Для предприятий Рязанской области‚ как и для бизнеса во всей России‚ соблюдение законодательства в сфере персональных данных (ПДн) перестало быть просто формальностью. В последние годы Роскомнадзор существенно усилил контроль: увеличилось количество плановых и внеплановых проверок‚ выросли штрафы‚ а практика применения норм стала более строгой. В данной статье подробно разберем‚ как проходят проверки‚ на что обращают внимание инспекторы в Рязани и как подготовить компанию к визиту надзорного органа.

Правовая основа и виды проверок

Деятельность Роскомнадзора регулируется Федеральным законом от № 152-ФЗ «О персональных данных»‚ Кодексом об административных правонарушениях (КоАП РФ) и Постановлением Правительства РФ № 1012 (Правила хранения и защиты ПДн).

Основные виды проверок:

• Плановые проверки: Проводятся на основании утвержденного графика. Важно: с 2021 года введен мораторий на плановые проверки МСБ (малых и средних предприятий)‚ однако он не распространяется на проверки соблюдения законодательства о персональных данных (п. 4 ст. 21 ФЗ-294). Роскомнадзор сохраняет право проводить плановые проверки по ПДн.
• Внеплановые проверки: Назначаются по основаниям‚ указанным в ст. 21 ФЗ-294 (жалоби граждан‚ сообщения СМИ‚ поручения Президента/Правительства‚ устранение выявленных нарушений и т.д.).
• Профилактические визиты: Не являются проверками в строгом смысле (нет акта‚ нет предписания)‚ но инспекторы могут выявить нарушения и выдать предписание об устранении. Для МСБ и НКО чаще применяются именно они.
• Камеральные (документарные) проверки: Проводятся на основании предоставленных документов без выезда на место. Срок, до 30 дней (продлевается до 60). Часто инициируются при подаче уведомления об обработке ПДн или жалобах субъектов.
• Выездные проверки: Проводяться на месте нахождения оператора. Срок, до 20 рабочих дней (продлевается до 10 дней руководителем органа).

Специфика проверок в Рязанской области

Территориальный орган — Управление Роскомнадзора по Центральному федеральному округу (Рязанское отделение). Инспекторы данного отделения традиционно уделяют пристальное внимание:

1. Медицинским организациям (госбольницы‚ частные клиники‚ стоматологии) — из-за обработки особой категории ПДн (здоровье).
2. Образовательным учреждениям (школы‚ ВУЗы‚ доп. образование), обработка данных несовершеннолетних.
3. Кадровым агентствам и аутсорсерам — массовая обработка данных соискателей.
4. Ритейлу и сервису (программы лояльности‚ доставка‚ CRM-системы), уведомление о целях маркетинга.
5. ИТ-компаниям и стартапам — использование облачных сервисов‚ кросспограничная передача данных.

Важно: В Рязани практикуется активная работа с жалобами граждан. Любая жалоба на спам‚ утечку данных или отказ в праве на удаление — повод для внеплановой проверки.

Чек-лист: На что смотрит инспектор (Ключевые зоны риска)

Документальное оформление (Локальные акты)

Отсутствие или несоответствие локальных актов — самая частая статья штрафов (ст. 13.11 КоАП РФ). Обязательный пакет документов:

• Политика в отношении обработки ПДн (опубликованная на сайте/доступная сотрудникам).
• Приказ об назначении ответственного за организацию обработки ПДн.
• Перечень категорий субъектов ПДн и обрабатываемых данных.
• Локальный нормативный акт‚ определяющий состав и параметры информационной системы ПДн (ИСПДн).
• Модель угроз безопасности ПДн (для определения класса ИСПДн).
• Перечень мер обеспечения безопасности ПДн (физические‚ организационные‚ программно-технические).
• Инструкции по защите ПДн для сотрудников (с росписью за ознакомление).
• Журналы учета: носителей ПДн‚ инцидентов‚ доступа к ИСПДн‚ выдачи/возврата носителей.
• Договоры с третьими лицами (операторами/уполномоченными)‚ содержащие обязательные условия ст. 28 152-ФЗ.

Уведомление Роскомнадзора

Проверяется факт подачи уведомления о начале обработки ПДн (до 2022 года — в реестр‚ сейчас — через ГИС «Уведомления»). Инспекторы сверяют цели обработки в уведомлении с реальными целями в политике и договорах. Расхождение — основание для штрафа.

Техническая и организационная защита

Соответствие класса защищенности ИСПДн (1-й‚ 2-й‚ 3-й‚ 4-й класс) установленным мерам (Приказ ФСТЭК № 17‚ Приказ ФСБ № 382 для криптозащиты). Типичные нарушения в ризанских компаниях:

• Отсутствие средств антивирусной защиты или устаревшие базы.
• Слабые пароли‚ отсутствие двухфакторной аутентификации для удаленного доступа.
• Хранение резервных копий без шифрования на неконтролируемых носителях.
• Отсутствие разграничения прав доступа (администратор видит всё‚ бухгалтер видит зарплаты всех).
• Физический доступ к серверам/БД неограничен (сервер в проходе‚ открытый шкаф).

