На практика взаимодействия с Федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор, РКН) достигла нового уровня зрелости. Инспекторы больше не ограничиваются формальной проверкой наличия документов, они проводят глубокий аудит ИТ-ландшафта, сопоставляют декларируемую политику конфиденциальности с реальной логикой работы форм, cookie-скриптов, CRM-систем и систем аналитики.
Для организаций это означает необходимость поддерживать не только комплект нормативных документов, но и фактическое исполнение процедур безопасности, прозрачность пользовательских соглашений и корректность передачи данных подрядчикам (включая зарубежные сервисы). В данной статье подробно разбираются виды проверок, ключевые направления контроля, порядок действий инспекторов и алгоритм подготовки компании.
Правовая база и полномочия Роскомнадзора
Деятельность Роскомнадзора регулируется комплексом нормативных актов. Ключевым документом, регламентирующим процедуру проверок, является:
- Приказ Минкомсвязи России от № 312 «Об утверждении Административного регламента исполнения Федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций государственной функции по осуществлению государственного контроля (надзора) за соответствием…».
- ФЗ от № 126-ФЗ «О связи» (в части лицензирования, использования радиочастотного спектра, универсального обслуживания).
- ФЗ от № 152-ФЗ «О персональных данных» (основной закон для проверок защиты ПДн).
- Кодекс об административных правонарушениях (КоАП РФ), статьи 13.11, 19.7.5-2 и др. (ответственность за нарушения).
Сфера надзора (ст. 2 Приказа № 312, 152-ФЗ)
Роскомнадзор осуществляет государственный контроль и надзор за соблюдением законодательства в области:
- Связи (лицензии, нумерация, радиочастоты, защита абонентов).
- Информационных технологий (персональные данные, криптографическая защита, критическая информационная инфраструктура — КИИ).
- Массовых коммуникаций и СМИ (регистрация, распределение, маркировка контента, реестр блогеров/каналов — актуально для каналов от 10 тыс. подписчиков).
- ТВ и радиовещания.
Виды проверок: формат и основания
Согласно административному регламенту, проверки делятся на две основные категории:
Камеральные (документарные) проверки
- Срок: до 30 рабочих дней (может быть продлен до 60).
- Основание: обращения граждан, сообщения СМИ, результаты мониторинга открытых источников (сайты, приложения, публичные реестры), плановые задания.
- Суть: анализ предоставленных документов без выезда на объект. Инспекторы запрашивают сканы политик, уведомлений, локальных актов, отчетов об оценке уязвимостей.
Выездные (очные) проверки
- Срок: до 20 рабочих дней (продление до 30 дней руководителем органа).
- Основание: плановый график (раз в 3 года для микропредпринимателей, чаще для остальных), неустраненные нарушения по итогам камеральной, сигналы об утечках данных, инциденты безопасности.
- Полномочия инспекторов на месте (ст. 12 Приказа № 312):
- Осмотр помещений, серверных, рабочих мест операторов ПДн.
- Интервьюирование сотрудников (включая ответственного за защиту ПДн, системных администраторов, HR).
- Запрос доступа к информационным системам (ИСПДн) для проверки настроек прав доступа, журналов аудита, шифрования.
- Изъятие копий документов и носителей информации (по протоколу).
Важно: С 2026 года Роскомнадзор активно использует профилактические визиты (не проверки!). Они не влекут ответственности, но позволяют инспектору оценить готовность. Отказ в профилактическом визите не влечет штрафов, но повышает вероятность плановой выездной проверки.
Ключевые направления проверки в 2026 году: Чек-лиск рисков
На практике проверка связывает три контура: Документы — ИТ-инфраструктура — Пользовательский опыт (UX).
