Государственные учреждения являются одними из крупнейших операторов персональных данных в Российской Федерации. Обработка сведений о гражданах (паспортные данные, СНИЛС, медицинские карты, сведения о доходах, биометрия и др.) накладывает на них повышенную ответственность. Контроль за соблюдением законодательства в этой сфере осуществляет Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор).

Данная статья подробно разбирает правовые основы, виды проверок, типичные нарушения, порядок взаимодействия и алгоритм действий для государственных учреждений при проверках Роскомнадзора по вопросам персональных данных (ПДн).

Правовая основа проверок

Деятельность Роскомнадзора регулируется комплексом нормативных правовых актов. Ключевыми для государственных учреждений являются:

• Федеральный закон от № 152-ФЗ «О персональных данных» — основной закон, определяющий принципы, условия и требования к обработке ПДн (ст. 22 — требования к защите, ст. 18 — уведомление, ст. 19, локализация баз данных).
• Федеральный закон от № 248-ФЗ «О контроле (надзоре) в сфере связи…» — регламентирует полномочия Роскомнадзора, виды и порядок проведения проверок (плановые, внеплановые, профилактические визиты).
• Постановление Правительства РФ от № 687, «Об утверждении Положения о особенностях обработки персональных данных, осуществляемой без использования средств автоматизации». Актуально для бумажных носителей.
• Приказ ФСТЭК России от № 21 — «Об утверждении Состава и параметров мер организационного и технического характера…» (уровни защищенности: 1–4).
• Приказ ФСБ России от № 382 — требования к средствам криптографической защиты информации (СКЗИ) при обработке ПДн.
• Кодекс об административных правонарушениях (КоАП РФ), ст. 13.11 — ответственность за нарушение законодательства о персональных данных.

Специфика госучреждений

В отличие от коммерческих организаций, государственные учреждения часто обрабатывают специальные категории персональных данных (раса, национальность, политические взгляды, здоровье, интимная жизнь — ч. 1 ст. 10 Закона № 152-ФЗ) и биометрические данные (ч. 2 ст. 11 Закона № 152-ФЗ). Это автоматически поднимает требования к уровню защищенности до максимального (1-й или 2-й уровень по Приказу ФСТЭК № 21) и требует обязательного использования сертифицированных СКЗИ.

Виды проверок Роскомнадзора

Согласно ФЗ № 248, проверки делятся на три основные категории. Для госучреждений важно понимать различия:

Плановые проверки

• Основание: План проверок утверждается Роскомнадзором на год (опубликован на сайте ведомства).
• Частота: Не чаще одного раза в 3 года (для субъектов МСП, реже, но госучреждения к МСП не относятся).
• Уведомление: Не позднее чем за 3 рабочих дня до начала направляется уведомление (через личный кабинет на ГИС «Проверки» или почтой).
• Срок: До 20 рабочих дней (может быть продлен руководителем ведомства до 10 дней, в исключительных случаях — до 30 дней).

Внеплановые проверки

• Основания (ст. 10 ФЗ № 248):
  • Обращения граждан/организаций (жалобы на утечку данных, отказ в доступе к своим ПДн).
  • Сообщения СМИ/интернет о нарушениях (утечки в открытом доступе).
  • Поручения Президента/Правительства/Генпрокуратуры.
  • Выявление фактов нарушений при иных проверках.
  • Неисполнение предписаний по итогам прошлых проверок.
• Уведомление: За 1 рабочий день до начала (в случае жалобы — может быть не уведомлено, если это препятствует выявлению нарушения, но для госорганов обычно уведомляют).
• Срок: До 10 рабочих дней (продление до 20 дней).

Профилактические визиты

• Цель: Профилактика нарушений, консультирование, проверка выполнения предписаний.
• Особенность: Не являются проверкой в строгом смысле. Не составляется акт проверки, не выносятся предписания об устранении нарушений (только рекомендации).
• Срок: Не более 1 рабочего дня.
• Ограничение: Не чаще 1 раза в год в отношении одного субъекта.

