Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) является ключевым государственным органом, осуществляющим контроль за соблюдением законодательства Российской Федерации в области персональных данных. Основой для его деятельности служит Федеральный закон от № 152-ФЗ «О персональных данных». В 2026 году регулятор продолжает курс на усиление надзора, цифровизацию процессов взаимодействия с операторами и жесточайшее пресечение нарушений.
Правовая основа и статус Роскомнадзора
Согласно ст. 22 Федерального закона № 152-ФЗ, Роскомнадзор является Уполномоченным органом по защите прав субъектов персональных данных. В его ведении находится Реестр операторов, осуществляющих обработку персональных данных. Именно этот реестр является публичным инструментом прозрачности: любой гражданин может проверить, уведомлен ли регулятор о деятельности конкретной компании.
Предметом федерального государственного контроля (надзора) является соблюдение операторами обязательных требований в области персональных данных, установленных 152-ФЗ и иными нормативными правовыми актами РФ, принятыми в соответствии с ним.
Уведомление Роскомнадзора: Основа легальной обработки
Кто обязан уведомлять?
Все операторы, планирующие сбор и обработку персональных данных — будь то юридические лица (ЮЛ), индивидуальные предприниматели (ИП) и даже самозанятые, обязаны уведомить Роскомнадзор до начала работы с личной информацией. Наличие сайта с формой заявки, рассылки, CRM-системы или базы клиентов уже означает факт обработки ПДн.
Порядок подачи уведомления (актуально на 2025–2026 гг.)
С 1 сентября 2022 года действует порядок электронной подачи через портал «Госуслуги» или специализированный Портал персональных данных.
- Заполнение формы в информационной системе Уполномоченного органа.
- Отправка формы в электронном виде (с 2022 года возможно без использования усиленной квалифицированной электронной подписи на этапе отправки).
- Распечатка, подписание и направление бумажного оригинала (или нотариально заверенной копии) в соответствующий территориальный орган Роскомнадзора по месту регистрации оператора.
Важно: После уведомление стало обязательным стандартом для всех категорий операторов без исключения. Исключения, предусмотренные ч. 2 ст. 22 152-ФЗ (например, обработка только в рамках трудового договора), применяются ограничительно и требуют тщательной правовой оценки.
Последствия неуведомления
- Административные штрафы до 300 тысяч рублей (ст. 19.7 КоАП РФ).
- Внесение в реестр нарушителей, что влечет усиленный контроль (плановые и внеплановые проверки).
- Риск блокировки доступа к информационным ресурсам (сайтам, приложениям) по решению суда.
- Репутационные потери и недоверие партнеров/клиентов.
Формы и виды государственного контроля (надзора)
Роскомнадзор осуществляет надзор в соответствии с Правилами организации и осуществления государственного контроля (надзора) за обработкой персональных данными (утв. Постановлением Правительства РФ). Основные формы:
Профилактические визиты и мероприятия
Проводятся для предупреждения нарушений. Оператор уведомляеться за 5 рабочих дней. Не требуют составления акта, заканчиваются предписанием об устранении выявленных нарушений (если они незначительны).
Плановые проверки
Проводятся на основании плана проверок на календарный год (утверждается Роскомнадзором). В 2026 году приоритетами остаются:
- Операторы, обрабатывающие биометрические и специальные категории ПДн (здоровье, раса, политические взгляды и т.д.).
- Крупные дата-операторы и маркетплейсы.
- Субъекты, в отношении которых поступали обращения граждан или выявлены нарушения ранее.
Внеплановые проверки
Назначаются на основании:
- Обращений субъектов персональных данных (жалоб).
- Сообщений СМИ о утечках данных.
- Поручений вышестоящих органов (Генпрокуратуры, Президента, Правительства).
- Фактов неисполнения предписаний по итогам прошлых проверок.
Документарные проверки
Проводятся без визита на место деятельности оператора. Основаны на анализе представленных документов, информации из открытых источников и Реестра операторов. Срок — до 30 календарных дней (продлевается до 60 дней).