Персональные данные (152-ФЗ), приоритет №1
| Блок проверки | Что смотрит инспектор (Документы + Реальность) |
|---|---|
| Политика конфиденциальности на сайте/в приложении | Наличие, доступность (ссылка в футере/форме), актуальность версий. Критично: соответствие текста политики реальным процессам сбора (какие поля форм, какие куки, куда уходят данные). |
| Согласия субъектов ПДн | Форма согласия (бумага/электронный чек-бокс), свободность, конкретность, информированность. Проверяется: можно ли отказаться от «маркетинговых» куки без потери функционала? Где хранятся логи согласий? |
| Локальные нормативные акты (ЛНА) | Политика безопасности, Положение об ИСПДн, Инструкция по инцидентам, Приказ о назначении ответственного, Перечень категорий ПДн и субъектов. Обязательно: подписи ознакомления сотрудников. |
| Оценка уязвимостей и угроз (ОУУ) | Наличие актуального отчета (не старше года или после значимых изменений). Соответствие модели угроз реальной архитектуре ИСПДн. Наличие плана мероприятий по устранению выявленных уязвимостей. |
| Защита от НСД (несанкционированного доступа) | Средства защиты (СЗИ): антивирусы, МЭ, СКЗИ (Континент, КриптоПро и др.), DLP, SIEM. Настройки: сложность паролей, MFA, разграничение доступа (RBAC), шифрование БД/дисков/каналов. |
| Учет обучения персонала | Журналы/протоколы обучения по защите ПДн (не реже 1 раза в год). Проверяется знание сотрудников базовых правил (фишинг, чистый стол, инциденты). |
| Передача данных третьим лицам (Операторам/Подрядчикам) | |
| Уведомление Роскомнадзора | Наличие уведомления (до 2022 г.) или записи в реестре операторов (если нет исключений). Актуальность сведений (адрес, ФИО ответственного, цели). |
| Работа с инцидентами (утечками) | Наличие плана реагирования. Соблюдение сроков уведомления РКН (24 часа с момента обнаружения) и субъектов. Документирование расследования. |
Сфера связи и ИТ (126-ФЗ, КИИ, Криптозащита)
- Лицензирование: соответствие вида деятельности лицензии (телематические услуги, передача голоса, предоставление доступа к интернету).
- КИИ (Критическая инф. инфраструктура): категорирование объекта (1-4 кат.), создание СЗИ КИИ, проведение аудита, уведомление ФСТЭК/РКН.
- Средства криптографической защиты (СКЗИ): лицензии ФСБ на использование, актуальность сертификатов соответствия, учет ключей.
- Рadioчастоты: наличие заключений/разрешений на РЭС (Wi-Fi, ЛПВАН, спутниковые терминалы) при необходимости.
СМИ, блогеры и контент (Закон о СМИ, ФЗ-276 про блогеров)
- Регистрация СМИ / внесение в реестр блогеров (каналы > 10 000 подписчиков).
- Маркировка контента (18+, реклама, иностранный агент).
- Хранение записей передач/публикаций (для СМИ/видеохостингов).
Порядок проведения выездной проверки: Пошаговый сценарий
- Приказ о проверке: Направляется за 3 рабочих дня до начала (вручается под роспись/ЭДО). Содержит: основание, сроки, состав комиссии, перечень вопросов, права и обязанности проверяемого.
- Начало проверки (День 1): Предъявление служебных удостоверений. Ознакомление с приказом. Предоставление рабочего места инспекторам. Выдача требования о предоставлении документов/доступа.
- Сбор доказательной базы (Дни 1–N):
- Запрос ЛНА, договоров, журналов, отчетов ОУУ.
- Осмотр серверной: фото оборудования, схемы сети, настройки МЭ/СКЗИ (скриншоты консолей).
- Интервью: ответственный за ПДн, сисадмин, разработчики (как реализована форма согласия), HR (обучение).
- Проверка «живого» сайта/приложения: DevTools (Network, Application -> Cookies), сравнение с Политикой конфиденциальности.
- Завершение проверки: Составление Акта проверки (в 2-х экземплярах). В акте фиксируются: выявленные нарушения (с ссылками на нормы права) или их отсутствие. Акт подписывается председателем комиссии и представителем проверяемого (можно отказаться — делается отметка).
