за нарушение требований к защите ПДн, повлекшее утечку.
• Предписания об устранении нарушений: обязательны к исполнению в установленный срок. Неисполнение — ст. 19.7 КоАП РФ (штраф до 100 000 руб. для юрлиц).
• Приостановка деятельности: до 90 дней (судебный порядок) за грубые повторные нарушения.
• Репутационные риски: публикация в реестре недобросовестных операторов, внимание СМИ, претензии субъектов ПДн (моральный вред).

Как подготовиться к проверке: пошаговый план действий

Этап 1. Внутренний аудит (Self-assessment)

• Проведите «мок-инспекцию» по чек-листу выше.
• Сравните Политику на сайте с реальными процессами HR, маркетинга, IT, безопасности.
• Проверьте актуальность Уведомления в реестре Роскомнадзора.

Этап 2. Документальное оформление

• Обновите ЛНА с учетом изменений 2024–2026 гг. (биометрия, общедоступные источники, оборотные штрафы).
• Оформите Приказы: об ответственном лице, комиссии по защите ПДн, утверждении Модели угроз.
• Подпишите доп. соглашения с подрядчиками (ст. 28 152-ФЗ).

Этап 3. Техническая готовность

• Внедрите/проверьте DLP, SIEM, шифрование, MFA, управление уязвимостями.
• Настройте журналирование доступа к ИСПДн (хранение логов минимум 1 год / 3 года для КИИ).
• Протестируйте восстановление из бэкапа.

Этап 4. Работа с персоналом

• Проведите обучение сотрудников, имеющих доступ к ПДн (документированно: журналы, тесты, подписи).
• Разработайте понятные инструкции «на один экран» для типичных ситуаций (запрос клиента на удаление, подозрение на утечку, потеря флешки).

Этап 5. Подготовка к взаимодействию с инспектором

• Назначьте ответственного за контакт с Роскомнадзором (юрист/ДПО/ИБ-специалист).
• Подготовьте пакет документов для предоставления по требованию (документарная проверка) или при выездной (плановая/внеплановая).
• Знайте свои права: требование предъявить служебное удостоверение, постановление о проверке, право на объяснения, привлечение экспертов/адвокатов.

Роль экспертов и аутсорсинг подготовки

Сложность нормативной базы (152-ФЗ, Приказы ФСТЭК/ФСБ, КоАП, ГК РФ, международные стандарты) часто требует привлечения внешних специалистов. Компании вроде «Контур.Экстерн», юридических фирм (например, «Зарцын и партнеры») и ИБ-интеграторов предлагают услуги:

• Аудит соответствия (GAP-анализ).
• Разработку/актуализацию пакета ЛНА «под ключ».
• Помощь в подаче уведомления в реестр.
• Техническую защиту ИСПДн (сертификация ФСТЭК, внедрение МЗИ).
• Сопровождение проверок (представительство интересов).

На 2026 год подход Роскомнадзора к проверкам характеризуеться переходом от формализма к сущностному контролю. Наличие «красивой папки с документами» не спасает, если в реальности доступы не разграничены, согласия не получены, а инциденты скрываются. Ключ к успешной проверке и отсутствию штрафов, внедрение культуры защиты персональных данных в повседневные бизнес-процессы, непрерывный мониторинг актуальности документации и технических мер, а также готовность к диалогу с регулятором на языке фактов и нормативных ссылок.

Материал подготовлен на основе открытых данных, нормативных актов РФ и аналитической информации за период 2024–2026 гг. Статья носит информационный характер и не является правовым консультированием. Для решения конкретных вопросов обратитесь к квалифицированным юристам и специалистам по защите информации.