Проверка Роскомнадзора (РКН) — это серьезное испытание для любой организации, обрабатывающей персональные данные (ПДн). На практика ведения проверок показывает, что ведомство делает упор не на формальное наличие «папок с бумагами», а на системность и реальное соответствие документации фактической деятельности оператора. В этой статье подробно разбираем виды проверок, перечень обязательных документов и ключевые моменты, на которые обращают внимание инспекторы.

Виды проверок Роскомнадзора: чем отличаются и к чему готовиться

Согласно законодательству, Роскомнадзор проводит два основных вида плановых проверок (внеплановые возможны при наличии оснований, например, обращений граждан или утечек данных):

• Инспекционный визит (выездная проверка). Проводится в отношении организаций, отнесенных к категориям высокого или значительного риска, а также тех, кто только начинает деятельность в сфере обработки ПДн. Инспекторы приезжают на место, осматривают серверные, рабочие места, опрашивают сотрудников и изымают/ксерокопируют документы.
• Документарная (камеральная) проверка. Проводится без посещения организации. РКН направляет официальный запрос с перечнем документов, копии которых необходимо направить в соответствующее подразделение ведомства в установленный срок (обычно 10–30 рабочих дней).

Важно: Независимо от вида проверки, перечень запрашиваемых документов в целом унифицирован, но при выездном визите инспекторы имеют право запросить практически любые документы, подтверждающие законность, безопасность и прозрачность обработки ПДн, а при наличии оснований, даже привлечь сотрудников правоохранительных органов для изъятия носителей информации.

«Золотой стандарт» пакета документов: что проверяют в первую очередь

Сердце любой проверки — это документация, регламентирующая работу с персональными данными. Отсутствие хотя бы одного ключевого документа — повод для предписания об устранении нарушений и штрафа (ст. 19.7 КоАП РФ).

Учредительные и регистрационные документы

• Учредительные документы: Устав (для ЮЛ), Свидетельство о регистрации ИП.
• Выписка из ЕГРЮЛ / ЕГРИП на момент проведения проверки (свежая, не старше 30 дней). Подтверждает актуальность реквизитов и состав учредителей.

Документы по уведомлению и полномочиям

• Копия уведомления об обработке персональных данных (или сведения о включении в реестр операторов ПДн), зарегистрированного в Роскомнадзоре. Если уведомление не подано — это грубое нарушение (ч. 1 ст. 19.7 КоАП РФ).
• Документ, подтверждающий полномочия представителя: Приказ о назначении должностного лица (уполномоченного представителя), которое представляет интересы юрлица при проверке, а также доверенность для конкретного сотрудника, взаимодействующего с инспекторами «в поле».

Внутренние организационно-распорядительные документы (ВОРД) — ядро системы защиты

Именно здесь выявляется основная масса нарушений. Инспекторы оценивают не количество шаблонов, а их соответствие реальной работе сайта, CRM, кадровых систем, подрядчиков и сотрудников.

1. Приказ о назначении ответственного за организацию обработки ПДн (часто совпадает с ДЛО — должностным лицом по защите ПДн).
2. Политика конфиденциальности (Политика обработки ПДн) — публичный документ для сайта/приложения и внутренний для сотрудников. Должна содержать все обязательные реквизиты ст. 18.1 Закона № 152-ФЗ.
3. Локальные нормативные акты (ЛНА) по защите ПДн:
   • Положение о порядке обработки и защите ПДн (основной документ модели угроз).
   • Инструкция по учету ПДн (журналы учета).
   • Инструкция по защите ПДн при автоматизированной обработке (технические меры: пароли, шифрование, антивирусы, контроль доступа).
   • Инструкция по защите ПДн при неавтоматизированной обработке (бумажные носители, сейфы, доступ к архивам, бланки строгой отчетности/трудовые книжки).
   • Положение о порядке доступа к ПДн (ролевая модель, матрица доступа).
   • Инструкция по действиям при обнаружении нарушений / инцидентов безопасности (утечка данных).
   • Порядок уничтожения ПДн после достижения целей обработки.
4. Документы по оценке вреда и модели угроз: Акт оценки вреда, Модель угроз безопасности ПДн (обязательна для операторов, создавших ИСПДн).
5. Схема взаимодействия с субъектами ПДн: Формы согласий, уведомлений для субъектов, порядок исполнения прав субъектов (доступ, исправление, удаление, отзыв согласия).

Учет и контроль (Журналы и реестры)

Наличие заполненных журналов, маркер реальной работы системы, а не «бумажной» подготовки за ночь перед проверкой.

• Журнал учета носителей ПДн (бумажных и электронных).
• Журнал учета доступа к ПДн (кто, когда, к каким данным имел доступ).
• Журнал инцидентов безопасности / нарушений.
• Журнал обучения сотрудников по защите ПДн (подписи ознакомленного персонала).
• Реестр согласий субъектов ПДн (если обработка основана на согласии).
• Реестр договоров с операторами/подрядчиками (передача ПДн третьим лицам).