Типичные нарушения и штрафы (КоАП РФ) — реалии 2026 года
| Нарушение (Ст. КоАП) | Субъект | Штраф (руб.) | Комментарий |
|---|---|---|---|
| 13.11 ч. 1 (Нарушение прав субъектов ПДн) | Юр. лица | 15 000 – 75 000 | Нет согласия, не дают удалить данные, нет политики на сайте. |
| 13.11 ч. 2 (Повторное) | Юр. лица | 100 000 – 300 000 | В течение года после вступления в силу решения по ч. 1. |
| 13.11 ч. 3 (Утечка/НСД — ст. 19 152-ФЗ) | Юр. лица | 500 000 – 1 500 000 | + возможно приостановление обработки на 90 дней (ч. 5.1 ст. 13.11). |
| 13.11 ч. 4 (Неуведомление РКН об утечке) | Юр. лица | 300 000 – 500 000 | Срок 24 часа с момента обнаружения. |
| 19.7.5-2 (Нарушение требований по локализации БД) | Юр. лица | 1 000 000 – 6 000 000 | Хранение ПДн граждан РФ за рубежом без оснований. |
| 19.7.10 (Нарушение правил установки/эксплуатации СКЗИ) | Юр. лица | 100 000 – 500 000 | Нет лицензии ФСБ, просроченные сертификаты. |
| 13.12 (Нарушение законодательства о связи) | Юр. лица | 100 000 – 500 000 | Работа без лицензии, нарушение условий лицензии. |
Доп. меры: Приостановление деятельности сайта/приложения (по решению суда по ходатайству РКН), внесение в реестр нарушителей прав потребителей (для маркетплейсов/агрегаторов).
Алгоритм подготовки компании: «Готовность к вчерашнему дню»
Этап 1: Аудит «Документы vs Реальность» (Gap-анализ)
- Скачайте актуальную Политику конфиденциальности с сайта.
- Пройдите все пользовательские сценарии (регистрация, заказ, обратная связь, личный кабинет) с открытой консолью браузера (F12).
- Сравните: Что написано в политике vs Какие запросы уходят на бэкенд/третьи стороны (Google Analytics, Яндекс.Метрика, CRM, чат-виджеты, CDN).
- Проверьте Cookie-баннер: блокирует ли он аналитику до согласия? Есть ли кнопка «Отклонить все»?
Этап 2: Приведение ИТ-инфраструктуры в соответствие
- Журналирование: Включите аудит входов (успешных/неуспешных), действий админов, изменений прав доступа. Храните логи минимум 1 год (требование ФСТЭК/РКН для КИИ/ОУУ).
- Шифрование: TLS 1.2+ на всех внешних контурах. Шифрование БД (TDE/Column-level) и бэкапов.
- Доступы: Принцип минимальных привилегий. Отзыв доступов у уволенных за 24ч. MFA для админок и VPN.
- Резервное копирование: Регулярность, тест восстановления, хранение в изолированном контуре.
Этап 3: Работа с подрядчиками (Вендорный менеджмент)
- Составьте реестр всех получателей ПДн (процессоров).
- Проверьте доп. соглашения к договорам (условия ст. 28 152-ФЗ).
- Для зарубежных сервисов: оцените адекватность защиты (Art. 12.1 152-ФЗ). Подготовьте аргументацию для РКН, почему передача необходима и безопасна (SCC, ISO 27001, SOC2 вендора).
Этап 4: Обучение и имитация проверки (Red Team / Mock Audit)
- Проведите обучение персонала (зафиксируйте в журнале/ЛМС).
- Сыграйте сценарий: «Пришел инспектор, просит доступ к консоли БД, спрашивает менеджера, где лежат сканы паспортов клиентов».
- Подготовьте «папку для инспектора» (физическую или цифровую): Устав, Лицензии, Приказы о назначении ответственных, Политики, Отчет ОУУ, Договоры с подрядчиками, Журналы обучения, Акт последней инвентаризации СЗИ.
Права и тактика поведения при проверке
Ваши права (ст. 10 Приказа № 312, ст. 50 ФЗ-152):
- Знать основания и цели проверки.
- Ознакомиться с приказом и служебными удостоверениями.
- Предоставлять документы/доступы только в рамках перечня вопросов приказа (инспектор не имеет права «рыбачить» за пределами темы).
- Привлекать экспертов/адвокатов.
- Писать объяснения/возражения в Акт проверки.
- Обжаловать действия инспекторов старшему руководителю или в суд (в течение 3 месяцев).
