Проверки Роскомнадзора (РКН) по соблюдению законодательства о персональных данных (ФЗ-152) остаются одним из главных рисков для операторов персональных данных в России․ С 2022 года и до августа 2026 года практика существенно изменилась: введены новые штрафы, изменились порядки проведения камеральных и выездных проверок, усилился контроль за трансграничной передачей данных и уведомлением о нарушениях безопасности․

Ниже представлен подробный разбор самых частых и актуальных вопросов, которые клиенты задают юристам при подготовке к проверке или в процессе ее прохождения․

Общие основания и виды проверок

Какие виды проверок проводит Роскомнадзор?

Согласно ст․ 23 ФЗ-152 и Федеральному закону № 294-ФЗ, Роскомнадзор осуществляет:

• Камеральные проверки — проводятся на основании сведений, содержащихся в документах, представленных оператором (уведомления, отчеты о нарушениях), или полученных из открытых источников․ Срок: до 30 рабочих дней (может быть продлен до 20 рабочих дней)․ Выезд на место не требуется․
• Выездные проверки — проводятся на месте нахождения оператора․ Требуют основания (жалоба, сообщение СМИ, результаты камеральной проверки, поручение вышестоящего органа/прокуратуры)․ Срок: до 20 рабочих дней (в исключительных случаях до 30)․ Важно: С 2022 года действует мораторий на плановые выездные проверки МСБ (малых и средних предприятий), но он не распространяется на проверки по персональным данным, если есть основания (ст․ 10 Закона № 294-ФЗ)․
• Документарные проверки — могут быть как камеральными, так и выездными․ Суть: проверка документов, подтверждающих соблюдение требований закона․

Каковы основания для назначения проверки в 2026 году?

Основания перечислены в ст․ 7 Закона № 294-ФЗ и ст․ 23 ФЗ-152․ Наиболее частые триггеры на текущий момент:

1. Поступление жалобы от субъекта персональных данных (СПД)․
2. Информация в СМИ/Интернете об утечке данных или нарушении прав СПД․
3. Результаты предыдущих проверок (контроль исполнения предписаний)․
4. Сообщения об инцидентах безопасности (утечках), направленные оператором в РКН (ст․ 22․1 ФЗ-152)․
5. Поручения Президента, Правительства, Генерального прокурора․
6. Выявление признаков недобросовестного оператора (отсутствие уведомления в реестре, отсутствие политики конфиденциальности на сайте)․

Может ли Роскомнадзор проверить компанию без жалобы?

Да․ Плановые выездные проверки МСБ приостановлены до 2030 года (ФЗ от № 636-ФЗ), однако:

• Камеральные проверки могут проводиться планово (на основании реестра операторов)․
• Выездные проверки назначаются внепланово при наличии оснований (п․ 1 ст․ 7 Закона № 294-ФЗ)․ Отсутствие жалобы не мешает проверке, если основанием стало, например, сообщение об утечке или поручение прокурора․

Подготовка к проверке: «Что проверит инспектор?»

Чек-лист документов, которые запросят в первую очередь

При получении предписания о представлении документов (камеральная) или при выезде инспектора (выездная) необходимо предоставить:

• Уведомление о обработке ПДн (или подтверждение внесения в реестр) — для неисключенных случаев․
• Локальные нормативные акты (ЛНА):
  • Политика конфиденциальности (для сайта/приложения)․
  • Положение о порядке обработки ПДн (внутренний документ)․
  • Инструкция по защите ПДн (требования ФСТЭК/ФСБ при необходимости)․
  • Положение о правах субъектов ПДн (порядок обработки запросов)․
  • Положение об инцидентах безопасности (порядок уведомления РКН и СПД)․
• Документы по организационно-техническим мерам (ОТМ):
  • Акт категорирования объектов информатизации (ОИ) по уровню угроз (если применимо)․
  • Акт оценки ущерба от утечки ПДн․
  • Модель угроз․
  • Схема взаимодействия подсистем защиты․
  • Журналы учета: доступа к ПДн, инцидентов, выдачи/уничтожения носителей, обучения сотрудников․
• Договоры с подрядчиками (операторами по поручению), содержащие условия ст․ 28 ФЗ-152․
• Согласия СПД (образцы, журнал получения, механизм отзыва)․
• Документы по трансграничной передаче (если применимо): согласия специальной формы, BCR, SCC, уведомление РКН․

Что такое «Акт категорирования» и нужен ли он всем?

