Многие собственники бизнеса ошибочно полагают, что проверки Роскомнадзора по вопросам персональных данных касаются в основном крупных корпораций, банков или госорганизаций․ На практике это не так․ Контролирующий орган обращает внимание на любого оператора, обрабатывающего персональные данные (ПДн), независимо от масштабов деятельности․ С 2025–2026 годов требования ужесточились, штрафы выросли, а порядок уведомлений кардинально изменился․ В этой статье подробно разберем, как проходят проверки, на что обращают внимание инспекторы и как правильно подготовить уведомление, чтобы избежать санкций․

Законодательная база и ключевые изменения 2025–2026 годов

Основным документом регулирующим сферу является Федеральный закон № 152-ФЗ «О персональных данных»․ В 2025 году вступили в силу значительные поправки, которые каждый оператор обязан знать:

• Универсальная обязанность уведомлять: Теперь операторы должны уведомлять Роскомнадзор о начале или осуществлении любой обработки персональных данных, за исключением случаев, прямо предусмотренных ч․ 2 ст․ 22 152-ФЗ (например, обработка в рамках трудового договора без автоматизации и т․д․)․
• Сроки внесения в реестр: Роскомнадзор в течение 30 дней с даты поступления уведомления проводит анализ информации и переносит её в единый цифровой реестр операторов․
• Рост штрафов: Штрафы за нарушения в сфере персональных данных выросли в десятки раз (до 60 раз по сравнению с прежними нормами)․ Даже хранение резюме без должного согласия может стать основанием для проверки и крупного штрафа․
• Мораторий не защищает: Если Роскомнадзор выявит более трех расхождений между документами (политикой на сайте, уведомлением, реальными процессами), ему вправе назначить контрольную (выездную) проверку․ На такие проверки мораторий на проверки малого и среднего бизнеса не распространяется․

Виды проверок Роскомнадзора

Понимание типа проверки определяет стратегию поведения и подготовку документов․

Камеральные проверки (Документарные)

Проводится без выезда к оператору․ Инспекторы анализируют информацию из открытых источников и реестров:

• Сведения из Реестра операторов ПДн (проверка актуальности поданного уведомления)․
• Контент официального сайта оператора (Наличие и актуальность Политики обработки ПДн, форм согласий, информационных сообщений)․
• Ранее поданные уведомления и отчеты․
• Жалобы граждан (в 2025 году Роскомнадзор получил более 100 тыс․ жалоб жителей России на действия операторов)․

Главный триггер: Выявление расхождений между уведомлением в реестре и реальной картиной на сайте/в документах․

Выездные (Контрольные) проверки

Назначаются при наличии оснований (ст․ 23 152-ФЗ)․ Чаще всего основанием становится:

1. Обнаружение более трех расхождений при камеральной проверке․
2. Обработка ПДн без уведомления (или с ошибками в уведомлении)․
3. Жалобы субъектов ПДн на нарушение прав (рассылки спама, утечки данных, отказ в удалении)․

Сотрудники Роскомнадзора вправе приехать и проверить полностью всю деятельность, связанную с персональными данными: от серверных комнат и ИСПДн до бумажных журналов и договоров с подрядчиками․

Внеплановые проверки

Инициируются по сигналам: жалобы пользователей на сайт/рассылку, сообщения СМИ о утечках, обращения других госорганов (прокуратуры, ФСБ, ФСТЭК)․

Уведомление Роскомнадзора: процедура, ошибки и проверка статуса

Подача уведомления — это не формальность, а основной документ, на который ориентируются инспекторы при любой проверке․ При проверке инспекторы будут сравнивать уведомление с реальными процессами обработки․

Когда и как подавать

• Срок: Уведомление должно быть направлено до начала обработки ПДн (если не подпадаете под исключения ч․ 2 ст․ 22 152-ФЗ)․
• Форма: Исключительно в электронном виде через Портал персональных данных Роскомнадзора (pd․rkn․gov․ru)․ Бумажные уведомления по почте не принимаются / не являются основным способом․
• Исключение — неавтоматизированная обработка: Если бизнес обрабатывает ПДн только неавтоматизированно (бумажные карточки, журналы без ПК), уведомление подавать не нужно․ Важно: хранение данных на компьютере (Excel, 1С, CRM) уже считается автоматизированной обработкой․

