Цель статьи – дать предпринимателям и руководителям организаций‑операторов персональных данных (ПДн) полное представление о том‚ как правильно подготовиться к проверке‚ какие документы необходимо иметь в наличии и как вести диалог с контролирующим органом – Роскомнадзором.

Правовая база‚ регулирующая проверки

• Федеральный закон № 152‑ФЗ от «О персональных данных» – основной нормативный акт‚ определяющий права и обязанности операторов ПДн.
• Федеральный закон № 248‑ФЗ от «О персональных данных‚ обрабатываемых в информационных системах персональных данных» – уточняет порядок обработки и требования к защите ПДн в цифровой среде.
• Подзаконные акты (приказы Роскомнадзора‚ методические рекомендации) – в частности‚ Приказ № 94 от «Об утверждении методических рекомендаций по заполнению форм уведомления о начале обработки ПДн».
• С 1 июля 2021 г. вступили в силу новые правила проведения проверок‚ которые усилили полномочия Роскомнадзора и уточнили сроки реагирования операторов.

Кто может проводить проверку?

Основным контролирующим органом в сфере ПДн является Роскомнадзор. В практике часто участвуют три уполномоченные организации‚ которые в рамках межведомственного взаимодействия могут совместно проводить контрольные мероприятия‚ распределяя зоны ответственности.

Виды проверок‚ проводимых Роскомнадзором

1. Плановые (регулярные) проверки – проводятся в соответствии с графиком‚ утверждённым Роскомнадзором.
2. Внеплановые (целевые) проверки – инициируются в ответ на жалобы субъектов ПДн‚ сообщения о нарушениях или в рамках масштабных проверок отраслевых групп (например‚ интернет‑бизнеса).
3. Аудит‑проверка – проводится по запросу организации‚ желающей получить независимую оценку соответствия требованиям 152‑ФЗ.

Этапы взаимодействия с Роскомнадзором

Предварительное уведомление

Оператор обязан уведомить Роскомнадзор о начале обработки ПДн (если это требуется по закону) в течение 30 дней с момента начала обработки. Уведомление подаётся через Личный кабинет Роскомнадзора и сопровождается необходимыми документами (реестр ПДн‚ согласия субъектов и т.д.).

Получение извещения о проверке

Контролирующее лицо направляет официальное извещение (письмо) с указанием:

• Цели и основания проверки;
• Списка документов‚ которые необходимо предоставить;
• Сроков предоставления информации (обычно 10 рабочих дней).

Подготовка и передача документов

Список обязательных документов (по состоянию на 2026 год) включает:

• Политику обработки персональных данных;
• Реестр операторов и обработок ПДн;
• Согласия субъектов (если требуются);
• Договоры с обработчиками (аутсорсинг‚ облачные сервисы);
• Приказы о назначении ответственного (специального) лица по ПДн;
• Отчёты о проведённых оценках воздействия на защиту ПДн (DPIA);
• Журналы доступа к ПДн и протоколы аудита;
• Документы‚ подтверждающие технические и организационные меры защиты (шифрование‚ контроль доступа‚ резервное копирование).

Проведение проверки

Инспекторы могут:

• Проводить интервью с назначенным ответственным лицом;
• Осматривать помещения и ИТ‑инфраструктуру;
• Запрашивать образцы записей журналов и баз данных;
• Тестировать применяемые средства защиты (например‚ проверка актуальности антивирусных баз).

Выдача протокола и требований

По результатам проверки составляется протокол‚ в котором указываются выявленные нарушения и конкретные требования:

• Уточнение‚ блокирование или уничтожение недостоверных или незаконно полученных ПДн (срок – 10 дней).
• Внедрение недостающих организационных мер (например‚ назначение ответственного за ПДн‚ разработка регламента доступа).
• Технические доработки (обновление средств защиты‚ внедрение шифрования).

Оспаривание и обжалование

Если оператор считает требования необоснованными‚ он имеет право:

1. Подать апелляцию в Роскомнадзор в течение 30 дней с момента получения протокола.
2. Обратиться в суд с иском о признании требований незаконными.

Как подготовиться к проверке: чек‑лист

Организационные меры

• Назначить ответственного за обработку ПДн (специальное лицо) и оформить приказ.
• Обеспечить регулярное обучение персонала (тренинги‚ инструктажи).
• Вести актуальный реестр ПДн и обновлять его при каждой новой обработке.

Технические меры

• Проверить актуальность антивирусных и анти‑мальварных решений.
• Убедиться‚ что все персональные данные находятся под шифрованием (при хранении и передаче).
• Настроить журналы доступа и обеспечить их неизменяемость (например‚ с помощью SIEM‑систем).
• Провести тестирование на уязвимости (penetration testing) не реже одного раза в год.

Документальная подготовка

1. Политика конфиденциальности и обработки ПДн.
2. Регламент доступа к ПДн.
3. Договоры с третьими лицами (обработчиками‚ субподрядчиками).
4. Отчёты о проведённых оценках воздействия (DPIA).
5. Журналы аудита и протоколы инцидентов.
6. Копии уведомлений в Роскомнадзор и подтверждения их получения.

Права и обязанности оператора при проверке

Обязанность	Срок
Предоставить запрашиваемые документы и сведения.	10 рабочих дней (если иное не указано в извещении).
Устранить выявленные нарушения.	10 дней с момента получения требований (для блокировки/уничтожения ПДн) и до 30 дней для организационных/технических мер.
Своевременно уведомлять Роскомнадзор о новых обработках ПДн.	В течение 30 дней с начала обработки.

Оператор имеет право:

• Запросить уточнение требований и сроков их выполнения.
• Получить копию протокола проверки.
• Обжаловать решения в установленном порядке.

Частые ошибки‚ которые приводят к штрафам

• Отсутствие назначенного ответственного лица и соответствующего приказа.
• Неактуальный реестр ПДн (отсутствие новых категорий данных).
• Неправильное оформление согласий субъектов (отсутствие информации о целях обработки).
• Отсутствие журналов доступа или их недоступность в момент проверки.
• Неудовлетворительная техническая защита (отсутствие шифрования‚ устаревшее ПО).
• Игнорирование требований о блокировке/уничтожении незаконно полученных ПДн.

Практические рекомендации от экспертов

1. Проведите внутренний аудит за 2–3 месяца до плановой проверки. Это позволит выявить пробелы заранее.
2. Создайте «пакет готовности» – набор шаблонов документов‚ инструкций и чек‑листов‚ которые можно быстро адаптировать под конкретный запрос.
3. Назначьте единого контактного лица (Compliance‑офицер)‚ которое будет вести диалог с Роскомнадзором и координировать подготовку.
4. Автоматизируйте процесс – используйте системы управления политиками (GRC‑платформы) для ведения реестра ПДн и журналов аудита.
5. Тестируйте свои ответы – проведите «пробную проверку» с привлечением внешних консультантов.
6. Следите за изменениями законодательства – подписывайтесь на официальные рассылки Роскомнадзора и участвуйте в вебинарах.

Взаимодействие с Роскомнадзором при проверке персональных данных – это не просто формальная процедура‚ а важный элемент управления рисками компании. Правильная подготовка‚ наличие актуального пакета документов и чёткое распределение ответственности позволяют минимизировать вероятность штрафов и сохранить репутацию организации.

Помните: своевременное реагирование на требования контролирующего органа и проактивный подход к защите ПДн – залог стабильного и законного ведения бизнеса в условиях растущих требований к конфиденциальности.

---

Дата публикации: