С 2025 года ландшафт регулирования персональных данных в России кардинально изменился. Роскомнадзор (РКН) получил расширенные полномочия, а штрафные санкции — в частности за неподачу уведомления об обработке персональных данных — кратно выросли. Игнорирование требований 152-ФЗ «О персональных данных» больше не является просто формальностью — это прямой риск для финансовой устойчивости и репутации бизнеса.

Многие собственники ошибочно полагают, что проверки касаются только крупных корпораций, банков или госсектора. На практике это не так. В фокусе внимания ведомства оказываются малый и средний бизнес, ИП, маркетплейсы, HR-агентства, медицинские клиники и любые организации, обрабатывающие данные сотрудников, клиентов или контрагентов.

В этой статье мы подробно разберем, как подготовиться к проверке, какие права имеет бизнес, как оспорить неправомерные действия инспекторов и избежать штрафов в миллионы рублей.

Виды проверок Роскомнадзора: чего ждать в 2026 году

Роскомнадзор проводит контрольные мероприятия в соответствии с Федеральным законом № 294-ФЗ «О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора)». Понимание типа проверки определяет вашу стратегию поведения.

Плановые проверки

• Частота: Не чаще одного раза в 3 года (для субъектов МСП — еще реже, часто только по основаниям).
• Основа: План работы Роскомнадзора, утверждаемый ежегодно.
• Уведомление: За 3 рабочих дня до начала (направляется через личный кабинет на Госуслугах или почтой).
• Срок: До 20 рабочих дней (с возможностью продления до 10 дней руководителем).

Внеплановые проверки

Проводится только при наличии оснований (ст. 9 ФЗ-294):

• Жалобы субъектов персональных данных (утечки, отказ в удалении, спам).
• Сообщения СМИ о нарушениях.
• Результаты предыдущих проверок (контроль исполнения предписаний).
• Обращения других госорганов (прокуратуры, ФСБ, ФНС).
• Выявление признаков обработки данных без уведомления (через реестр РКН).

Важно: Внеплановая проверка не требует предварительного уведомления, но инспектор обязан предъявить служебное удостоверение и приказ о проверке при входе.

Профилактические визиты и запрос документов

Это не проверки в строгом смысле (не влекут штрафов), но игнорировать их нельзя. Цель, консультирование и выявление рисков. Отказ в предоставлении документов по запросу (ст. 14.1 ФЗ-152) может стать основанием для назначения внеплановой проверки.

Камеральные (документарные) проверки

Проводятся на основании предоставленных документов (уведомлений, отчетов об утечках) без выезда на место. Срок, до 30 календарных дней. Часто предшествуют выездным.

---

Чек-лист подготовки: «Домашнее задание» до прихода инспектора

Лучшая защита — полная готовность. Пошаговый алгоритм от практиков:

1. Актуальность уведомления в реестре РКН. Проверьте организацию через специальный реестр РКН. Уведомление должно соответствовать реальным целям и категориям данных. С 2025 года штрафы за неподачу/неактуальность — от 300 тыс. до 15 млн руб. (ст. 19.7.5-2 КоАП РФ).
2. Локальные нормативные акты (ЛНА). Полный пакет: Политика конфиденциальности (для сайта/приложения), Положение о защите ПДн, Инструкция по защите ПДн, Журналы учета (обработки, инцидентов, выдачи носителей), Порядок действий при утечке.
3. Согласия субъектов. Аудит всех форм сбора данных (сайт, CRM, бумажные анкеты, видеонаблюдение). Согласия должны быть конкретными, информированными, волевыми. Для сотрудников, в трудовом договоре или отдельным приложением.
4. Локализация баз данных (ст. 18 152-ФЗ). Если вы обрабатываете данные граждан РФ, база обязана находиться на территории России. Исключения — перечень из ст. 6 152-ФЗ (трудовое право, договоры, перевозки).
5. Технические и организационные меры защиты (ТОМЗ). Соответствие приказам ФСТЭК (№ 17, № 21) и ФСБ. Шифрование, контроль доступа, антивирусы, резервное копирование, защита от утечек (DLP).
6. Назначение ответственного за обработку ПДн. Приказ о назначении, описание его полномочий. Для крупных операторов — назначение DPO (Data Protection Officer) и уведомление РКН о нем.
7. Учет инцидентов (утечек). Наличие журнала, процедуры уведомления РКН и субъектов в течение 24 часов (ст. 22.1 152-ФЗ).

