С 2021 года Роскомнадзор применяет риск‑ориентированный подход к надзору за соблюдением законодательства о персональных данных (ПДн). Это означает, что частота и глубина проверок зависят от присвоенной организации категории риска. Ниже рассмотрены основные аспекты, которые следует учитывать, чтобы минимизировать юридические риски при возможных проверках.
Нормативная база - Федеральный закон от № 152‑ФЗ «О персональных данных» – основной закон, регулирующий сбор, хранение, использование и защиту ПДн.
- Постановление Правительства РФ от № 1046 – вводит риск‑ориентированный подход и определяет критерии присвоения категории риска.
- Кодекс об административных правонарушениях РФ (КоАП) – устанавливает размеры штрафов и порядок привлечения к ответственности юридических и должностных лиц.
Как определяется категория риска
С 1 января 2026 года Роскомнадзор использует обновлённые критерии, среди которых:
- Объём обрабатываемых персональных данных (количество субъектов, типы данных).
- Наличие ранее выявленных нарушений законодательства о ПДн.
- Критичность информационных систем (например, системы, обеспечивающие работу жизненно важных объектов).
- Сфера деятельности (финансы, здравоохранение, образование, телекоммуникации и т.д.).
- Наличие жалоб субъектов ПДн или сигналов о возможных утечках.
В зависимости от набора этих факторов организации присваивают одну из четырёх категорий: низкий, средний, повышенный и высокий риск. Чем выше категория, тем чаще и тщательнее проводятся проверки.
Виды контроля Роскомнадзора - Плановые проверки – проводятся согласно утверждённому годовому графику (в 2025 году официальный план не утверждён, поэтому плановые проверки редки).
- Внеплановые проверки – инициируются по:
- поручению Правительства или прокуратуры;
- угрозе утечки данных;
- жалобе субъекта ПДн (документарная проверка – уведомление за 24 часа).
- Документарная проверка без выезда – мониторинг сайтов, анализ публично доступной информации, запрос документов в электронном виде.
- Выездная проверка – включает осмотр помещений, где осуществляется обработка ПДн, интервью с ответственными лицами, проверку технических и организационных мер защиты.
Типичные нарушения, выявляемые при проверках - Отсутствие или неполнота политики конфиденциальности и согласий субъектов ПДн.
- Нарушение порядка хранения и защиты данных (отсутствие шифрования, несанкционированный доступ).
- Несвоевременное уведомление Роскомнадзора о случаях утечки или неправомерного доступа к ПДн.
- Нарушение сроков ответ на запросы субъектов ПДн (право на доступ, исправление, удаление).
- Отсутствие внутренних нормативных актов (положения о обработке ПДн, инструкции по обеспечению безопасности).
- Недостаточная подготовка персонала к работе с персональными данными.
Последствия нарушений
- поручению Правительства или прокуратуры;
- угрозе утечки данных;
- жалобе субъекта ПДн (документарная проверка – уведомление за 24 часа).
- Отсутствие или неполнота политики конфиденциальности и согласий субъектов ПДн.
- Нарушение порядка хранения и защиты данных (отсутствие шифрования, несанкционированный доступ).
- Несвоевременное уведомление Роскомнадзора о случаях утечки или неправомерного доступа к ПДн.
- Нарушение сроков ответ на запросы субъектов ПДн (право на доступ, исправление, удаление).
- Отсутствие внутренних нормативных актов (положения о обработке ПДн, инструкции по обеспечению безопасности).
- Недостаточная подготовка персонала к работе с персональными данными.
Последствия нарушений
Согласно КоАП РФ, штрафы за нарушения законодательства о персональных данных могут достигать:
- до 20 000 руб. для должностных лиц;
- до 500 000 руб. – 1 млн руб. для юридических лиц (в зависимости от тяжести нарушения);
- в случае повторных или особо тяжких нарушений – до 6 млн руб..
Помимо штрафов, возможны:
- блокировка интернет‑ресурса, на котором осуществляется обработка ПДн;
- внесение организации в реестр нарушителей, что может повлиять на репутацию и возможность заключения контрактов;
- обязательное устранение нарушений в установленный срок, иначе следует внеплановая проверка и увеличение штрафа.
Как подготовиться к проверке Роскомнадзора Предварительный аудит документации - Проверить наличие и актуальность политики конфиденциальности, согласий, журналов учета операций с ПДн.
- Убедиться, что все внутренние нормативные акты утверждены и доведены до сотрудников.
- Оценить соответствие технических мер защиты требованиям ФЗ‑152 (шифрование, антивирусная защита, контроль доступа).
Организационные мероприятия - Назначить ответственного за защиту ПДн (ДПО или аналогичную должность).
- Провести обучение персонала по основам работы с персональными данными и процедурам реагирования на инциденты.
- Установить чёткий регламент взаимодействия с Роскомнадзором: кто принимает запросы, в какие сроки предоставляет информацию, как обеспечивается доступ к помещениям.
Техническая подготовка - Выполнить аудит информационных систем на предмет уязвимостей (пентест, сканирование).
- Обеспечить резервное копирование и возможность восстановления данных.
- Проверить наличие журналов событий и их достаточность для подтверждения соблюдения требований.
Действия во время проверки - Предоставлять запрашиваемые документы в полном объёме и в установленные сроки.
- Обеспечить доступ должностных лиц Роскомнадзора к помещениям, где осуществляется обработка ПДн.