Акт категорирования ОИ по уровню угроз (1, 2, 3, 4 уровень) требуется для определения состава ОТМ (Приказ ФСТЭК от № 21)․
Нюанс 2026 года: Если вы обрабатываете только ПДн сотрудников (трудовые отношения) и не используете ГИС/КИИ/биометрию, категорирование может не требоваться, но обязательна оценка ущерба для выбора мер защиты (ПП РФ № 1119)․ Юристы рекомендуют проводить категорирование профилактически для доказательства добросовестности․

Как оформить политику конфиденциальности на сайте в 2026 году?

Инспекторы РКН автоматизированно парсят сайты․ Политика должна содержать все обязательные пункты ст․ 18․1 ФЗ-152 (цели, категории ПДн, основания, сроки, права СПД, данные об операторе, информация о передаче третьим лицам/трансграничной передаче, использование cookies/метрики)․ Отсутствие ссылки на политику в футере или несоответствие содержания — частая причина предписания․

Процедура прохождения выездной проверки

Каков порядок действий инспектора при выезде?

1. Предъявление служебного удостоверения и приказа (решения) о проверке (копия с печатью РКН)․
2. Ознакомление руководителя с правом и обязанностями (под роспись)․
3. Осмотр помещений, изъятие документов/носителей (по протоколу, в присутствии понятых/видеозаписи)․
4. Опрос сотрудников (только добровольно, с предупреждением об ответственности за ложные показания)․
5. Составление акта проверки (предварительного) и вручение копии․

Совет юриста: Назначьте ответственного сотрудника (юриста/ИБ) для сопровождения инспектора․ Не давайте документы «на руки» без протокола․ Ведете параллельный учет изъятых материалов․

Может ли инспектор изъять серверы/ноутбуки?

Да, если они содержат доказательства нарушения (ст․ 23 ФЗ-152, ст․ 18 Закона № 294-ФЗ)․ Изъятие оформляется протоколом с указанием перечня, пломбировкой, подписями понятых․ Требуйте выдачи копий изъятых данных (образа дисков) для обеспечения бизнес-непрерывности․ Изъятие не должно парализовать работу организации целиком (принцип соразмерности)․

Сроки рассмотрения материалов проверки

• Акт проверки составляется в течение 20 рабочих дней после окончания проверки (выездной)․
• Оператор имеет право представить возражения на акт в течение 10 рабочих дней после получения копии․

Нарушения, штрафы и ответственность (Актуальные суммы на 2026 год)

Основные статьи КоАП РФ

*Суммы актуальны на ․ Проверяйте актуальность при чтении․

Что считается «повторным нарушением»?

Нарушение, совершенное в течение года после вступления в законную силу решения о наложении административного штрафа за аналогичное нарушение․ Важно: повторное влечет дисквалификацию должностного лица (до 3 лет) и штрафы в 5-10 раз выше базовых․

Можно ли избежать штрафа за утечку, если меры защиты были?

Ст․ 22․1 ФЗ-152 устанавливает: оператор не несет ответственности за утечку, если докажет, что:

1. Разработал и утвердил ЛНА по защите ПДн․
2. Применил ОТМ, соответствующие уровню угроз (ПП № 1119)․
3. Своевременно уведомил РКН и СПД об инциденте (в течение 24 часов после обнаружения)․

Практический совет: Наличие подписанных актов категорирования, моделей угроз, журналов инцидентов и логов СЗИ — ваша главная защита в суде․

Трансграничная передача данных: «Ловушки» 2024-2026 гг․

Какие страны «адекватные» на 2026 год?

Список стран, обеспечивающих адекватную защиту (Постановление Правительства РФ), периодически обновляется․ На текущий момент в него входят страны-члены ЕАЭС, некоторые страны Латинской Америки, Израиль и др․ Страны ЕС, США, Великобритания, Турция, ОАЭ, НЕ входят в список адекватных․

Как легализовать передачу в «неадекватные» страны?