Работа с субъектами ПДн (Права граждан)

• Наличие процедуры приема и обработки запросов (ст. 14‚ 15‚ 18‚ 21 152-ФЗ).
• Сроки ответа (30 дней на уточнение/удаление/блокировку‚ 10 дней на предоставление информации).
• Форма согласия на обработку (отдельный документ‚ конкретные цели‚ возможность отозвать).
• Информирование субъектов при получении данных не от них (ст. 18.1 152-ФЗ).

Кросспограничная передача данных

Если используются облачные сервисы (Google Workspace‚ Microsoft 365‚ Bitrix24 в облаке‚ Telegram-боты‚ серверы за рубежом) — требуется:

• Наличие решения о передаче (протокол собрания/приказ).
• Гарантии защиты прав в иностранном государстве (адекватность защиты или стандартные договорные условия).
• Указание в уведомлении и политике факта передачи за границу.

Процедура выездной проверки: Пошаговый алгоритм

1. Предъявление приказа/решения: Инспектор обязан предъявить документ‚ уполномачивающий на проведение проверки (приказ руководителя управления). Проверьте сроки‚ состав комиссии‚ перечень вопросов.
2. Ознакомление с правами/обязанностями: Под роспись в акте или отдельном листе.
3. Запрос документов: Обычно дается 3-5 рабочих дней на предоставление копий локальных актов‚ журналов‚ договоров. Совет: Готовьте пакет заранее‚ чтобы не искать бумаги под давлением.
4. Осмотр помещений/Серверной: Инспекторы проверяют физическую безопасность‚ наличие табличек «Доступ ограничен»‚ журналы посещений серверной.
5. Опрос сотрудников: Могут опросить ответственного за ПДн‚ системного администратора‚ HR-менеджеров. Вопросы: «Где хранятся анкеты?»‚ «Как вы удаляете данные по требованию?»‚ «Были ли утечки?».
6. Составление акта: В конце проверки составляеться Акт о результатах проверки. Критически важно: Пишите свои возражения в акте или приложите отдельное мнение. Не подписывайте пустые листы.
7. Предписание/Протокол: Если есть нарушения — выдается предписание об устранении (срок обычно 10-30 дней) или составляется протокол об административном правонарушении.

Штрафы и санкции (Актуальные суммы 2024-2025 гг.)

Нарушение (ст. КоАП РФ)	Субъект	Размер штрафа (руб.)
Ст. 13.11 ч. 1 (Нарушение правил обработки‚ хранения ПДн)	Должностные лица / ИП / Юр. лица	1 000 – 3 000 / 5 000 – 10 000 / 15 000 – 75 000
Ст. 13.11 ч. 2 (Повторное нарушение)	Юр. лица	100 000 – 300 000
Ст. 13.11 ч. 3 (Отказ в предоставлении информации субъекту ПДн)	Юр. лица	30 000 – 50 000
Ст. 13.11 ч. 4 (Нарушение прав субъектов ПДн: удаление‚ блокировка)	Юр. лица	50 000 – 100 000
Ст. 19.7 ч. 3-4 (Неисполнение предписания Роскомнадзора)	Юр. лица	100 000 – 500 000 (и до 1 млн за повторное)
Ст. 13.11 ч. 5 (Утечка ПДн / Недобросовестное получение)	Юр. лица	1 000 000 – 3 000 000 (для крупных операторов до 15 млн / 3% выручки)

Примечание: За одно нарушение (например‚ отсутствие политики на сайте) может быть выписано несколько протоколов по разным статьям или за каждую категорию субъектов (сотрудники‚ клиенты‚ соискатели)‚ что в сумме дает существенные суммы.

Типичные ошибки ризанских компаний (Кейсы из практики)

Кейс 1: «Сайт-визитка без политики и уведомления»

Ситуация: Малое предприятие (строительство‚ Рязань) собирало заявки с сайта (имя‚ телефон); Уведомления в Роскомнадзор не подавали‚ политики на сайте нет‚ согласия не фиксировали.

Кейс 2: «Медицинская клиника и облачный CRM»

Ситуация: Частная клиника использовала популярную облачную CRM (серверы в Нидерландах/США) для записей пациентов. Передача особой категории ПДн (здоровье) за границу не оформлена‚ согласия пациентов не содержали пункта о кросспограничной передаче.

Кейс 3: «HR-агентство и базы соискателей»

Ситуация: Агентство хранило базы резюме 5+ лет после последнего контакта. При запросе соискателя на удаление отвечали устно‚ формально не фиксировали факт выполнения.

