В России обработка персональных данных регулируется Федеральным законом № 152‑ФЗ «О персональных данных» от г. За последние годы контроль со стороны надзорных органов, в первую очередь Роскомнадзора, значительно усилился. Любая организация, индивидуальный предприниматель или даже самозанятый, который собирает, хранит или использует персональные данные граждан, может стать объектом плановой, профилактической или внеплановой проверки.
Правовая база и основные регуляторы
- ФЗ‑152 – основной нормативный акт, определяющий порядок сбора, обработки, хранения и передачи персональных данных.
- Постановление Правительства РФ от № 1046 – регламент проведения проверок Роскомнадзора.
- Федеральный закон № 149 от г. «Об информации, информационных технологиях и о защите информации» (частично применяется к ПДн).
- Регуляторы, участвующие в контроле:
- Роскомнадзор – основной надзорный орган.
- ФСТЭК – отвечает за техническую защиту информации.
- ФСБ – контролирует вопросы национальной безопасности и шифрования.
Виды проверок, проводимых Роскомнадзором
- Плановые проверки – проводятся согласно графику, сформированному на основе риск‑ориентированной модели (введённой в 2025 г.)
- Профилактические (профилактико‑инспекционные) проверки – инициируются по заявке организации или в ответ на жалобы граждан.
- Внеплановые (экстренные) проверки – проводятся при подозрении на серьёзные нарушения, утечку данных или при получении информации о незаконной передаче данных за границу.
- Проверка сайтов и мобильных приложений – особое внимание уделяется локализации данных, наличию политики конфиденциальности и корректному получению согласий пользователей.
Что именно проверяют?
- Документацию:
- Политика обработки персональных данных (ППДн) и её публичный доступ.
- Согласия субъектов данных (формы, электронные подписи).
- Регистры операторов и обработчиков персональных данных.
- Договоры с третьими лицами (договоры о передаче и обработке ПДн).
- Журналы учета доступа к персональным данным.
- Акт о результатах внутреннего аудита (если проводился).
- Технические меры защиты:
- Шифрование данных (в т.ч. при передаче за границу).
- Контроль доступа (ролевые модели, двухфакторная аутентификация).
- Антивирусная и анти‑мальваре защита серверов.
- Резервное копирование и восстановление данных.
- Организационные меры:
- Назначение ответственного за обработку ПДн (ОПД).
- Обучение персонала (тренинги, инструктажи).
- Проведение регулярных аудитов и тестов на проникновение.
- Локализация и трансграничная передача:
- Хранение персональных данных граждан РФ на территории России.
- Оценка адекватности защиты в странах‑получателях (США, некоторые страны‑неучастники Конвенции Совета Европы считаются «небезопасными»).
Список обязательных документов, которые запросит инспектор
| Документ | Назначение | Кому принадлежит |
|---|---|---|
| Политика обработки персональных данных (ППДн) | Определяет порядок сбора, хранения, использования и уничтожения ПДн. | Оператор |
| Регистры операторов и обработчиков ПДн | Список всех субъектов данных и целей их обработки; | Оператор/Обработчик |
| Согласия субъектов (формы, электронные подписи) | Подтверждение законности обработки. | Оператор |
| Договоры с третьими лицами (контрактные соглашения) | Условия передачи и защиты ПДн. | Оператор/Обработчик |
| Журналы доступа к ПДн | Контроль за тем, кто и когда получал доступ. | Оператор |
| Отчёты о проведенных аудиторских проверках | Документирование выявленных рисков и мер их устранения. | Оператор |
| Инструкции для персонала | Обучающие материалы по работе с ПДн. | HR/Безопасность |
| Документы по локализации данных | Подтверждение, что данные хранятся в РФ. | Оператор |
Как подготовиться к проверке: пошаговый чек‑лист
Предварительный аудит
- Соберите всю документацию, перечисленную в пункте 4.
- Проверьте актуальность политик и согласий (дата подписания, цель обработки).
- Убедитесь, что на сайте размещена ссылка на ППДн в «лёгком доступе» (не менее 3‑х кликов от главной страницы).
- Проверьте, что все серверы, где хранятся ПДн, находятся в РФ или, если за границей – есть договор о адекватной защите.
Техническая проверка
- Проведите сканирование уязвимостей (penetration testing) и устраните найденные проблемы.
- Убедитесь, что все каналы передачи данных (HTTPS, VPN) используют актуальные сертификаты.
