На 08 марта 2026 года ситуация с контролем за соблюдением законодательства о персональных данных (ПДн) в России достигла нового уровня․ Если еще пару лет назад проверки Роскомнадзора были преимущественно реактивными (по жалобам или утечкам), то в 2025–2026 годах мы наблюдаем переход к системному, плановому и в значительной степени автоматизированному надзору․

Для любого бизнеса, который собирает хоть один email, номер телефона, имя клиента или куки-файлы на сайте, игнорирование требований закона № 152-ФЗ «О персональных данных» стало не просто риском, а гарантией получения штрафов и предписаний․ Восприятие защиты ПДн как проблемы исключительно банков, маркетплейсов и медицинских клиник, это опасное заблуждение, которое стоит малому и среднему бизнесу миллионы рублей ежегодно․

Новая реальность: как менялись проверки в 2025–2026 годах

Ключевой тренд последних лет — цифровизация надзорной деятельности; Роскомнадзор внедрил и активно масштабирует автоматизированные информационные системы (АИС), позволяющие удаленно сканировать сайты, приложения и открытые источники на предмет нарушений․

Основные виды проверок на текущий момент:

• Плановые выездные и документарные проверки: Проводятся по утвержденному графику․ С 2021 года введен мораторий на плановые выездные проверки МСБ (малых субъектов предпринимательства), однако документарные проверки (камеральные) по нему не распространяются․ Роскомнадзор присылает требование предоставить документы (политику конфиденциальности, локальные акты, журналы учета) в электронном виде через личный кабинет или ГИС «Проверки»․
• Внеплановые проверки: Инициируются по сигналам: жалобы граждан, сообщения СМИ, данные о утечках ПДн, обращения прокуратуры․ Могут быть выездными․
• Автоматизированный мониторинг (скрининг): Это «невидимый фронт»․ Боты Роскомнадзора ежедневно обходят тысячи ресурсов, проверяя:
  • Наличие и доступность политики конфиденциальности․
  • Наличие согласия на обработку ПДн (чек-боксы в формах)․
  • Корректность информирования субъектов ПДн (статья 18․1 Закона)․
  • Наличие уведомления о назначении оператора ПДн в реестре (если не относится к исключениям);
  • Безопасность передачи данных (HTTPS, флаги Secure/HttpOnly у куки)․
• Расследование инцидентов утечки: При обнаружении утечки в открытом доступе (дампы в сети, настройка открытых бакетов S3, уязвимости API) регулятор инициирует проверку факта соблюдения мер безопасности (ст․ 19 Закона)․

Типичные претензии Роскомнадзора: ТОП-10 ошибок бизнеса

Анализ практики 2025 года показывает, что 80% предписаний и протоколов касаются одного и того же набора нарушений․ Ниже приведен рейтинг самых частых претензий․

Отсутствие или несоответствие Политики конфиденциальности (ст․ 18․1 Закона № 152-ФЗ)

Самая частая статья․ Претензии возникают, если:

• Политики нет на сайте/в приложении или ссылка на нее битая․
• Текст шаблонный («рыба»), не отражающий реальные процессы: какие именно данные собираются, для каких целей, на каких основаниях, кому передаются, сроки хранения, права субъектов․
• Нет информации о переграничной передаче данных (если используются Google Analytics, Meta Pixel, Amplitude, облачные CRM за рубежом)․
• Политика скрыта в футере мелким шрифтом или недоступна до момента ввода данных пользователем․

Нарушение процедуры получения согласия (ст․ 9, 22 Закона)

• Предварительно установленные галочки (pre-ticked boxes) — прямо запрещены судебной практикой и разъяснениями регулятора․
• Отсутствие раздельного согласия на разные цели (маркетинг, аналитика, выполнение договора)․
• Согласие получено, но нет доказательной базы (логи, скриншоты версии формы, IP, timestamp) — невозможно доказать факт получения при проверке․
• Использование «тихих» согласий через пользовательское соглашение («продолжая пользоваться сайтом, вы соглашаетесь․․․») — недействительно․

Отсутствие уведомления в Реестре операторов ПДн (ст․ 22 Закона)

Многие малые компании считают, что они освобождены от уведомления․ Важно: Исключение (п․ 2 ст․ 22) действует только если обработка осуществляется исключительно в рамках трудовых отношений или по договору с субъектом ПДн без использования средств автоматизации (т․е․ на бумаге)․ Если у вас есть CRM, Excel-база клиентов, рассылки по email — уведомление обязательно․ Штраф за отсутствие, до 15 000 руб․ для юрлиц (ст․ 19․7 КоАП), но чаще это повод для глубокой проверки остального․

Несоответствие целей обработки реальным действиям (принцип целевого назначения, ст․ 5 Закона)