• Согласие субъекта ПДн специальной формы (утверждено Роскомнадзором, должно содержать страну-получателя, цели, категории данных, меры защиты)․ Обычное согласие «галочкой» на сайте не подходит для трансграничной передачи․
• Договор в стандартной форме (SCC) — модель договора РКН (утверждена приказом РКН)․
• BCR (Binding Corporate Rules) — для групп компаний, требует одобрения РКН․
• Исключения ст․ 12 ФЗ-152 (исполнение договора, защита жизни, публично доступные данные и т․д․)․

Риск: Использование сервисов Google Analytics, Meta Pixel, Amplitude, AWS, Azure, Slack без оформления SCC или получения специального согласия — топ-1 нарушение на проверках 2024-2026 гг․

Уведомление РКН о трансграничной передаче

С 2022 года оператор обязан уведомить РКН о начале трансграничной передачи (если передача идет на основании согласия спец․ формы или договора SCC) в течение 10 рабочих дней․ Форма уведомления на сайте РКН (личный кабинет оператора)․

Уведомление об инцидентах (Ст․ 22․1 ФЗ-152)

Сроки и адресаты уведомления

• Роскомнадзор: в течение 24 часов с момента обнаружения инцидента (через ЛК оператора на Госуслугах/сайте РКН)․
• Субъекты ПДн: в течение 24 часов после уведомления РКН (если инцидент может повлечь нарушение их прав)․ Способ: любой, гарантирующий получение (email, SMS, пуш, публикация на сайте)․

Что писать в уведомлении РКН?

Обязательные реквизиты (Приказ РКН):

1. Дата и время обнаружения/возникновения․
2. Описание обстоятельств и причин․
3. Категории и примерное количество затронутых СПД․
4. Категории ПДн․
5. Последствия для СПД․
6. Принятые/планируемые меры по устранению и предотвращению․
7. Контакты ДПО (Data Protection Officer) или ответственного лица․

Последствия неуведомления

Штраф до 500 000 руб․ (ч․ 4 ст․ 13․11 КоАП) + риск квалификации утечки как грубого нарушения с штрафом до 3-5 млн руб․ Судебная практика 2025-2026 гг․ показывает: суды взыскивают штрафы за несвоевременное уведомление даже если утечка не подтвердилась, но было нарушено процедурное требование․

Работа с предписанием и обжалование

Получили предписание․ Алгоритм действий:

1. Изучить правомерность: основание, срок исполнения, конкретное требование (устранить нарушение, предоставить документы)․
2. Если предписание правомерно — исполнить в срок, направить отчет об исполнении с доказательствами (скрины, акты, ссылки)․
3. Если не согласны — обжаловать в течение 10 дней (в вышестоящее управление РКН или в суд)․ Обжалование не приостанавливает исполнение, если суд не примет иное решение (ходатайство о приостановлении)․

Типичные ошибки в отчете об исполнении

• Отправка «пустого» письма без приложений․
• Исправление нарушения на сайте, но не во внутренних ЛНА (или наоборот)․
• Отсутствие доказательств уведомления СПД об изменениях в политике․
• Исполнение после истечения срока (влечет ст․ 19․7 КоАП)․

Судебная практика: на чем выигрывают дела?

Суды часто отменяют предписания/штрафы, если:

• РКН не указал конкретную норму закона, нарушенную оператором․
• Требование предписания выходит за рамки компетенции РКН (например, требование изменить трудовые договоры)․
• Нарушение несущественно и не повлекло угрозы прав СПД (позиция Пленума ВС РФ)․
• Оператор доказал принятие всех возможных мер (Due Diligence)․

Специфические вопросы 2026 года (FAQ)

Нужен ли ДПО (Data Protection Officer) и как его закрепить?