---

Что запрашивает Роскомнадзор при выездной проверке: Топ-10 документов

Инспекторы действуют по методичке. Базовый пакет запроса (перечень документов в приказе о проверке):

1. Уведомление об обработке ПДн (копия с отметкой реестра).
2. Политика конфиденциальности (актуальная версия на сайте и для сотрудников).
3. Локальные акты: Положение, Инструкция, Порядок действий при утечке.
4. Образцы согласий (бумажных и электронных) для всех категорий субъектов.
5. Журналы учета: обработки ПДн, инцидентов безопасности, выдачи/возврата носителей, доступа к ПДн.
6. Акт категорирования объекта информатизации (ОИ) по приказам ФСТЭК/ФСБ.
7. Сертификаты средств защиты информации (СЗИ) и акты их внедрения/эксплуатации.
8. Документы на ответственного за обработку ПДн (приказ, должностная инструкция).
9. Договоры с подрядчиками (операторами по поручению) с условиями защиты ПДн (ст. 28 152-ФЗ).
10. Отчеты об оценке уязвимостей / пенттестах (если проводились).

Совет: Подготовьте «папку для инспектора» с пронумерованными копиями заранее. Это экономит время и демонстрирует системность.

---

Права бизнеса во время проверки: Как не допустить превышения полномочий

Знание своих прав — главный щит. Инспектор не имеет права:

• Требовать документы, не указанные в приказе о проверке (ст. 12 ФЗ-294).
• Изымать оригиналы документов (только копии, заверенные печатью/подписью).
• Проводить проверку дольше установленных сроков без оснований.
• Запрашивать информацию, не относящуюся к предмету проверки (например, бухгалтерию, если проверка только по ПДн).
• Вмешиваться в производственную деятельность (останавливать серверы, блокировать доступы) без решения суда.

Ваши ключевые права:

• Право на ознакомление с приказом перед началом действий.
• Право на присутствие представителя/адвоката при всех процедурах.
• Право на видеозапись/аудиозапись действий инспекторов (с уведомлением их об этом).
• Право давать письменные объяснения по любому вопросу проверки.
• Право на получение копии акта проверки в течение 5 дней после окончания.

---

Типичные нарушения и штрафы 2026 года (КоАП РФ)

Понимание санкций позволяет приоритизировать риски.

Нарушение	Статья КоАП РФ	Штрафы для юрлиц (2026 г.)
Неподача уведомления / неактуальные сведения в реестре	19.7.5-2	300 000 – 15 000 000 руб. (кратно выросли с 2025 г.)
Обработка ПДн без согласия / в нарушении целей	13.11 ч. 1	15 000 – 75 000 руб. (повторно — до 500 000 руб. или приостановка деятельности до 90 дней)
Нарушение прав субъектов (отказ в доступе, удалении, исправлении)	13.11 ч. 2	30 000 – 100 000 руб.
Неисполнение предписания Роскомнадзора	19.7.5-1	100 000 – 500 000 руб. (повторно, до 1 000 000 руб.)
Утечка ПДн (недостаточные меры защиты)	13.11 ч. 3-4	До 15 000 000 руб. (в зависимости от масштаба и категории данных)
Нарушение требований локализации (ст. 18 152-ФЗ)	19.7.5-3	1 000 000 – 6 000 000 руб.
Отказ в предоставлении документов / препятствование проверке	19.7.5	50 000 – 500 000 руб.

Аггавирующие обстоятельства: повторное нарушение в течение года, утечка биометрии/медданных/детских данных, умысел.

---

Алгоритм действий ПОСЛЕ проверки: От акта до суда

Проверка завершена, составлен Акт. Что дальше?

Этап 1: Ознакомление с Актом (5 дней)

Вам вышлют копию акта. Изучите его внимательно. Вы имеете право написать замечания/возражения к акту в течение 10 рабочих дней (ст. 18 ФЗ-294). Не игнорируйте это, это база для обжалования.

Этап 2: Предписание об устранении нарушений

Если нарушения выявлены, выдается предписание. Срок исполнения — обычно 10-30 дней.

• Исполните в срок и направьте отчет об исполнении в РКН (рекомендуется заказным письмом с вложением или через личный кабинет).
• Если предписание неправомерно (требует действий, не предусмотренных законом, или основано на ошибках акта) — обжалуйте его.

Этап 3: Обжалование (Административный порядок)

1. Вышестоящему органу РКН (территориальному управлению или Центральному аппарату) — в течение 10 дней с момента получения копии акта/предписания.
2. В суд (КАС) — в течение 3 месяцев (ст. 22 ФЗ-294). Суды часто встают на сторону бизнеса, если РКН нарушил процедуру проверки или трактует закон расширительно.