Камеральные проверки (дистанционные)

Проводится на основании документов, представленных оператором (например, по требованию предоставить уведомление о обработке ПДн, локальный акт о политике конфиденциальности, отчет об оценке угроз). Срок — до 30 календарных дней. Часто предшествует выездной проверке.

Этапы взаимодействия: Пошаговый алгоритм

Этап 1: Подготовка к проверке (Постоянный режим)

Лучшая защита — системная готовность. В госучреждении должен быть создан Комитет по защите персональных данных (или ответственное лицо — специалист по защите ПДн).

1. Инвентаризация: Реестр информационных систем, содержащих ПДн (ИСПДн). Для каждой системы: категория данных, уровень защищенности (1–4), вид обработки, носители.
2. Документирование (Локальные нормативные акты — ЛНА):
   • Политика в отношении обработки ПДн (обязательна для публикации на сайте).
   • Приказ об утверждении перечня сотрудников, допущенных к обработке ПДн.
   • Инструкции по защите ПДн на бумажных и электронных носителях.
   • Модель угроз и Отчет об оценке угроз (для 1–3 уровней защищенности).
   • План мероприятий по защите ПДн (технические и организационные).
   • Журналы учета: инцидентов, доступа к ИСПДн, выдачи/уничтожения носителей, обучения персонала.
3. Техническая защита: Соответствие уровню защищенности (СКЗИ, межсетевые экраны, антивирусы, контроль целостности, резервное копирование, ДЛП-системы для 1–2 уровней).
4. Уведомление Роскомнадзора: Подача уведомления о начале обработки ПДн (через личный кабинет на pdn.rkn.gov.ru). Для госорганов часто требуется уведомление о каждой ИСПДн или обобщенное. Важно: Уведомление о локализации базы данных (ст. 18 Закона № 152-ФЗ), отдельная процедура.
5. Обучение персонала: Ежегодное ознакомление с ЛНА под роспись. Наличие сертификатов у ответственных лиц (по 152-ФЗ, ФСТЭК).

Этап 2: Получение уведомления о проверке

• Проверить законность уведомления: наличие основания, срока, состава проверяющих, перечня запрашиваемых документов.
• Назначить ответственного за взаимодействие с комиссией (обычно Зав. ИТ-отделом или специалист по ЗИ/ПДн).
• Подготовить рабочее место для проверяющих (с доступом к журналам, но без доступа к самим ПДн без необходимости).
• Собрать пакет документов по запросу (обычно запрашивают: уведомление, ЛНА, журналы, акты аттестации, сертификаты СКЗИ, договоры с подрядчиками).

Этап 3: Прохождение выездной проверки

Права проверяющих: Доступ к помещениям, документам, копирование, опрос сотрудников, проведение замеров/испытаний технических средств (с привлечением экспертов).

Обязанности проверяемого: Обеспечить доступ, предоставить документы, дать объяснения.

Ключевые советы:

• Ведите параллельный учет: что именно запрашивали, что выдавали, копии отдавайте под расписку в журнале проверки.
• Не предоставляйте сами ПДн (карточки пациентов, личные дела) без акта генеральной прокуратуры или судебного решения — проверяющие имеют право проверить организацию защиты, а не читать содержимое данных.
• Любые замечания устно фиксируйте в служебной записке/журнале.
• Сотрудничайте, но не признавайтесь в нарушениях, которых нет. Спорные моменты — в письменных объяснениях.

Этап 4: Результаты проверки (Акт и Предписание)

• Акт проверки составляется в 2-х экземплярах. Изучите его тщательно в течение 5 рабочих дней (срок на представление возражений).
• Если есть несогласие — пишите Возражения к акту (мотивированно, со ссылками на нормы закона, приложениями копий документов).
• Предписание об устранении нарушений выносится на основании акта. Срок исполнения устанавливается в предписании (обычно 10–30 дней).
• Неисполнение предписания влечет ответственность по ст. 19.5 КоАП РФ (штраф на должностных лиц до 20 000 руб., на юрлиц — до 500 000 руб.).