Типовые ошибки при заполнении (приводящие к расхождениям)

1. Неполный перечень категорий субъектов и ПДн: Указали «клиенты», но забыли «сотрудников», «кандидатов на вакансии» (резюме), «посетителей сайта» (cookies, IP, формы обратной связи)․
2. Расхождение целей обработки: В уведомлении цель «исполнение договора», а на сайте в Политике — «маркетинг», «улучшение сервиса», «аналитика» без отдельных согласий․
3. Неверное указание ИСПДн: Не указаны все информационные системы (сайт, CRM, почта, 1С, облачные хранилища, мессенджеры для работы)․
4. Отсутствие сведений о переграничной передаче: Использование зарубежных сервисов (Google Analytics, Zoom, зарубежные хостинги, CRM) требует указания стран-получателей и оснований передачи․
5. Неактуальные данные оператора: Сменился юр․адрес, генеральный директор, наименование, уведомление не обновлено в течение 30 дней․

Как проверить статус уведомления

После подачи оператор обязан отслеживать статус․ Сделать это можно тремя способами:

• На Портале ПДн (Личный кабинет): Статус «Принято», «На рассмотрении», «Отклонено» (с указанием причин)․
• Публичный реестр операторов: https://pd․rkn․gov․ru/operators-registry/operators-list/․ Достаточно ввести ИНН организации․ Если записи нет, уведомление не принято или не внесено в реестр․
• Через Госуслуги (ЕСИА): Для уполномоченных представителей доступна проверка статуса в личном кабинете организации на портале Госуслуг․

Важно: Если уведомление подано, но в реестре организации нет по истечении 30 дней — необходимо писать обращение в техподдержку портала или направлять официальное письмо в Роскомнадзор․

Подготовка к проверке: Чек-лист документов (Аудит 152-ФЗ)

Эксперты (в т․ч․ Удостоверяющий центр Контура, ЭНСАЙН) рекомендуют проводить внутренний аудит ежегодно․ Пакет документов, который запрашивают инспекторы:

Группа документов	Ключевые позиции для проверки
Уведомительная документация	Копия поданного уведомления (PDF с ЭП), выписка из реестра операторов, уведомления об изменениях (если были)․
Локальные нормативные акты (ЛНА)	Политика обработки ПДн (опубликованная на сайте), Положение об ИСПДн, Инструкция по защите ПДн, Журналы учета носителей, Журналы доступа, Порядок реагирования на инциденты․
Документы по субъектам ПДн	Формы согласий (клиенты, сотрудники, соискатели), Уведомления субъектов о правах, Протоколы ознакомления сотрудников с ЛНА под роспись․
Организационно-технические меры	Акт категорирования ИСПДн (1-4 уровень), Акт аттестации ИСПДн (для 1-3 уровней), Схема ИСПДн, Сертификаты ФСТЭК/ФСБ на СЗИ (если применимо), Договоры с подрядчиками (операторами от имени) с условиями 152-ФЗ․
Учет и контроль	Журнал инцидентов (утечек), Журнал запросов субъектов ПДн (на удаление, доступ, исправление) и ответов на них в срок (30 дней)․

Главные «красные флаги», на которые смотрит Роскомнадзор

Анализ практики проверок показывает топ-5 нарушений, влекущих штрафы и предписания:

1. Отсутствие уведомления или ошибки в нем․ Самое частое основание для штрафа по ст․ 19․7 КоАП РФ (для юрлиц — до 6 млн руб․ за повторное нарушение)․
2. Расхождения между Политикой на сайте и Уведомлением․ Критический порог — 3 расхождения․ Например: в уведомлении нет категории «IP-адреса», а в Политике есть; в уведомлении цель «маркетинг» без согласия, а рассылки идут․
3. Обработка без согласия там, где оно обязательно․ Маркетинговые рассылки, использование cookies/метрики без баннера согласия, передача данных партнерам без оферты/договора․
4. Нарушение прав субъектов․ Игнорирование запросов на удаление/доступ (срок ответа — 30 календарных дней), отсутствие возможности отозвать согласие простым способом․
5. Отсутствие мер защиты (ИСПДн «голые»)․ Нет паролей, шифрования, разграничения доступа, бэкапов, антивирусов, журналов событий безопасности․