Рекомендации по тактике:
- Не мешайте, но не помогайте «лишнего». Предоставляйте именно то, что запрошено в требовании (письменно). Устные просьбы фиксируйте: «Напишите, пожалуйста, официальное требование».
- Контроль копирования. Любые изымаемые документы/носители — только по акту изъятия с указанием/hash-сумм файлов.
- Доступ к ИСПДн. Создайте временную учетную запись «inspector_readonly» с правами только на просмотр настроек и логов (не на просмотр самих ПДн клиентов, если это не требуется для проверки механизма защиты). Требуйте протокол доступа.
- Интервью сотрудников. Проведите инструктаж: отвечать по существу, не гадать, говорить «не знаю, уточню у ответственного/в документе Х». Не пускать инспекторов к сотрудникам без сопровождения ответственного лица компании.
- Подписание Акта. Всегда пишите: «С актом ознакомлен(а), не согласен(на) с пунктами X, Y, Z по основаниям… Объяснение прилагаю/направлю в срок». Не отказывайтесь подписывать акт полностью — это лишает возможность зафиксировать несогласие официально.
После проверки: Работа с результатами
- Получение копии Акта: Должна быть вручена в день окончания или направлена за 5 дней.
- Подготовка возражений: 10 рабочих дней на направление в вышестоящее управление Роскомнадзора (или в суд). Аргументируйте ссылками на законы, судебную практику, технические невозможности.
- Исполнение предписания (если вынесено): Срок обычно 10-30 дней. Направляйте отчет об исполнении с доказательствами (скрины настроек, сканы новых приказов, ссылки на обновленную политику).
- Обжалование протокола об Административном правонарушении: Рассматривается коллегией РКН или судом. Срок обжалования, 10 дней с момента вручения решения. Важно: штрафы по 13.11 ч. 3 (утечка) и 19.7.5-2 (локализация) обжалуются только в суде.
Тренды 2026 года: На что обратить внимание прямо сейчас
- Автоматизированный мониторинг: Роскомнадзор внедряет сканеры, автоматически проверяющие сайты на наличие политики, HTTPS, флаги Secure/HttpOnly у куки, соответствие реестру операторов. «Ручной» мониторинг уходит в прошлое.
- Кросс-граничная передача: Жесткий фокус на передачу данных в «неадекватные» юрисдикции. Проверяют не только договоры, но и фактику: куда уходят IP-адреса, Device ID, User ID в телеметрии приложений.
- ИИ и автоматизированное принятие решений: Если вы используете скоринг, рекомендательные системы, модерацию контента ИИ — будьте готовы объяснить логику (ст. 22 152-ФЗ, профилирование).
- Блогеры и медиа: Реестр блогеров (>10к подписчиков) работает в режиме реального времени. Проверяют маркировку рекламы (РКН + ФАС) и хранение логов публикаций.
- КИИ и ГосСОПКА: Интеграция с ГосСОПКА (Государственная система обнаружения, предупреждения и ликвидации последствий компьютерных атак) становится обязательной для субъектов КИИ 1-3 кат. Проверяют настройки передачи событий.
Взаимодействие с Роскомнадзором в 2026 году — это не разовый стресс-тест, а непрерывный процесс управления соответствием (Compliance). Ключ к успеху — устранение разрыва между «бумажными» локальными актами и реальной архитектурой ИТ-систем.
Главные три правила выживания:
- Прозрачность: Пользователь (и инспектор) должен понять, какие данные, зачем и куда уходят, за 3 клика.
- Доказуемость: Любая мера защиты (пароли, шифрование, бэкапы, обучение) должна иметь артефакт: лог, скриншот, подпись, сертификат.
- Управляемость подрядчиков: Вы отвечаете за действия своих процессоров (Яндекс.Метрика, CRM, облачные почты) так же, как за свои.
Проведение регулярных внутренних аудитов (хотя бы раз в квартал) по чек-листу выше стоит в десятки раз дешевле, чем устранение последствий выездной проверки с предписанием и штрафами. Инвестируйте в культуру защиты данных — это лучшая страховка от проблем с регулятором.
Данная статья носит информационный характер и не является юридической консультацией. Нормативная база может меняться. Для решения конкретных вопросов обратитесь к квалифицированным юристам по ИТ-праву и защите персональных данных.