В эпоху цифровизации экономики и повсеместного перехода бизнес-процессов в онлайн-среду, защита персональных данных (ПД) перестала быть исключительно технической задачей. Это ключевой элемент правового риск-менеджмента любой организации. В Российской Федерации основным регулятором в этой сфере выступает Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор).

Данная статья подробно разбирает полномочия ведомства, виды проверок, основные нарушения, практику применения санкций и алгоритм действий оператора при взаимодействии с инспекторами.

Правовая основа деятельности Роскомнадзора

Деятельность Роскомнадзора по надзору за соблюдением законодательства о персональных данных регламентируется рядом нормативных актов:

• Федеральный закон от № 152-ФЗ «О персональных данных», базовый закон, определяющий понятия, принципы, права субъектов и обязанности операторов.
• Федеральный закон от № 294-ФЗ «О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля» — регулирует процедуры проведения проверок (плановых и внеплановых), профилактические визиты и меры предупреждения.
• Кодекс Российской Федерации об административных правонарушениях (КоАП РФ) — статьи 13.11 (нарушение законодательства о персональных данных), 13.11.1 (неисполнение предписания), 19.7.5-2 (нарушение требований по локализации баз данных) и др.
• Постановления Правительства РФ (например, № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»).
• Приказы ФСТЭК и ФСБ — устанавливают технические требования к средствам защиты информации (СЗИ) и порядок аттестации объектов информатизации.

Полномочия Роскомнадзора в сфере ПДн

Согласно ст. 22 закона № 152-ФЗ, Роскомнадзор осуществляет функции уполномоченного органа по защите прав субъектов персональных данных. К его ключевым полномочиям относятся:

1. Ведение реестра операторов персональных данных. Прием уведомлений о начале обработки ПД (кроме исключенных законом случаев) и ведение открытого реестра.
2. Разъяснительная работа. Публикация рекомендаций, методических материалов, ответов на частые вопросы (FAQ), проведение вебинаров.
3. Осуществление контроля (надзора). Проведение плановых и внеплановых проверок, профилактических визитов, запрос документов и информации.
4. Рассмотрение жалоб субъектов ПД. Реакция на обращения граждан о нарушении их прав (незаконный сбор, отказ в доступе/удалении, утечка данных).
5. Применение мер ответственности. Выдача предписаний об устранении нарушений, составление протоколов об административных правонарушениях, рассмотрение дел, наложение штрафов.
6. Блокировка доступа к ресурсам. В случаях системного нарушения законодательства (ст. 15.1 Закона № 152-ФЗ) — обращение в суд с требованием ограничить доступ к сайту/приложению.
7. Международное сотрудничество. Взаимодействие с зарубежными регуляторами (например, в рамках Конвенции 108, АПЕК CBPR).

Виды проверок: плановые, внеплановые и профилактические визиты

С вступлением в силу Закона № 294-ФЗ в новой редакции (с 2021 года) классификация и правила проведения проверок существенно изменились.

Плановые проверки

• Основание: План проверок утверждается Роскомнадзором на год вперед и публикуется на официальном сайте.
• Критерий риска: Проверяются только субъекты с высокой категорией риска. Категория риска определяется по критериям, утвержденным Приказом Роскомнадзора (число субъектов ПД, наличие утечек, жалобы, отрасль деятельности и т.д.).
• Частота: Не чаще одного раза в 3 года для высокорисковых объектов.
• Уведомление: За 3 рабочих дня до начала проверки оператору направляется уведомление (через личный кабинет на Госуслугах или почтой).
• Срок: Обычно до 20 рабочих дней (может продлеваться до 10 дней руководителем ведомства).

Внеплановые проверки

Проводится без включения в план. Основания (ст. 9 Закона № 294-ФЗ):

• Жалобы субъектов персональных данных (граждан).
• Сообщения СМИ о нарушениях (утечках данных).
• Информация от других госорганов (прокуртура, МВД, ФСБ, ФНС).
• Неисполнение предписания, выданного по итогам предыдущей проверки.
• Выявление признаков незаконной обработки ПД при мониторинге открытых источников.

Важно: Внеплановая проверка требует согласия прокурора (кроме случаев, связанных с защитой конституционного строя или предупреждением катастроф). Срок — до 10 рабочих дней (продление до 5 дней).