- Фиксировать все действия проверяющих (протоколы, замечания) для возможного последующего обжалования.
- При выявлении замечаний оперативно устранять их и направлять подтверждающие документы в Роскомнадзор.
Рекомендации по минимизации юридических рисков - Регулярно (не реже одного раза в год) проводить внутренний аудит соответствия требованиям ФЗ‑152.
- Вести реестр всех операций с персональными данными и обновлять его при изменении бизнес‑процессов.
- Документировать все мероприятия по защите ПДн: приказы, инструкции, отчёты об обучении, результаты тестирования на проникновение.
- При получении жалобы субъекта ПДн немедленно проводить внутреннее расследование и информировать Роскомнадзор в случае необходимости.
- Взаимодействовать с проверяющим органом конструктивно: предоставлять запрашиваемую информацию вовремя, не препятствовать доступу к объектам контроля.
- Проверить наличие и актуальность политики конфиденциальности, согласий, журналов учета операций с ПДн.
- Убедиться, что все внутренние нормативные акты утверждены и доведены до сотрудников.
- Оценить соответствие технических мер защиты требованиям ФЗ‑152 (шифрование, антивирусная защита, контроль доступа).
Организационные мероприятия - Назначить ответственного за защиту ПДн (ДПО или аналогичную должность).
- Провести обучение персонала по основам работы с персональными данными и процедурам реагирования на инциденты.
- Установить чёткий регламент взаимодействия с Роскомнадзором: кто принимает запросы, в какие сроки предоставляет информацию, как обеспечивается доступ к помещениям.
Техническая подготовка - Выполнить аудит информационных систем на предмет уязвимостей (пентест, сканирование).
- Обеспечить резервное копирование и возможность восстановления данных.
- Проверить наличие журналов событий и их достаточность для подтверждения соблюдения требований.
Действия во время проверки - Предоставлять запрашиваемые документы в полном объёме и в установленные сроки.
- Обеспечить доступ должностных лиц Роскомнадзора к помещениям, где осуществляется обработка ПДн.
- Фиксировать все действия проверяющих (протоколы, замечания) для возможного последующего обжалования.
- При выявлении замечаний оперативно устранять их и направлять подтверждающие документы в Роскомнадзор.
Рекомендации по минимизации юридических рисков - Регулярно (не реже одного раза в год) проводить внутренний аудит соответствия требованиям ФЗ‑152.
- Вести реестр всех операций с персональными данными и обновлять его при изменении бизнес‑процессов.
- Документировать все мероприятия по защите ПДн: приказы, инструкции, отчёты об обучении, результаты тестирования на проникновение.
- При получении жалобы субъекта ПДн немедленно проводить внутреннее расследование и информировать Роскомнадзор в случае необходимости.
- Взаимодействовать с проверяющим органом конструктивно: предоставлять запрашиваемую информацию вовремя, не препятствовать доступу к объектам контроля.
- Выполнить аудит информационных систем на предмет уязвимостей (пентест, сканирование).
- Обеспечить резервное копирование и возможность восстановления данных.
- Проверить наличие журналов событий и их достаточность для подтверждения соблюдения требований.
Действия во время проверки - Предоставлять запрашиваемые документы в полном объёме и в установленные сроки.
- Обеспечить доступ должностных лиц Роскомнадзора к помещениям, где осуществляется обработка ПДн.
- Фиксировать все действия проверяющих (протоколы, замечания) для возможного последующего обжалования.
- При выявлении замечаний оперативно устранять их и направлять подтверждающие документы в Роскомнадзор.
Рекомендации по минимизации юридических рисков - Регулярно (не реже одного раза в год) проводить внутренний аудит соответствия требованиям ФЗ‑152.
- Вести реестр всех операций с персональными данными и обновлять его при изменении бизнес‑процессов.
- Документировать все мероприятия по защите ПДн: приказы, инструкции, отчёты об обучении, результаты тестирования на проникновение.
- При получении жалобы субъекта ПДн немедленно проводить внутреннее расследование и информировать Роскомнадзор в случае необходимости.
- Взаимодействовать с проверяющим органом конструктивно: предоставлять запрашиваемую информацию вовремя, не препятствовать доступу к объектам контроля.
- Регулярно (не реже одного раза в год) проводить внутренний аудит соответствия требованиям ФЗ‑152.
- Вести реестр всех операций с персональными данными и обновлять его при изменении бизнес‑процессов.
- Документировать все мероприятия по защите ПДн: приказы, инструкции, отчёты об обучении, результаты тестирования на проникновение.
- При получении жалобы субъекта ПДн немедленно проводить внутреннее расследование и информировать Роскомнадзор в случае необходимости.
- Взаимодействовать с проверяющим органом конструктивно: предоставлять запрашиваемую информацию вовремя, не препятствовать доступу к объектам контроля.
Проверки Управления Роскомнадзора по Республике представляют значительный юридический риск для любой организации, обрабатывающей персональные данные. Понимание механизма присвоения категории риска, знание типичных нарушений и своевременная подготовка позволяют не только избежать крупных штрафов, но и повысить уровень защиты данных, что в свою очередь укрепляет доверие клиентов и партнёров. Инвестиции в внутренний аудит, обучение персонала и технические меры защиты являются оправданными и необходимыми шагами в условиях ужесточения надзора в сфере персональных данных.