Этап 5: Исполнение предписания и апелляция

1. Устранить нарушения в срок.
2. Направить в Роскомнадзор отчет об исполнении предписания с приложением подтверждающих документов (приказы, акты настройки СКЗИ, обновленные ЛНА, скриншоты настроек).
3. Если считаете предписание незаконным — обжаловать в вышестоящее управление Роскомнадзора или в суд (АС РФ) в течение 10 дней с момента получения (ст. 24.1 КоАП РФ по аналогии, либо общий порядок обжалования ненормативных актов/действий чиновников).

Топ-10 типичных нарушений в госучреждениях

1. Отсутствие или неактуальность уведомления в реестре Роскомнадзора (не уведомили о новой ИС, не обновили данные при смене ФИО руководителя/адреса).
2. Несоответствие уровня защищенности реальным угрозам (объявили 4-й уровень, а обрабатывают биометрию/здоровье — нужен 1-й/2-й).
3. Отсутствие модели угроз и отчета об оценке угроз для систем 1–3 уровней (требование Приказа ФСТЭК № 21).
4. Использование несертифицированных СКЗИ или отсутствие СКЗИ при обязательном шифровании (1–2 уровни).
5. Нарушение режима доступа: избыточные права доступа у сотрудников, отсутствие разделения ролей (администратор БД = оператор ПДн), работа под общими учетными записями.
6. Отсутствие журналов учета инцидентов безопасности или их неведение в установленной форме.
7. Необучение персонала (нет приказов, нет росписей в журналах ознакомления с ЛНА).
8. Нарушение сроков хранения и неуничтожение ПДн после достижения цели обработки (нет актов уничтожения, нет регламента сроков хранения).
9. Передача ПДн третьим лицам (подрядчикам, ИС ЭПГУ/СМЭВ) без договоров с условиями защиты ПДн (п. 7 ст. 6, ст. 7 Закона № 152-ФЗ).
10. Отсутствие политики конфиденциальности на официальном сайте или ее несоответствие ст. 18.1 Закона № 152-ФЗ (нет сведений об операторе, целях, сроках, правах субъектов).

Особенности взаимодействия в цифровом контуре

Личный кабинет оператора (pdn.rkn.gov.ru)

Основной канал коммуникации. Через него:

• Подача/обновление уведомлений.
• Получение уведомлений о проверках (ГИС «Проверки»).
• Представление объяснений/возражений по камеральным проверкам.
• Направление отчетов об исполнении предписаний.

Рекомендация: Настроить уведомления на почту ответственного лица, регулярно проверять «Входящие» и «Задания».

Интеграция с ЕПГУ/СМЭВ

Госучреждения обязаны взаимодействовать через ЕПГУ. При проверке Роскомнадзор обращает внимание на:

• Наличие соглашения о совместной обработке ПДн с Ростелекомом/Минцифрой.
• Настройку минимально необходимых атрибутов (не запрашивать лишнее).
• Защиту каналов связи (ТLS, ГОСТ-шифрование).

Уведомление об инцидентах (утечках)

С 2022 года (Постановление Правительства № 1719) оператор обязан уведомить Роскомнадзор и субъектов ПДн о нарушении безопасности ПДн в течение 24 часов после обнаружения (если угроза прав субъектов). Для госучреждений это критично: скрытие утечки — отдельное тяжевое нарушение.

Административная ответственность (Статья 13.11 КоАП РФ)

Важно: Для государственных учреждений штрафы вносятся в бюджет соответствующего уровня. Дисциплинарная ответственность руководителей (выговор, увольнение) по итогам проверок практикуется часто.

Чек-лист готовности к проверке (Экспресс-аудит)

Перед плановой проверкой или по итогам года проведите внутренний аудит по этому списку:

• [ ] Уведомление в реестре РКН: Актуально? Все ИСПДн учтены? Есть уведомление о локализации?
• [ ] ЛНА: Политика на сайте? Приказы о допуске, перечне ИСПДн, уровнях защищенности? Инструкции по бумажным/электронным носителям?
• [ ] Уровни защищенности: Назначены верно (Модель угроз -> Уровень -> Мероприятия Приказа № 21)?
• [ ] СКЗИ: Сертификаты ФСБ действуют? Ключи обновлены? Шифруються ли базы/бэкапы/передача?
• [ ] Доступы: Матрица ролей? Удалены уволенные? Нет общих аккаунтов? Двухфакторная аутентификация (для 1–2 уровней)?
• [ ] Журналы: Инцидентов, доступа к СУБД/серверам, выдачи носителей, уничтожения, обучения — заведены, заполнены, хранятся 3 года?
• [ ] Обучение: 100% персонала, допущенного к ПДн, ознакомлены за год? Есть росписи?
• [ ] Договоры с подрядчиками (ИТ-аутсорс, 1С, сайт): Есть приложение/раздел по защите ПДн (ст. 7, п. 7 ст. 6)?
• [ ] Права субъектов: Работает процедура приема заявлений (доступ, исправление, удаление)? Сроки соблюдаются (30 дней)?
• [ ] Инцидент-менеджмент: Есть план реагирования на утечку? Ответственные знают алгоритм уведомления РКН за 24 ч.?

Практические рекомендации руководителю госучреждения

1. Назначьте компетентного специалиста по ЗИ/ПДн. Не совмещайте эту роль с сисадмином или кадровиком без специальной подготовки (курсы ФСТЭК/152-ФЗ).
2. Внедрите СКУД (Систему контроля доступа) и ДЛП для систем 1–2 уровней. Это требование Приказа № 21 (контроль доступа, предотвращение утечек).
3. Проводите внутренние аудиты ежеквартально. Лучше найти ошибку самому, чем инспектору.
4. Документируйте всё. «Документа не существует — меры не приняты». Даже устное указание руководителя оформите служебной запиской/приказом.
5. Работайте с подрядчиками. Аудит их защиты ПДн — ваша ответственность (ст. 7 Закона № 152-ФЗ). Требуйте отчеты об аттестации их ИС.
6. Не игнорируйте профилактические визиты. Это бесплатная консультация. Исправьте замечания до плановой проверки.
7. Автоматизируйте учет ПДн. Внедрите реестр обработки ПДн (программные комплексы типа «1С:Защита персональных данных», Solar Dozor, InfoWatch и др.).

Взаимодействие с Роскомнадзором в государственных учреждениях — это не разовый стресс перед проверкой, а непрерывный процесс управления рисками. Ключ к успеху, системность: актуальная документация (ЛНА), соответствующая уровню защищенности техническая защита (СКЗИ, контроль доступа), обученный персонал и прозрачная отчетность в личном кабинете оператора.

Государственные учреждения находятся под пристальным вниманием регулятора из-за объемов и чувствительности обрабатываемых данных (здоровье, биометрия, тайны). Позитивный итог проверки — это не отсутствие штрафов, а гарантия прав граждан и информационная безопасность организации. Инвестиции в защиту ПДн сегодня, это экономия административных ресурсов, репутации и бюджетных средств завтра.

Полезные ссылки для работы:

• Официальный сайт Роскомнадзора
• Личный кабинет оператора ПДн (Реестр уведомлений)
• ГИС «Проверки» (реестр проверок, планы, результаты)
• ФСТЭК России (нормативная база по защите информации)
• ФСБ России (лицензирование СКЗИ)

Данная статья носит информационный характер и не является правовой консультацией. При возникновении конкретных спорных ситуаций рекомендуется обратиться к юристам, специализирующимся на ИТ-пrave и законе № 152-ФЗ.