Пример: в политике написано «обработка для исполнения договора», а на деле email клиента попадает в базу для рассылок, ретаргетинга в Яндекс/ВК и передается партнерам без отдельного согласия․ Это квалифицируется как незаконная обработка․

Нарушение режима хранения и уничтожения ПДн (ст․ 21 Закона)

• Данные хранятся «навсегда» без обоснования срока․
• Отсутствует локальный акт (Политика хранения/уничтожения) и журнал уничтожения․
• Резервные копии (бэкапы) хранятся дольше основных баз без шифрования и контроля доступа․

Недостаточные меры информационной безопасности (ст․ 19 Закона, Постановление Правительства № 1119)

В 2025–2026 гг․ проверяется не формальное наличие приказа «О защите ПДн», а реальная реализация модели угроз:

• Отсутствие инвентаризации ИСПДн (информационных систем ПДн) и определения уровня защищенности (УЗ 1–4)․
• Нет средств защиты от НСД (несанкционированного доступа): антивирус, МЭВ, контроль целостности, SIEM/логгирование․
• Слабая парольная политика, отсутствие МФА (двухфакторки) для админок и удаленного доступа․
• Открытые порты БД, дефолтные пароли на панелях управления хостингом/сервером․
• Отсутствие шифрования при передаче (TLS 1․2/1․3) и хранении чувствительных данных․

Нарушение прав субъектов ПДн (гл․ 4 Закона)

• Игнорирование запросов на удаление («право на забвение»), исправление, предоставление данных․
• Пропуск сроков ответа (30 дней на предоставление, 10 дней на уведомление о продлении, 7 дней на удаление при отзыве согласия)․
• Отсутствие удобного канала связи для реализации прав (нет email ДПО, нет формы на сайте)․

Передача данных третьим лицам без оснований (ст․ 6, 9 Закона)

• Передача в CRM, сервисы рассылок, колл-трекинг, аналитику без оформления договора о поручении обработки (ДПО) с обязательными условиями (п․ 2 ст․ 22 Закона)․
• Передача данных за границу (Google, Meta, AWS, Slack, Notion и др․) без оценки адекватности защиты или заключения Стандартных договорных условий (СДУ) / получения нотариально заверенного согласия субъекта․

Отсутствие или некорректное назначение ДПО (Должностного лица по защите ПДн)

• ДПО не назначен (приказ отсутствует)․
• ДПО назначен формально (уволенный сотрудник, человек без компетенций, без доступа к процессам)․
• Сведения о ДПО не опубликованы на сайте/в реестре (ФИО, контактный телефон/email)․

Нарушения на этапе сбора данных через сайт/приложение (технические)

• Сбор ПДн до получения согласия (срабатывание пикселей, отправка лидов в CRM до нажатия чек-бокса)․
• Куки-файлы маркетинга/аналитики устанавливаются до согласия (нарушение ст․ 18․1 и рекомендаций Роскомнадзора по куки)․
• Отсутствие атрибутов Secure, HttpOnly, SameSite у сессионных куки․
• Формы ввода ПДн (логин, пароль, карта) на HTTP-страницах․

Санкции 2026 года: чем грозит несоответствие

Штрафы по ст․ 19․7 КоАП РФ индексируются, но главное — меняется практика наложения:

Нарушение	Штраф для должностных лиц	Штраф для юрлиц	Комментарий
Нарушение прав субъектов ПДн (ст․ 19․7 ч․ 1 КоАП)	3 000 – 5 000 руб․	15 000 – 75 000 руб;	За каждое нарушение (каждый запрос, каждое отсутствие согласия)
Отсутствие уведомления в реестр (ч․ 2)	1 000 – 2 000 руб․	5 000 – 15 000 руб․
Нарушение режима защиты ПДн (ч․ 3) — утечка/небезопасность	10 000 – 20 000 руб․	50 000 – 150 000 руб․	При повторном — до 500 000 руб․ или приостановка деятельности до 90 дней
Неисполнение предписания Роскомнадзора (ст․ 19․7․1 КоАП)	20 000 – 30 000 руб․	100 000 – 300 000 руб․	Новая статья, применяется активно с 2024 г․
Повторные нарушения (в течение года)	До 40 000 – 50 000 руб․	До 1 000 000 руб․ или приостановка до 90 суток	Приостановка деятельности — реальная мера для e-commerce и IT

Важно: Роскомнадзор все чаще использует инструмент блокировки ресурсов (по решению суда) при систематическом игнорировании предписаний об устранении нарушений, касающихся прав граждан (удаление данных, предоставление информации)․

Чек-лист подготовки к проверке: что сделать прямо сейчас (Q1 2026)