Профилактические визиты

• Цель: Профилактика нарушений, консультация оператора, проверка готовности к соблюдению требований.
• Особенность: Не влекут за собой административной ответственности. По итогам составляется акт профилактического визита с рекомендациями.
• Срок: Не более 1 рабочего дня.
• Частота: Не чаще 1 раза в год.

Камеральные проверки (взаимодействие дистанционно)

Проводятся на основе анализа документов, предоставленных оператором по запросу Роскомнадзора, или информации из открытых источников (сайт компании, реестр уведомлений, политики конфиденциальности). Не требуют выезда инспекторов в офис.

Чек-лист: что проверяет Роскомнадзор (основные пункты)

При любой проверке инспекторы оценивают соответствие организации требованиям ст. 19, 21, 22 Закона № 152-ФЗ и Постановлению № 1119. Ключевые зоны внимания:

Процедура проведения выездной проверки: пошаговый алгоритм

1. Предъявление документов. Инспекторы предъявляют служебные удостоверения и указание (приказ) на проведение проверки, подписанное руководителем Роскомнадзора (или заместителем). Проверьте: срок действия, ФИО инспекторов, перечень вопросов, адрес проверяемого объекта.
2. Ознакомление с правами и обязанностями. Инспектор обязан разъяснить права оператора (знакомиться с указанием, пользоваться помощью переводчика, адвоката, специалиста, отказываться от предоставления документов, не относящихся к проверке, обжаловать действия).
3. Запрос документов. Инспекторы составляют требование о предоставлении документов (бумажных или электронных). Оператор обязан предоставить их в установленный срок (обычно в течение проверки или 5-10 дней). Важно: Требуют только документы, относящиеся к предмету проверки.
4. Осмотр помещений / доступа к ИС. Инспекторы могут осматривать серверные, рабочие места, запрашивать демонстрацию работы ИСПДн (логи доступа, настройки прав, настройки DLP/СИЕМ). Отказ в доступе может быть зафиксирован как препятствование (ст. 19.5 КоАП РФ).
5. Опрос сотрудников. Инспекторы имеют право опрашивать лиц, участвующих в обработке ПД (администраторов БД, HR, менеджеров по продажам). Опрос проводится добровольно, протокол подписывается опрашиваемым.
6. Составление акта проверки. По итогам составляется Акт проверки (для плановых/внеплановых) или Акт профилактического визита. Акт подписывается инспекторами и представителем оператора. Вы имеете право не подписывать акт, если не согласны, и написать мотивированное мнение (возражения) прямо в акте или приложить отдельным листом.
7. Направление акта. Акт направляется оператору в течение 5 рабочих дней после окончания проверки.
8. Обжалование. Акт можно обжаловать в вышестоящее управление Роскомнадзора или в суд в течение 10 дней со дня получения.

Меры ответственности и санкции (2024–2025 гг.)

За последние годы размер штрафов многократно увеличивался. Актуальные суммы по КоАП РФ (ст. 13.11 и др.):

Статья 13.11 КоАП РФ (Основные нарушения)

• Ч. 1: Нарушение порядка обработки ПД (отсутствие согласия, несоответствие целей, отсутствие ЛНА/политики).
  • Должностные лица: 3 000 – 10 000 руб.
  • Юридические лица: 15 000 – 75 000 руб. (до 2021 г. было 15–75 тыс., сейчас минимум 15 тыс., но на практике часто назначают выше минимума).
• Ч. 2: Нарушение прав субъектов (отказ в доступе, уточнении, удалении, нарушение сроков ответа на запрос).
  • Должностные лица: 5 000 – 20 000 руб.
  • Юридические лица: 50 000 – 100 000 руб.
• Ч. 3: Нарушение требований к защите ПД (отсутствие мер по ст. 19, Пост. № 1119 — модель угроз, роли доступа, шифрование и т.д.).
  • Должностные лица: 10 000 – 20 000 руб.
  • Юридические лица: 100 000 – 300 000 руб.
• Ч. 4: Нарушение требований локализации (ст. 18 ч. 5 Закона № 152-ФЗ).
  • Должностные лица: 20 000 – 30 000 руб.
  • Юридические лица: 1 000 000 – 6 000 000 руб. (миллионы рублей!).
• Ч. 5: Повторное совершение нарушений (в течение года после вступления в силу решения).
  • Юридические лица: 300 000 – 500 000 руб. (по ч. 1-3) или 3 000 000 – 18 000 000 руб. (по ч. 4 — локализация).