Алгоритм действий, если пришел запрос или инспектор

Сценарий А: Получен запрос на предоставление документов (Камеральная проверка)

1. Не игнорируйте․ Срок ответа обычно 10–30 дней․
2. Предоставьте только запрошенные документы․ Не сдавайте всё подряд․
3. Перед отправкой сверьте уведомление, Политику сайта и реальные процессы․ Устраните расхождения (подайте изменение уведомления, обновите Политику)․
4. Ответ направляйте официально (ЭДО, почта России с описью, портал ведомственного взаимодействия)․

Сценарий Б: Выездная проверка (Приезд инспекторов)

1. Проверьте служебные удостоверения и приказ о проверке (обязателен для выездных)․
2. Назначьте ответственного сотрудника (ДПО или юриста) для сопровождения․
3. Предоставляйте доступ к серверам, базам, журналам только в присутствии ответственного лица и по акту․
4. Не препятствуйте проверке (это отдельная статья КоАП), но не давайте копировать документы, не указанные в приказе․
5. По итогам — изучите акт проверки, подготовьте возражения в 10-дневный срок, оспаривайте предписание в суде при необходимости․

Роль профессиональной помощи (Контур, ЭНСАЙН, УЦ и др․)

Тонкостей в работе с ПДн очень много: определение категории ИСПДн, выбор СЗИ, оформление переграничной передачи, работа с биометрией/спецкатегориями․ Ошибка на этапе уведомления стоит дорого․

Профессиональные операторы (например, Контур, Удостоверяющий центр Контура, эксперты ЭНСАЙН) помогают:

• Провести полный аудит текущего состояния (GAP-анализ)․
• Собрать и подготовить пакет документов для уведомления․
• Подать уведомление через Портал ПДн от имени оператора (по доверенности/ЭП)․
• Подготовить ЛНА (Политику, Положения, Инструкции) под реальные бизнес-процессы․
• Сопроводить проверку Роскомнадзора (юридическая поддержка, общение с инспекторами)․

Резюме: Главные правила выживания

✅ Чек-лист безопасности:

• Уведомили заранее․ Подали уведомление на Портале ПДн до старта обработки․
• Сверяем реестр․ Раз в квартал проверяем свой ИНН на pd․rkn․gov․ru․
• Синхронизируем документы․ Уведомление = Политика сайта = Реальность = Договоры с подрядчиками․ Нет расхождений (0 шт․)․
• Есть согласия․ На маркетинг, cookies, передачу третьим лицам — только с явным согласием (галочка/кнопка)․
• Защищаем ИСПДн․ Категоризация, пароли, шифрование, бэкапы, антивирус, журнал доступа, минимальный набор для 4-го уровня․
• Работаем с запросами․ Отвечаем субъектам ПДн в течение 30 дней, ведем журнал запросов․
• Обновляем вовремя․ Любые изменения (адрес, директор, новые цели, новые системы) — вносим изменения в уведомление в течение 30 дней․

Защита персональных данных перестала быть «бумажной» темой․ Это операционный риск с прямыми финансовыми последствиями․ Системный подход: Аудит → Уведомление → ЛНА → Техзащита → Контроль — единственный способ спать спокойно при любых проверках Роскомнадзора․

---

Статья подготовлена на основе актуальной законодательной базы (152-ФЗ, КоАП РФ), практики применения норм на 2025–2026 гг․ и открытых данных Портала персональных данных Роскомнадзора․ Материал носит информационный характер и не является правовым консультированием․ Для решения конкретных вопросов обратитесь к специалистам по защите ПДн․