- Проверьте, что шифрование данных реализовано как в покое (AES‑256), так и в транзите (TLS 1.2/1.3).
- Настройте систему журналирования (SIEM) для записи всех операций с ПДн.
Организационные меры
- Назначьте ответственного за персональные данные (ОПД) и оформите приказ о его назначении.
- Проведите обязательный инструктаж для всех сотрудников, имеющих доступ к ПДн (не реже одного раза в полугодие).
- Разработайте план реагирования на утечку данных (инцидент‑реакция) и проведите тренировочный сценарий.
- Обновите договоры с подрядчиками, включив в них пункты о соблюдении ФЗ‑152 и локализации.
Подготовка к визиту инспектора
- Назначьте ответственного за взаимодействие с инспектором (обычно ОПД).
- Подготовьте «рабочее место» – отдельный кабинет, где будет проходить проверка, с доступом к необходимой документации.
- Составьте список вопросов, которые могут возникнуть у инспектора, и подготовьте ответы.
- Убедитесь, что все электронные документы доступны в читаемом виде (PDF, DOCX) и подписаны (ЭЦП, если требуется).
Наиболее частые нарушения и их последствия
| Нарушение | Пример | Штраф (руб.) |
|---|---|---|
| Отсутствие или непубличная Политика обработки ПДн | Сайт не имеет ссылки на ППДн. | От 500 000 до 2 000 000 |
| Обработка ПДн без согласия субъекта | Сбор телефонных номеров в рекламных формах без чек‑бокса. | От 300 000 до 1 500 000 |
| Трансграничная передача данных в «небезопасную» страну | Отправка клиентских данных в США без заключения договора о адекватной защите. | От 1 000 000 до 5 000 000 |
| Недостаточная техническая защита (отсутствие шифрования, слабые пароли) | База данных с ПДн доступна по открытой сети. | От 500 000 до 3 000 000 |
| Отсутствие журнала доступа | Не ведётся учёт входов в систему обработки ПДн. | От 200 000 до 1 000 000 |
Важно: Штрафы могут быть наложены как на юридическое лицо, так и на его руководителей (должностных лиц), если будет доказана их личная ответственность.
Как уменьшить риск получения штрафов
- Регулярный внутренний аудит – минимум раз в полугодие.
- Автоматизация процессов – системы управления согласиями (Consent Management Platform), DLP‑решения, SIEM.
- Обучение персонала – интерактивные курсы, тесты, подтверждение прохождения.
- Консультации с юристами – проверка договоров, подготовка ответов на запросы Роскомнадзора.
- Документирование всех изменений – каждый новый сервис, интеграция или изменение в обработке ПДн фиксируется в реестре.
Что делать, если проверка уже началась?
- Сохраняйте спокойствие – инспектор имеет право запросить документы, но не может требовать их уничтожения.
- Не предоставляйте копии без подписи – оформляйте акт о передаче документов, указывая дату и подпись.
- Записывайте вопросы и ответы – это поможет при подготовке пояснительной записки.
- Если обнаружены нарушения, сразу предложите план их устранения – проактивный подход часто смягчает штраф.
- После проверки получите официальный протокол и внимательно изучите выводы.
Полезные ресурсы и шаблоны
- КонсультантПлюс – база образцов договоров и форм (раздел «Персональные данные»).
- УБРиР – инструкция по подготовке сайта к проверке (публично доступна).
- Роском Онлайн – услуги по профилактической проверке и подготовке к визиту инспектора.
- ФСТЭК – рекомендации по технической защите (шифрование, контроль доступа).
- Сайт Роскомнадзора – раздел «Документы и нормативные акты», где публикуются последние постановления.
Контроль за соблюдением законодательства о защите персональных данных в России стал более системным и риск‑ориентированным. Чтобы успешно пройти проверку Роскомнадзора и избежать штрафов, необходимо:
- Иметь в наличии полную и актуальную документацию (Политика, согласия, реестры, договоры).
- Обеспечить техническую защиту данных в соответствии с рекомендациями ФСТЭК.
- Организовать процесс внутреннего контроля и обучения персонала.
- Регулярно проводить аудит и фиксировать результаты.
- Подготовиться к визиту инспектора, заранее продумав ответы и порядок предоставления документов.
Только комплексный подход, сочетающий правовые, технические и организационные меры, позволяет снизить вероятность нарушений и обеспечить надёжную защиту персональных данных клиентов и сотрудников.
Дата последнего обновления статьи: 09:41:41