Статья 13.11.1 КоАП РФ, Неисполнение предписания

• Юридические лица: 100 000 – 300 000 руб.
• При повторном — 300 000 – 500 000 руб. или приостановка деятельности до 90 суток.

Статья 19.5 КоАП РФ — Препятствование проверке

• Юридические лица: 50 000 – 100 000 руб. (отказ в доступе к помещениям/документам/ИС).

Статья 19.7.5-2 КоАП РФ, Нарушение требований по локализации (для ИТ-гигантов/соцсетей)

Штрафы до 1/50 – 1/10 части дохода на территории РФ (для компаний с аудиторией > 500 тыс. пользователей в сутки).

Практика применения: на что обращает внимание суд

Операторы часто обжалуют решения Роскомнадзора в судах (АС РФ). Ключевые правовые позиции, сложившиеся в судебной практике:

• Принцип соразмерности: Суды могут снижать штрафы, если нарушение незначительное, не повлекло утечки, устранено добровольно до суда, у компании нет доходов (стартапы). Однако по ч. 4 ст. 13.11 (локализация) суды крайне редко снижают штраф ниже минимума (1 млн руб.).
• Доказательная база: Роскомнадзор должен доказать факт нарушения. Ссылки на «отсутствие документа» недостаточно, нужно доказать, что документ обязателен для данного оператора (например, модель угроз обязательна для всех ИСПДн, но уровень детализации зависит от класса защищенности).
• Связь нарушения и последствий: Штрафы по ч. 3 ст. 13.11 (защита) часто назначают только при наличии инцидента (утечки). Если утечки не было, но меры слабые — могут ограничиться предписанием или штрафом по ч. 1 (общее нарушение порядка).
• Политика конфиденциальности на сайте: Отсутствие политики или ее несоответствие реальной обработке — почти гарантированный штраф по ч. 1 ст. 13.11 (50–75 тыс. руб. для юрлица).
• Запросы субъектов: Суды строго следят за соблюдением 30-дневного срока. Отказ в предоставлении данных без законного основания (ст. 18, 21), грубое нарушение.

Подготовка к проверке: проактивная стратегия комплаенса

Лучшая защита, подготовка до прихода инспекторов. Рекомендуемый план действий:

1. Аудит текущего состояния (Gap-анализ). Привлеките профильного юриста/ДПО (Data Protection Officer) или внешнего консультанта для проверки соответствия ст. 19, 21, 22 Закона № 152-ФЗ и Пост. № 1119.
2. Приведение документации в порядок:
   • Актуализируйте уведомление в реестре (или подтвердите право на исключение).
   • Разработайте/обновите ЛНА (Политику конфиденциальности), она должна быть «живой», отражать реальные процессы.
   • Оформите Приказ о назначении ответственного за обработку ПД (ДПО).
   • Составьте Перечень категорий субъектов и ПД, Перечень операций обработки, Карту потоков данных (Data Flow Map).
3. Работа с согласиями: Аудит форм сбора на сайте/в приложении/бумажных анкетах. Внедрение гранулярных согласий (отдельно на маркетинг, отдельно на исполнение договора). Настройка механизма отзыва согласия (unsubscribe / личный кабинет).
4. Техническая защита (Пост. № 1119):
   • Проведите инвентаризацию ИСПДн.
   • Разработайте Модель угроз (для 1-3 класса защищенности — обязательно аттестация ФСТЭК, для 4 класса — своя модель).
   • Настройте разграничение доступа (RBAC), минимальные привилегии.
   • Внедрите средства защиты: антивирус, межсетевой экран, DLP (контроль утечек), СИЕМ (мониторинг событий), шифрование БД и бэкапов, MFA для админов/VPN.
   • Организуйте регулярное резервное копирование и тестирование восстановления.
5. Процесс реагирования на инциденты: Утвердите Регламент реагирования на инциденты безопасности. Обучите ответственных. Настройте мониторинг утечек (в т.ч. в даркнете).
6. Обеспечение прав субъектов: Настройте почтовый ящик/форму для приема запросов (pd@company.ru). Регламентируйте внутренний процесс обработки запроса за 30 дней. Подготовьте шаблоны ответов.
7. Работа с подрядчиками: Проверьте все договоры с подрядчиками (облака, CRM, колл-центры, маркетинговые агентства) на наличие условий ст. 28 Закона № 152-ФЗ (обязанности по защите, запрет суборенды без согласия, уведомление об инцидентах).
8. Локализация: Если собираете ПД граждан РФ через интернет, убедитесь, что мастер-база (primary) находится в РФ. Репликация за рубеж допускается только при соблюдении адекватности.
9. Обучение персонала: Регулярные инструктажи (раз в год и при приеме на работу) по защите ПД. Журналы инструктажей — обязательный документ для проверки.
10. Внутренний контроль: Проведите внутреннюю ревизию (mock-аудит) за 1-2 месяца до возможной плановой проверки (если вы в реестре высокого риска).