1. Аудит ИСПДн: Составьте реестр всех систем, где есть ПДн (сайт, CRM, 1С, почта, мессенджеры, бэкапы, тестовые стенды)․ Определите Уровень защищенности (УЗ) для каждой по Постановлению № 1119․
2. Документальная база (Пакет 152-ФЗ):
   • Приказ о назначении ДПО (с публикацией контактов на сайте)․
   • Политика конфиденциальности (актуальная, публичная, понятная)․
   • Локальные акты: Порядок обработки ПДн, Модель угроз, Перечень мер защиты, Инструкция по инцидентам, Политика хранения/уничтожения․
   • Журналы: учета носителей, доступа, инцидентов, уничтожения, запросов субъектов․
   • Договоры поручения обработки (ДПО) со всеми контрагентами (хостинг, CRM, рассылки, колл-центр, аутсорс бухгалтерии)․
3. Техническая защита (соответствие УЗ):
   • Настроен HTTPS (TLS 1․2+), HSTS, CSP заголовки․
   • МФА для всех админок, VPN, SSH․
   • Шифрование БД и бэкапов (LUKS, BitLocker,Transparent Data Encryption)․
   • Антивирус / EDR на серверах и рабочих станциях ДПО/админов․
   • Логгирование событий безопасности (входы, ошибки, изменения прав) с хранением ≥ 6 мес․ (SIEM / Wazuh / ELK)․
   • Регулярное сканирование уязвимостей (OpenVAS, Nessus) и пентэст (раз в год для УЗ 1-2)․
4. Работа с согласиями и формами:
   • Чек-боксы не проставлены по умолчанию․
   • Текст согласия ссылается на конкретную Политику и цели․
   • Техническое логирование факта согласия (версия формы, IP, User-Agent, timestamp, hash согласия)․
   • Cookie-баннер: блокировка маркетинговых/аналитических скриптов до согласия (Google Consent Mode v2, Яндекс․Метрика с согласием)․
5. Переграничная передача: Проведите аудит всех SaaS-сервисов․ Для зарубежных — оформите СДУ (Standard Contractual Clauses) или получите нотариальное согласие субъектов․ Проверьте адекватность защиты у получателя․
6. Готовность к запросу Роскомнадзора: Назначьте ответственного за взаимодействие․ Подготовьте шаблон ответа на требование предоставить документы (срок 10 рабочих дней)․ Проверьте доступ к личному кабинету в ГИС «Проверки» и на портале Роскомнадзора․

Особенности проверки сайтов и онлайн-сервисов в автоматическом режиме

С 2025 года Роскомнадзор использует сканеры, эмулирующие поведение пользователя․ Они проходят воронку: Лендинг → Форма лида → Спасибо-страница → CRM․

Что бот проверяет за секунды:

• Есть ли ссылка на Политику в футере и рядом с формой?
• Есть ли чек-бокс согласия? Не проставлен ли он по умолчанию?
• Уходит ли запрос в CRM/Аналитику до нажатия кнопки «Отправить» (событие input, change)?
• Ставятся ли куки _ga, _ym_uid, _fbp до взаимодействия с баннером?
• Есть ли у сайта валидный TLS-сертификат? Нет ли смешанного контента (Mixed Content)?
• Доступен ли /robots․txt, /sitemap․xml, нет ли открытых /․git, /․env, бэкапов ․sql, ․zip в корне?

Результат: Автоматически формируется протокол или направляется требование об устранении нарушений․ Игнорирование автоматизированного предписания влечет ст․ 19․7․1 КоАП․

Резюме: Стратегия выживания и развития

В 2026 году защита персональных данных — это не «галочка для инспектора», а операционная гигиена, сравнимая с бухгалтерией или охраной труда․ Стоимость приведения в порядок (аудит + документы + настройка сайта/серверов) для МСБ составляет обычно от 50 до 200 тыс․ руб․ разово + поддержка․ Штрафы, приостановка бизнеса, репутационные потери от утечки и претензии клиентов (ст․ 15 Закона — возмещение ущерба и морального вреда) стоят на порядки дороже․

Главные принципы подхода «Compliance by Design»:

1. Минимизация: Не собирайте то, что не нужно для бизнеса прямо сейчас․
2. Прозрачность: Пишите в Политике правду о процессах, а не копипастите шаблоны․
3. Управляемость: Знайте, где лежат данные, кто имеет доступ, когда они удалятся․
4. Доказуемость: Логируйте согласия, инциденты, ответы на запросы, обновления ПО․
5. Непрерывность: Проводите внутренний аудит раз в квартал, обучайте сотрудников (фишинг, чистый стол, инциденты) раз в полгода․

---

Действуйте проактивно․ Следующая автоматическая волна сканирования Роскомнадзора может пройти по вашему сайту сегодня ночью․ Лучше потратить день на аудит форм и куки, чем месяц на обжалование протокола и оплату штрафов․

Материал подготовлен на основе практики применения Закона № 152-ФЗ, Постановления Правительства РФ № 1119, КоАП РФ, разъяснений Роскомнадзора и судебной практики на 2025–2026 годы․