Что проверяет Роскомнадзор: Чек-лист оператора
На практике инспекторы фокусируются на соответствии реальной деятельности требованиям 152-ФЗ. Обзор наиболее часто выявляемых нарушений показывает следующие ключевые зоны риска:
| Блок проверки | Основные требования | Типичные нарушения |
|---|---|---|
| Наличие и актуальность уведомления | Внесение сведений в Реестр до начала обработки; обновление при изменении целей/состава ПДн. | Отсутствие уведомления, устаревшие данные в Реестре, несоответствие реальных целей заявленным. |
| Локальные нормативные акты (ЛНА) | Политика конфиденциальности, Положение о защите ПДн, Приказ о назначении ответственного, Инструкции для сотрудников. | Отсутствие документов, формальный характер (шаблоны без привязки к бизнесу), неактуальные версии. |
| Согласия субъектов ПДн | Форма согласия (ст. 9 152-ФЗ), свободность, информированность, конкретность, возможность отзыва. | Согласия в «мелком шрифте», без разделения целей, отсутствие доказательств получения (логи, подписи). |
| Обеспечение прав субъектов | Реакция на запросы за 30 дней (ст. 18, 21 152-ФЗ): доступ, уточнение, блокировка, удаление. | Игнорирование запросов, нарушение сроков, отказ без законных оснований. |
| Технические и организационные меры защиты | Инвентаризация СИПДн, модель угроз, средства защиты (КСЗ, антивирусы, контроль доступа, шифрование), журнал учета инцидентов. | Отсутствие модели угроз, несоответствие класса защищенности реальным рискам, отсутствие журнала инцидентов. |
| Передача третьим лицам и трансграничная передача | Договоры с подрядчиками (ст. 28 152-ФЗ), обеспечение адекватной защиты при передаче за рубеж. | Передача без договора/согласия, использование сервисов в неадекватных юрисдикциях без гарантий. |
| Обучение персонала | Обязательное обучение всех сотрудников, имеющих доступ к ПДн, с фиксацией результатов. | Отсутствие программы обучения, журналов инструктажей, подтверждения знаний. |
Процедура проверки: Ключевые моменты для оператора
Запрос документов
Во время проверки Роскомнадзор вправе запросить:
- Формы документов, в которых содержатся персональные данные (анкеты, договоры, заказы).
- Локальные акты и приказы о защите данных.
- Журналы учета доступа, инцидентов, обучения.
- Согласия субъектов.
- Договоры с операторами, обрабатывающими данные по поручению.
Срок предоставления: как правило, 10 рабочих дней (в рамках документарной проверки) или в установленный инспектором срок при выездной. Непредоставление влечет ответственность по ст. 19.7 КоАП РФ.
Обращения субъектов ПДн
На запрос гражданина о реализации своих прав (доступ, удаление, исправление) оператор обязан ответить оперативно, в срок 30 календарных дней. Игнорирование таких запросов — одна из самых частых причин внеплановых проверок и штрафов.
- Предписание об устранении нарушений, обязательный документ, исполнение которого контролируется в установленный срок.
- Протокол об административном правонарушении — составляется по результатам проверки (или на ее основе) для наложения штрафов.
Административная ответственность в 2026 году (ст. 19.7 КоАП РФ)
Штрафы регулярно индексируются и применяются за каждое выявленное нарушение (плюс к этому — предписание устранить). Основные статьи:
- Ч. 1 ст. 19.7 КоАП РФ: Нарушение требований к обработке ПДн (кроме п. 2–6).
- ЮЛ: 15 000 – 75 000 руб. (для повторного, 100 000 – 300 000 руб.).
- Ч. 2 ст. 19.7 КоАП РФ: Неуведомление/непредоставление сведений для Реестра.
- ЮЛ: 30 000 – 50 000 руб. (повторное: 100 000 – 300 000 руб.).
- Ч. 3 ст. 19.7 КоАП РФ: Неисполнение обязанностей по обеспечению прав субъектов (отказ в доступе, удалении).
- ЮЛ: 40 000 – 60 000 руб. (повторное: 100 000 – 300 000 руб.).
- Ч. 4 ст. 19.7 КоАП РФ: Нарушение режима защиты ПДн (утечки, хранение в открытом виде).
- ЮЛ: 60 000 – 100 000 руб. (повторное: 300 000 – 500 000 руб.).
- Ч. 5 ст. 19.7 КоАП РФ: Неисполнение предписания Роскомнадзора.