Роль ДПО (Data Protection Officer) / Ответственного за обработку ПД

Согласно ст. 22.1 Закона № 152-ФЗ, оператор обязан назначить лицо, ответственное за организацию обработки ПД (ДПО).

• ФИО ДПО должны быть опубликованы в Политике конфиденциальности и указаны в уведомлении в реестре.
• ДПО — ключевая фигура при проверке: именно с ним инспекторы будут общаться, запрашивать документы, разбирать инциденты.
• ДПО должен иметь реальные полномочия и доступ к руководству, а не быть «формальным» HR-менеджером или сисадмином без юридической подготовки. На практике оптимально — юрист с техническим бэкграундом или команда «юрист + техспец».

Тенденции 2024–2025 гг.: на что делает ставку Роскомнадзор

1. Биометрия и ИИ: Жесточайший контроль за сбором биометрических данных (распознавание лиц, голосовые ассистенты). Требование явного, информированного, раздельного согласия. Проверка соответствия ФЗ-572 (об ЕБС).
2. Детские данные: Приоритет проверки операторов, обрабатывающих данные несовершеннолетних (образовательные платформы, игры, соцсети). Возрастная верификация, родительское согласие.
3. Трансграничная передача: После ухода многих зарубежных сервисов фокус на легальности использования российских форков/облаков и передаче данных в «недружественные» юрисдикции. Проверка SCC (стандартных договорных условий) и BCR.
4. Скрытый сбор и трекинг: Cookies, fingerprinting, пиксели, SDK в мобильных приложениях. Требование согласия на нетехнические куки (аналитика, таргетинг) до начала загрузки скриптов (Cookie Banner / CMP).
5. Уведомление об утечках: Жесткий контроль за соблюдением 24-часового срока уведомления Роскомнадзора и субъектов (через ЕРУПД или личный кабинет оператора).
6. Публичные реестры и открытые данные: Проверка законности публикации ПД в открытых реестрах (ЕГРЮЛ, реестры лицензий, судебных актов) — баланс открытости данных и права на частную жизнь (ст. 10 Закона № 152-ФЗ).

Проверка Роскомнадзора, это не случайность, а плановая работа регулятора по защите конституционных прав граждан. Подход «сдадим отчет и забудем» в 2024 году не работает. Регулятор оценивает системность и эффективность процессов защиты данных.

Ключевые выводы для бизнеса:

• Персональные данные, это актив, требующий управления рисками, а не просто «бумажки для проверяющих».
• Инвестиции в комплаенс (ДПО, технические средства, аудиты, обучение) стоят в десятки/сотни раз дешевле штрафов, репутационных потерь от утечки и остановки бизнеса (ст. 13.11.1 КоАП).
• Прозрачность для субъектов (понятная политика, удобное осуществление прав) — лучшая профилактика жалоб, которые и запускают внеплановые проверки.
• Готовность к взаимодействию с инспекторами (понимание своих прав, наличие пакета документов «под рукой», грамотный ДПО) позволяет пройти проверку без штрафов или с минимальными замечаниями.

Соблюдение законодательства о персональных данных сегодня — это не только правовая необходимость, но и конкурентное преимущество, формирующее доверие клиентов, партнеров и инвесторов.

Данная статья носит информационный характер и не является правовым консультированием. Для решения конкретных вопросов рекомендуется обратиться к квалифицированному юристу по защите персональных данных.