В условиях цифровизации экономики и роста количества инцидентов с утечками информации‚ контроль за соблюдением законодательства о персональных данных (ПДн) становится приоритетной задачей государства. Федеральная служба по надзору в сфере связи‚ информационных технологий и массовых коммуникаций (Роскомнадзор) является главным органом‚ осуществляющим надзор за соблюдением прав субъектов персональных данных. Статья подробно разбирает виды проверок‚ их основания‚ процедуру проведения‚ а также актуальную статистику и практику применения санкций на .

Нормативная база и полномочия Роскомнадзора

Деятельность Роскомнадзора по надзору за защитой персональных данных регулируется следующими ключевыми правовыми актами:

• Федеральный закон от № 152-ФЗ «О персональных данных» (основной закон‚ ст. 22‚ 23‚ 24.1);
• Федеральный закон от № 294-ФЗ «О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля» (регламентирует процедуры проверок);
• Постановления Правительства РФ (например‚ № 719 «Об утверждении Положения о Роскомнадзоре»);
• Административный правонарушения (КоАП РФ‚ ст. 13.11‚ 13.11.1‚ 19.7;1-1 и др.).

Согласно ст. 23 закона № 152-ФЗ‚ Роскомнадзор осуществляет контроль за соблюдением операторами персональных данных обязанностей‚ предусмотренных законодательством.

Виды проверок: Плановые и Внеплановые

Согласно ФЗ № 294‚ проверки делятся на две фундаментально разные категории‚ имеющие разные основания и процедуры назначения.

Плановые проверки

Особенность: Назначаются на основании плана проверок‚ утверждаемого Роскомнадзором на следующий год. План формируется на основе реестра рисков.

• Частота: Не чаще одного раза в 3 года для субъектов МСП (включая микропредприятия)‚ если иное не установлено законом.
• Уведомление: Оператор уведомляется о предстоящей проверке не позднее чем за 3 рабочих дня до ее начала (направляется распоряжение).
• Основание для включения в план: Высокий уровень риска в реестре рисков (наличие уведомлений об утечках‚ жалобы граждан‚ результаты предыдущих проверок).

Важно: С 2021 года введен «режим тишины» (мораторий) на плановые проверки МСП‚ который регулярно продлевается. На 2026 год плановые проверки малого бизнеса в основном приостановлены‚ за исключением случаев‚ прямо предусмотренных законом (например‚ лицензируемые виды деятельности).

Внеплановые проверки

Проводится без включения в план проверок. Основания строго перечислены в ст. 9 ФЗ № 294:

1. Жалобы субъектов ПДн (граждан) на нарушение их прав (ст. 23 Закона № 152-ФЗ).
2. Уведомления об утечках персональных данных‚ полученные от оператора (обязательство по ст. 22.1 Закона № 152-ФЗ).
3. Сообщения СМИ и иные источники о фактах утечек или нарушений.
4. Поручения Президента РФ‚ Правительства РФ‚ Генерального прокурора.
5. Исполнение судебных актов (проверка устранения выявленных нарушений).
6. Выявление фактов осуществления деятельности без уведомления о обработке ПДн (внесение в реестр).

Ключевое отличие: Для внеплановой проверки не требуется уведомление оператора за 3 дня. Распоряжение вручается при начале проверки.

Профилактические визиты и Работа с обращениями

Помимо проверок‚ Роскомнадзор применяет более мягкие меры:

• Профилактические визиты (ст. 11 ФЗ № 294): Проводится не чаще 1 раза в год‚ цель — консультирование‚ помощь в соблюдении требований. Не влечет ответственности‚ но по итогам выдается акт с рекомендациями.
• Работа с обращениями граждан (ст. 23 Закона № 152-ФЗ): Рассмотрение жалоб без выезда на место (камеральная проверка). По результатам может быть выдано предписание об устранении нарушений.

Процедура проведения выездной проверки: Пошаговый алгоритм

Выездная проверка — самый серьезный вид контроля. Она включает несколько этапов:

Этап 1: Начало проверки (Вручение распоряжения)

• Инспектор предъявляет служебное удостоверение и распоряжение руководителя Роскомнадзора (или уполномоченного лица) о проведении проверки.
• В распоряжении указаны: основание‚ цели‚ сроки‚ состав проверяющих‚ перечень вопросов.
• Оператор обязан обеспечить доступ к помещениям‚ документам‚ ИСПДн (информационным системам персональных данных).

Этап 2: Сбор доказательной базы

Инспекторы имеют право:

• Требовать предоставления документов (бумажных и электронных)‚ в т.ч. локальных нормативных актов (ЛНА): Политики конфиденциальности‚ Приказа о назначении ответственного‚ Модели угроз‚ Перечня мер защиты‚ Журналов учета инцидентов.
• Получать объяснения от должностных лиц и сотрудников.
• Проводить осмотр помещений‚ серверных‚ рабочих станций.
• Запрашивать копии документов (при предоставлении копий оператор вправе требовать составления протокола изъятия).