ФЗ-152 не требует обязательного назначения ДПО (в отличие от GDPR), но ст․ 22․1 ФЗ-152 требует указания контактного лица для взаимодействия с РКН и СПД․ Лучшая практика: Приказ о назначении ответственного за организацию обработки ПДн (часто — юрист или CISO), с вхождением в штатное расписание․ Анонимность «ответственного» вызывает вопросы у инспекторов․

Как обрабатывать биометрические данные (лица, отпечатки) в 2026 г․?

С (ФЗ № 572-ФЗ) введен особый режим:

• Обязательная категорирование ОИ как 1 или 2 уровень угроз (ФСТЭК)․
• Обязательное использование сертифицированных СЗИ (ФСБ/ФСТЭК)․
• Строгое согласия СПД (отдельное, в письменной/электронной форме с ЭЦП)․
• Запрет на передачу биометрии третьим лицам без согласия (кроме ЕБС)․

Проверки по биометрии — приоритет РКН в 2024-2026 гг․

Проверка использования Cookies и трекеров

РКН считает идентификаторы устройств (IDFA, GA Client ID, Yandex Metrica Client ID) персональными данными, если они позволяют идентифицировать конкретное лицо (в сочетании с профилем)․
Требования:

1. Cookie-баннер с возможностью отказа (Opt-out) от ненецевих cookies (маркетинг, аналитика)․
2. Политика в отношении cookies (отдельный раздел или документ)․
3. Блокировка скриптов до согласия (Prior Consent) — для строгого соответствия, хотя РКН пока не штрафует за отсутствие строгого Prior Consent, если есть баннер и политика․

Искусственный интеллект и обработка ПДн

Если вы используете ИИ (LLM, CV) для обработки ПДн клиентов/сотрудников:

• Это обработка ПДн (обобщение, профилирование, принятие решений)․
• Требуется оценка последствий (DPIA / ОПО — оценка влияния на права СПД), ст․ 18․1 ФЗ-152․
• Необходимо уведомить СПД об автоматическом принятии решений (право на человеческое вмешательство)․
• Передача данных в обучающие выборки сторонних ИИ (OpenAI, YandexGPT, GigaChat), это передача третьим лицам/трансграничная передача․ Требует согласия или SCC․

Чек-лист «Экспресс-аудит перед проверкой» (для внутреннего использования)

Пройдитесь по пунктам за 1-2 дня с юристом и ИБ:

1. [ ] Актуализирован реестр операций обработки (ROPA)?
2. [ ] Уведомление в реестре РКН актуально (адрес, ФИО руководителя, цели)?
3. [ ] Политика конфиденциальности на сайте соответствует ст․ 18․1 ФЗ-152 и реальным процессам?
4. [ ] Внутреннее Положение о обработке ПДн утверждено и знакомо сотрудникам под роспись?
5. [ ] Есть журнал запросов СПД и все ли закрыты в срок (30 дней)?
6. [ ] Оценка ущерба/Категорирование ОИ проведена, акты подписаны?
7. [ ] Модель угроз и схема СЗИ актуальны?
8. [ ] Журналы доступа к ПДн (админы, операторы) ведутся и хранятся 3 года?
9. [ ] Договоры с подрядчиками (облака, CRM, колл-центры) содержат ст․ 28 ФЗ-152?
10. [ ] Трансграничная передача: есть согласия спец․ формы / SCC / Уведомление РКН?
11. [ ] План реагирования на инциденты утвержден, учения проводились за год?
12. [ ] Назначен ответственный за ПДн (ДПО), контакты опубликованы/переданы РКН?
13. [ ] Биометрия: отдельные согласия, категорирование 1/2 у-р, сертифицированные СЗИ?
14. [ ] Cookies: баннер, политика, возможность отказа?

Проверка Роскомнадзора — это не только риск штрафов, но и возможность выстроить зрелую систему управления данными․ Ключ к успеху — документированность и последовательность․ Инспекторы и суды смотрят не на «намерения», а на подписанные акты, журналы, логи и сроки уведомлений․

Рекомендация: Проводите внутренний аудит раз в год (или после значимых изменений в IT/бизнес-процессах)․ Вовлекайте внешних экспертов для «свежего взгляда»․ Стоимость аудита несоизмеримо ниже штрафов за утечку (1-5 млн руб․) и репутационных потерь․