- ЮЛ: 100 000 – 300 000 руб. (с возможностью дисквалификации должностного лица).
- Ч. 6 ст. 19.7 КоАП РФ: Нарушение правил трансграничной передачи.
- ЮЛ: 100 000 – 300 000 руб.
Критический момент: Если компанию оштрафовали один раз, она автоматически попадает под регулярный надзор Роскомнадзора. В будущем проверки станут чаще и глубже.
Особенности 2026 года: Тренды и рекомендации
Цифровизация надзора
Роскомнадзор активно использует автоматизированные системы мониторинга открытых источников (сайты, приложения, открытые базы) для выявления операторов, не внесенных в Реестр, или нарушающих политику конфиденциальности на сайте.
Фокус на биометрии и ИИ
С развитием технологий распознавания лиц, голосовых ассистентов и нейросетей, регулятор усиливает контроль за обработкой биометрических персональных данных. Требования к защите и получению явного согласия здесь максимальны.
Трансграничная передача
Учитывая геополитическую ситуацию, передача данных на серверы за рубеж (облачные CRM, аналитика, рассылки) находится под пристальным вниманием. Операторы обязаны обеспечить «адекватную защиту» (стандартные договорные клаузы, BCR, согласие субъекта) и уведомить Роскомнадзор о такой передаче.
Практика блокировок
Помимо штрафов, ст. 15.1 152-ФЗ дает Роскомнадзору право обратится в суд с требованием ограничить доступ к информационному ресурсу (сайту/приложению) при систематическом нарушении законодательства о ПДн (утечки, игнорирование прав субъектов, отсутствие уведомления). В 2025–2026 гг. прецедентов блокировок становится больше.
Алгоритм подготовки к проверке (Чек-лист для бизнеса)
- Аудит актуальности уведомления в Реестре. Соответствуют ли цели, категории ПДн, категории субъектов и способы обработки реальности?
- Инвентаризация СИПДн (Систем обработки ПДн). Где хранятся данные? Кто имеет доступ? Каковы пути утечки?
- Приведение ЛНА в соответствие. Политика на сайте, внутренние положения, приказы, инструкции, согласия, единый комплект документов.
- Оценка класса защищенности и Модель угроз. Разработка/актуализация, согласование с ФСТЭК (если требуется) или самостоятельное утверждение.
- Внедрение технических средств защиты (КСЗ). Антивирусы, МЭ, СКУД, DLP, шифрование, резервное копирование, логирование событий.
- Работа с подрядчиками. Дополнительные соглашения/договоры на обработку ПДн по поручению (ст. 28 152-ФЗ) со всеми контрагентами, имеющими доступ к данным (колл-центры, IT-аутсорс, маркетинговые агентства, облачные провайдеры).
- Обучение персонала. Проведение инструктажей, тестирование, фиксация в журналах. «Обучать сотрудников… чтобы за их работу не получать предписания и штрафы» — прямой совет из практики.
- Настройка процесса работы с запросами субъектов. Назначение ответственного, регламент 30 дней, шаблоны ответов, учет входящих обращений.
- Учет инцидентов безопасности. Журнал инцидентов, процедура уведомления Роскомнадзора и субъектов о утечке (в течение 24 часов после обнаружения/подтверждения).
Надзор Роскомнадзора за соблюдением законодательства о персональных данных в 2026 году, это не разовая акция, а системная, технологически оснащенная и жесткая система государственного контроля. Уведомление в Реестр — это только точка входа. Реальная защита бизнеса от штрафов, блокировок и репутационных катастроф строится на комплексной системе управления персональными данными: от грамотных локальных актов и обученных сотрудников до современных технических средств защиты и прозрачных процессов взаимодействия с субъектами данных.
Игнорирование требований 152-ФЗ сегодня — это не просто риск штрафа 15–75 тыс. руб., это риск остановки бизнес-процессов, потери клиентской базы и невозможности работы с крупными корпоративными заказчиками и госсектором, для которых комплаенс по ПДн является обязательным условием контракта.
Статья подготовлена на основе открытых данных портала Роскомнадзора, Федерального закона № 152-ФЗ, КоАП РФ, планов проверок на 2026 год и судебной практики по состоянию на 2026 год. Данная информация носит ознакомительный характер и не является правовым консультированием.