Этап 3: Завершение проверки и Составление акта

• По итогам составляется Акт проверки (в 2-х экземплярах‚ один у оператора).
• В акте фиксируются: выявленные нарушения (или их отсутствие)‚ ссылки на нормы права‚ меры по устранению.
• Оператор имеет право написать замечания/возражения в акте (или приложить отдельное мнение) в течение 10 рабочих дней с момента вручения акта.

Этап 4: Принятие решения по результатам проверки

Руководитель Роскомнадзора (территориального управления) в течение 10 рабочих дней после истечения срока на возражения принимает одно из решений:

• О возбуждении дела об административном правонарушении (КоАП РФ);
• О выдаче предписания об устранении нарушений (срок исполнения устанавливается в предписании);
• Об отказе в возбуждении дела / не выдаче предписания (если нарушений нет или они незначительны и устранены на месте).

Чек-лист: На что обращает внимание Роскомнадзор (Топ-10 нарушений)

Основываясь на практике проверок и докладах ведомства‚ можно выделить ключевые зоны риска:

1. Отсутствие или несоответствие Уведомления о обработке ПДн (не внесен в реестр‚ устаревшие цели/категории данных/субъектов).
2. Отсутствие локальных нормативных актов (ЛНА): Политики конфиденциальности (для сайта и внутренней)‚ Приказа о назначении ответственного за организацию обработки ПДн‚ Положения об ИСПДн.
3. Несоответствие мер защиты уровням защищенности (УЗ 1–4): Отсутствие модели угроз‚ нереализованные меры организационно-технического характера (шифрование‚ контроль доступа‚ антивирусы‚ учет доступа‚ резервное копирование).
4. Нарушение режима обработки специальных/биометрических ПДн (отсутствие согласия в нужной форме‚ лишние цели обработки).
5. Отсутствие договоров с третьими лицами (подрядчиками)‚ содержащих условия защиты ПДн (ст. 6‚ 7 Закона № 152-ФЗ).
6. Несвоевременное или неполное уведомление об утечке ПДн (срок — 24 часа с момента обнаружения для Роскомнадзора и безотлагательно для субъектов).
7. Нарушение прав субъектов ПДн: Отказ в предоставлении информации‚ неисполнение требования об удалении/блокировке/уточнении данных в законные сроки (10–30 дней).
8. Трансграничная передача ПДн без обеспечения адекватной защиты или оснований (ст. 12 Закона № 152-ФЗ).
9. Отсутствие обучения персонала по вопросам защиты ПДн (документальное подтверждение: журналы инструктажей‚ протоколы заседаний комиссии).
10. Физическая защита носителей: Открытый доступ к серверам‚ отсутствие режима чистого стола‚ небезопасное утилизация бумажных носителей.

Статистика и тренды 2023–2024 гг. (Данные на )

Анализ открытых данных Роскомнадзора за прошедшие периоды демонстрирует жестокую тенцию к усилению ответственности и росту масштабов инцидентов.

Ключевые цифры за 2024 год:

• 200 уведомлений об утечках ПДн поступило в ведомство от операторов (обязательное уведомление по ст. 22.1).
• 135 случаев утечки баз данных официально зафиксировано Роскомнадзором.
• Более 710 млн записей о россиянах утекло в сеть в результате этих инцидентов.
• 67 протоколов составлено в отношении операторов ПДн за допущенные утечки (данные за начало 2024 г.‚ итоговый показатель за год выше).

Сравнение с 2023 годом:

• В 2023 году поступило 380 сообщений об утечках. Снижение количества уведомлений в 2024 году может говорить либо о улучшении защиты‚ либо о тенденции к скрытию инцидентов (что несет риск квалификации по ст. 13.11.1 КоАП РФ — за несвоевременное уведомление).
• Объем утечкащих данных (710 млн записей) указывает на масштабность инцидентов («крупная утечка» становится нормой для крупных операторов).

Тренды надзора:

• Фокус на уведомлениях: Роскомнадзор активно использует поступившие уведомления об утечках как основание для внеплановых проверок (п. 2 ст. 9 ФЗ № 294).
• Проверка мер защиты «по факту утечки»: Инспекторы проверяли‚ соответствовали ли реальные меры защиты заявленному уровню защищенности и модели угроз.
• Штрафы: Суммы штрафов за утечки (ст. 13.11 КоАП РФ) для юрлиц до 15 млн руб. (за повторное — до 500 млн руб. или 1–3% выручки по ст. 13.11.1)‚ за несвоевременное уведомление — до 5 млн руб.

Административная ответственность: Санкции за нарушения

Дополнительные меры: Предписание об устранении нарушений (неисполнение влечет ст. 19.7 КоАП РФ — штраф до 100 тыс. руб. для юрлиц)‚ приостановка обработки ПДн (судебный порядок)‚ блокировка сайта/ресурса (при повторных грубых нарушениях).