Этап 4: Протокол об административном правонарушении

Если составлен протокол (ст. 28.2 КоАП РФ):

• Ознакомьтесь, напишите «Не согласен», требуйте адвоката.
• Дело рассматривает суд (КАС) или уполномоченное должностное лицо РКН (для мелких штрафов).
• Срок обжалования решения — 10 дней (в суд).

---

Работа с жалобами субъектов: Превентивная защита

Большинство внеплановых проверок начинаются с жалобы физлица; На Портале персональных данных РКН размещена электронная форма жалобы.

Как снизить риск жалоб:

• Настройте простой и быстрый процесс реализации прав субъектов (доступ, удаление, исправление, отзыв согласия) — срок ответа 30 дней (ст. 21 152-ФЗ).
• Ведите журнал обращений субъектов и отвечайте официально (письменно/электронно).
• Не игнорируйте запросы «Удалите мои данные» — проверьте основания для хранения (налог, труд, сроки исковой давности) и мотивируйте отказ или выполните.
• Публикуйте актуальные контакты DPO/ответственного на сайте и в Политике конфиденциальности.

---

Специфика 2026 года: Новые тренды и риски

1. Автоматизированный контроль. РКН активно использует сканеры реестра, парсеры сайтов (проверка форм согласия, политики, наличия уведомления) и мониторинг утечек в даркнете. «Бумажная» готовность без технической реализации не работает.
2. Биометрия и спецкатегории. Жесточайший контроль за обработкой биометрии, медданных, данных несовершеннолетних. Штрафы максимальные.
3. Кросc-граничная передача. После ухода многих зарубежных сервисов (Google Analytics, Meta, AWS и др.) проверяется законность передачи данных за рубеж (ст. 12 152-ФЗ). Использование иностранного ПО без гарантий адекватной защиты — высокий риск.
4. ИИ и профилирование. Если вы используете ИИ для принятия автоматизированных решений (скоринг, найм, таргетинг) — требуется оценка последствий (DPIA) и информирование субъектов.
5. Видеонаблюдение. Обработка изображений = ПДн. Необходимы: основание (безопасность/охрана), уведомление (знаки/информационные стенды), ограничение доступа к записям, сроки хранения.

---

Практический чек-лист «Анти-штраф» для директора/юриста

Распечатайте и отметьте галочками ежемесячно:

• [ ] Уведомление в реестре РКН актуально (цели, категории, сроки, передача третьим лицам).
• [ ] Политика конфиденциальности на сайте соответствует 152-ФЗ и реальным процессам.
• [ ] Согласия собраны у всех категорий субъектов (сотрудники, клиенты, соискатели, посетители).
• [ ] ЛНА (Положение, Инструкция, Порядок при утечке) утверждены приказом, знакомлены под роспись.
• [ ] Ответственный за ПДн назначен, обучен, знает алгоритм действий при утечке.
• [ ] Журналы учета ведутся (бумажно или в СИЗ/CRM/DLP).
• [ ] Меры защиты (ТОМЗ) реализованы: пароли, шифрование, бэкапы, антивирус, DLP, контроль доступа к серверной.
• [ ] Локализация соблюдена: базы с ПДн граждан РФ в РФ.
• [ ] Договоры с подрядчиками (облака, колл-центры, HR-аутсорс) содержат ст. 28 152-ФЗ.
• [ ] Есть план действий на случай выездной проверки (кто встречает, где сажают, где папка с документами, контакты адвоката).

---

В 2026 году стратегия «поймаем — исправим» обходит бизнес в миллионы рублей штрафов, репутационных потерь и рисков приостановки деятельности. Защита прав бизнеса при проверках Роскомнадзора начинается не в день прихода инспектора, а за год до этого — от системной работы над документацией, технической защите и корпоративной культурой конфиденциальности.

Главные принципы выживания:

1. Системность: ПДн — это процесс, а не разовый акт.
2. Документальность: Нет документа — нет факта исполнения.
3. Проактивность: Внутренние аудиты раз в полгода дешевле внешних проверок.
4. Юридическая грамотность: Знание своих прав (ФЗ-294, 152-ФЗ, КоАП) позволяет держать инспекторов в правовом поле.

Нужен аудит готовности к проверке, разработка пакета ЛНА или защита по уже вынесенному предписанию? Обращайтесь к профильным юристам по защите персональных данных. Стоимость сопровождения несоизмеримо ниже стоимости штрафов и простоев.

---

Статья подготовлена на основе актуального законодательства (152-ФЗ, 294-ФЗ, КоАП РФ), практики Роскомнадзора и судебной практики на 2026 год. Материал носит информационный характер и не является правовым консультированием по конкретному случаю.