Стратегия защиты и подготовки к проверке (Action Plan)

Этап 1: Внутренний аудит (Самостоятельно или с аудиторами)

• Провести инвентаризацию всех ИСПДн (1С‚ CRM‚ сайт‚ почта‚ мессенджеры‚ бумажные архивы‚ видеонаблюдение‚ СКУД).
• Сверить цели обработки в Уведомлении‚ Политике‚ Договорах‚ Согласиях. Должна быть полная идентичность.
• Проверить актуальность локальных актов (менялись ли ФИО ответственного‚ адреса серверов‚ состав данных).
• Оценить класс защищенности ИСПДн и соответствие мер защиты (Приказ ФСТЭК 17).

Этап 2: Техническая защита (Quick Wins)

• Включить шифрование дисков (BitLocker‚ LUKS) на всех рабочих станциях и серверах.
• Настроить МФА (двухфакторку) на VPN‚ почту‚ админки CRM/1С.
• Разграничить права доступа по принципу «минимально необходимых привилегий».
• Настроить автоматическое резервное копирование с шифрованием и хранением в изолированном сегменте.
• Установить DLP-систему (хотя бы базовую) для контроля утечек по почте/USB/облакам.

Этап 3: Организация процессов

• Завести Журнал запросов субъектов ПДн (электронный или бумажный) с фиксацией даты поступления‚ сути‚ срока и даты исполнения.
• Разработать регламент действий при инциденте безопасности (утечке) — 24 часа на уведомление Роскомнадзора и субъектов.
• Проводить ежегодное обучение сотрудников (инструктаж) с росписью в журнале.
• Проверить договоры с подрядчиками (аутсорс бухгалтерии‚ колл-центры‚ IT-поддержка) на наличие условий ст. 28 152-ФЗ.

Этап 4: Работа с кросспограничной передачей

Проведите аудит используемого ПО (SaaS‚ мессенджеры‚ аналитика сайта, Google Analytics‚ Яндекс.Метрика‚ пиксели VK/Таргет). Если данные уходят за пределы РФ — оформите передачу или перейдите на российские аналоги (Яндекс.Метрика‚ Roistat‚ Битрикс24 коробка‚ МойСклад и т.д.).

Как повести себя во время проверки: Советы юриста

1. Не препятствуйте. Препятствование, отдельная статья КоАП (ст. 19.7) и повод для судебного приказа на доступ.
2. Назначьте одного координатора (юриста или ответственного за ПДн)‚ который общается с инспекторами. Остальные сотрудники не должны давать объяснения без координатора.
3. Предоставляйте только запрошенное. Не сваливайте на инспекторов архивы за 10 лет‚ если просят за год. Но не скрывайте запрашиваемое.
4. Фиксируйте всё. Ведите свой журнал проверки: кто пришел‚ какие документы забрали (под расписку копии)‚ какие вопросы задавали.
5. Возражения в Акт. Если не согласны с выводом — пишите в акте: «С выводом о нарушении п. X не согласен‚ так как [аргумент/ссылка на закон/документ]. Прошу прикрепить мое отдельное мнение».
6. Обжалование. Акт проверки и предписание можно обжаловать в вышестоящее управление Роскомнадзора (Управление по ЦФО) или в суд (АС Рязанской области) в течение 10 дней (предписание) или 3 месяцев (акт). Протокол об АП — в течение 10 дней в суд.

Полезные ресурсы и контакты для ризанского бизнеса

• Сайт Управления Роскомнадзора по ЦФО (Рязанское отделение): Официальные новости‚ реквизиты для связи‚ образцы уведомлений.
• ГИС «Уведомления» (notification.rkn.gov.ru): Единый портал для подачи уведомлений об обработке ПДн.
• Реестр операторов ПДн (reestr.rkn.gov.ru): Проверка своего статуса и статуса контрагентов.
• ФСТЭК (fstec.ru): Методические документы по защите информации‚ реестр сертифицированных СЗИ.
• Судебная практика (Кад.Арбитр‚ Судебные акты ВАС/ВС РФ): Поиск прецедентов по ст. 13.11 КоАП для построения линии защиты.

Взаимодействие с Роскомнадзором в Рязани не должно вызывать панику‚ но требует системного подхода. Главный тренд 2024-2025 гг.: переход от формального наличия бумаг к проверке реальной эффективности мер защиты и соблюдения прав субъектов (удаление‚ доступ‚ отзыв согласия).

Инвестиции в аудит‚ настройку процессов и обучение сотрудников стоят в десятки раз дешевле‚ чем штрафы‚ репутационные потери и остановка бизнес-процессов по предписанию надзорного органа. Начните с инвентаризации ИСПДн и актуализации уведомления в ГИС «Уведомления» — это фундамент‚ с которого начинается любая проверка.

---

Данная статья носит информационный характер и не является правовым консультированием. Для решения конкретных вопросов рекомендуется обратиться к специализированному юристу по защите персональных данных.