Практика защиты прав оператора: Как подготовиться и оспорить

Подготовка к проверке (Проактивная позиция)

• Внутренний аудит: Проведите самостоятельную проверку соответствия ст. 19 Закона № 152-ФЗ (мер защиты) и наличию полного пакета ЛНА.
• Актуализация Уведомления: Проверьте реестр Роскомнадзора — соответствует ли запись текущей деятельности.
• Модель угроз и Перечень мер: Документы должны быть актуальными‚ подписанными руководителем‚ отражать реальную архитектуру ИСПДн.
• Журналы и логи: Обеспечьте ведение журналов доступа‚ инцидентов‚ инструктажей. Логи ИС должны храниться минимум 1 год (требование ФСТЭК/ФСБ для ГИС/КИИ‚ рекомендательно для всех).
• Обучение персонала: Документированные инструктажи, обязательное требование (п. «г» ч. 1 ст. 19 Закона № 152-ФЗ).
• Порядок действий при визите: Разработайте инструкцию для секретаря/администратора/ответственного за ПДн: как встречать инспекторов‚ кому звонить юристу‚ какие документы выдавать‚ какие — нет (тайна‚ приватность).

Оспаривание результатов проверки

1. Замечания в Акт проверки: В течение 10 рабочих дней. Критически важно зафиксировать несогласие с фактами‚ правовой квалификацией‚ процедурными нарушениями инспекторов.
2. Жалоба вышестоящему руководителю / в суд: Решение по результатам проверки (предписание‚ протокол об АП) можно обжаловать в течение 10 дней (в вышестоящую инстанцию) или 3 месяцев (в суд, АС РФ или суд общей юрисдикции в зависимости от субъекта).
3. Процессуальные нарушения: Отсутствие распоряжения‚ нарушение сроков‚ состав проверяющих не по распоряжению‚ проверка вопросов не указанных в распоряжении — основания для признания проверки нелегальной и доказательств недопустимыми.

Особенности проверки уведомлений об утечках (Ст. 22.1 Закона № 152-ФЗ)

С 2022 года операторы обязаны уведомлять Роскомнадзор и субъектов ПДн об утечке. Это стало главным триггером внеплановых проверок.

Алгоритм действий при инциденте (чтобы минимизировать риски проверки):

1. Обнаружение: Фиксация времени и факта.
2. Локализация: Остановка утечки‚ изоляция зараженных сегментов.
3. Оценка масштабов и вреда: Категории данных‚ количество субъектов‚ риски для прав.
4. Уведомление Роскомнадзора (в течение 24 часов): Через личный кабинет оператора на сайте РКН (форма установлена Приказом РКН). Указать: описание инцидента‚ категории ПДн‚ меры принятые‚ контакты ответственного.
5. Уведомление субъектов ПДн (безотлагательно): Индивидуально (email‚ СМС‚ пуш‚ почта) или публично (на сайте)‚ если индивидуальное уведомление требует непропорциональных усилий.
6. Расследование и устранение причин: Технический аудит‚ устранение уязвимостей.
7. Отчетность в РКН (по требованию): Предоставление детального отчета о причинах и мерах предотвращения.

Совет: Качественное‚ полное и своевременное уведомление‚ подтвержденное принятыми мерами по ликвидации последствий‚ часто позволяет избежать назначения штрафа по ст. 13.11.1 (за несвоевременное уведомление) и смягчить санкцию по ст. 13.11 ч. 2 (за саму утечку)‚ демонстрируя добросовестность оператора.

На практика Роскомнадзора демонстрирует переход от формального контроля наличия документов к проверке реальной эффективности мер защиты. Статистика 2024 года (710 млн утекших записей‚ 135 крупных инцидентов) заставляет ведомство фокусироваться на системной безопасности.

Ключевые рекомендации для операторов:

• Строить систему защиты ПДн на основе управления рисками (модель угроз -> меры защиты -> контроль эффективности)‚ а не «для галочки».
• Автоматизировать процессы: DLP-системы‚ SIEM‚ управление уязвимостями‚ шифрование баз данных.
• Проводить регулярные внутренние аудиты и пентасты (минимум раз в год).
• Обеспечить готовность к инциденту: план реагирования (IRP)‚ обученная команда‚ каналы связи с РКН и субъектами.
• Вести диалог с инспекторами конструктивно‚ но знать свои права (ФЗ № 294) и фиксировать все процедурные нарушения со стороны проверяющих.

Соблюдение законодательства о персональных данных сегодня — это не только избежание штрафов‚ но и вопрос репутации‚ доверия клиентов и информационной безопасности бизнеса в целом.

Данная статья носит информационный характер и не является правовым консультированием. Нормативная база может меняться. Для решения конкретных вопросов рекомендуется обратиться к квалифицированному юристу по защите персональных данных.