Документы по информационным системам (ИСПДн)

• Акт категорирования объекта информатизации (ОИ) / ИСПДн (уровень значимости, класс защищенности).
• Сертификаты ФСТЭК / ФСБ на используемые СЗИ (средства защиты информации), если требуется соответствующий класс защищенности.
• Документы по настройке сервисов аналитики (Яндекс.Метрика, Google Analytics и др.) — настройка анонимизации IP, отключение сбора лишних данных, наличие согласий на cookies.

Документы по работе с подрядчиками и переграничной передачей

• Договоры с операторами ПДн (аутсорсинг кадров, колл-центры, облачные сервисы) с обязательными условиями ст. 28 152-ФЗ.
• Документы, подтверждающие законность переграничной передачи ПДн (стандартные договорные условия, решение Адекватности и т.д.), если актуально.

Практические нюансы: на что смотрят инспекторы в 2026 году

Анализ судебной практики и результатов проверок последних лет показывает сдвиг фокуса:

• Соответствие «Бумага — Реальность»: Инспекторы проверяют, настроены ли реально права доступа в 1С/CRM так, как написано в «Матрице доступа». Соответствует ли политика конфиденциальности на сайте тем данным, которые реально собираются через формы.
• Обучение персонала: Просто иметь журнал подписей недостаточно. Сотрудников могут опросить: знают ли они, что такое ПДн, как реагировать на запрос субъекта, куда сообщать об утечке.
• Работа с уведомлениями: Проверяется актуальность сведений в Реестре РКН. Изменился состав ПДн, цели, категории субъектов — уведомление должно быть обновлено.
• Уничтожение данных: Наличие акта уничтожения и регламента сроков хранения. Бесконечное хранение «на всякий случай» — нарушение принципа минимальности (ст. 5 152-ФЗ).
• Технические меры: При выездном визите могут проверить: шифрование дисков ноутбуков, сложность паролей, наличие антивирусов с актуальными базами, физическую защиту серверной (доступ по пропускам, логи входа).

Алгоритм действий при получении требования / приезде инспекторов

1. Проверьте законность: Ознакомьтесь с предписанием/распоряжением о проверке. Убедитесь, что оно подписано руководителем органа (или заместителем) и входит в план проверок (для плановых) или имеет основание (для внеплановых).
2. Назначьте ответственного: Немедленно выдайте приказ/доверенность на сотрудника, который будет единственной точкой контакта с РКН. Это исключает хаос и противоречивые показания.
3. Соблюдайте сроки: При документарной проверке строго соблюдайте дедлайн отправки сканов/копий (обычно 10 рабочих дней, может быть продлен). Просрочка — отдельное административное правонарушение (ст. 19.7 КоАП РФ).
4. Предоставляйте только запрошенное: Не сдавайте «все подряд», если в требовании узкий перечень. Но будьте готовы предоставить дополнительно по устному запросу инспектора при выездном визите (он имеет право требовать любые связанные документы).
5. Вести переговорный процесс: Все устные разъяснения лучше дублировать письменно (почта/ЭДО) после визита.
6. Обжалование: По результатам проверки составляется Акт (документарная) или Протокол об административном правонарушении / Предписание об устранении нарушений. Их можно и нужно обжаловать в вышестоящий орган РКН или в суд в 10-дневный срок.

Типичные ошибки, приводящие к штрафам

Ошибка	Последствие
Отсутствие уведомления в Реестре РКН	Штраф до 500 тыс. руб. (юридическим лицам) за каждое нарушение
Политика конфиденциальности — шаблон «для галочки», не отражает реальные процессы	Предписание об устранении, штрафы, риск блокировки ресурса (при повторении)
Нет приказа о ДЛО / Ответственном за защиту ПДн	Штраф, невозможность доказать организацию процесса
Отсутствие договоров с операторами (аутсорсинг) с условиями 152-ФЗ	Квалифицируется как нелегальная передача ПДн третьим лицам
Журналы заведены, но пустые или заполнены за один день перед проверкой	Признание системой защиты несуществующей, максимальные штрафы
Игнорирование прав субъектов (не отвечают на запросы доступа/удаления в срок 30 дней)	Штрафы, претензии прокуратуры, репутационные риски

Резюме: Подготовка — это процесс, а не событие

Компании часто недооценивают масштабы полномочий Роскомнадзора. Это не просто формальная проверка «галочек». Ключ к успешному прохождению — внедрение культуры защиты данных в повседневную работу:

• Проводите внутренние аудиты раз в полугодие/год по чек-листу выше.
• Автоматизируйте учет ПДн и управление согласиями (DLP-системы, модули в CRM).
• Регулярно обучайте персонал (не менее 1 раза в год) и фиксируйте это.
• Актуализируйте документы при любом изменении бизнес-процессов (новый сайт, новый подрядчик, новая цель обработки).

Помните: Инспекторы оценивают не число шаблонов в папке, а соответствие документов реальной работе. Только системный подход гарантирует отсутствие штрафов и, что важнее, безопасность данных ваших клиентов и сотрудников.

---

Данная статья носит информационный характер и не является правовым консультированием. Для подготовки к конкретной проверке рекомендуется привлечь профильного юриста по защите персональных данных.