Проверки Роскомнадзора по защите персональных данных в 2026 году: что проверяют и как подготовиться

Кто проверяет операторов персональных данных и что входит в полномочия каждого регулятора?

Три ведомства следят за соблюдением законодательства о ПДн, но у каждого своя зона ответственности. РКН проверяет документы и процессы, а ФСТЭК и ФСБ следят за техникой и шифрованием.

Главная ошибка операторов — смешивать полномочия регуляторов. Роскомнадзор не придет проверять, правильно ли настроен ваш межсетевой экран или какого класса криптошлюз стоит в серверной. Это компетенция ФСТЭК и ФСБ. А вот наличие политики конфиденциальности, актуальность уведомления в реестре и корректность согласий на обработку проверит инспектор РКН.

Косвенно к проверяющим органам также можно отнести:

• Минцифры (в том числе осуществляет нормативное регулирование в сфере защиты ПДн, обрабатывает запросы субъектов, но не проводит контрольно-надзорные мороприятия);
• Роспотребнадзор (обеспечивает соблюдение требований закона в договорах с потребителями, в том числе, в части защиты персональных данных);
• Роструд (предмет котроля — корректность обработки персональных данных в трудовых отношениях).

Какие бывают проверки Роскомнадзора по 152-ФЗ?

Закон предусматривает три основных формата контрольных мероприятий. Проверки делятся на плановые, внеплановые, а кроме того возможны и профилактические визиты. Это три разных инструмента с разными основаниями и разной степенью серьезности для оператора.

Плановые проверки включаются в ежегодный план, который РКН согласовывает с Прокуратурой и публикует заранее. Проверка может быть как документарной, так и выездной.

Документарная проверка проводится по месту нахождения самого Роскомнадзора: инспектор никуда не приезжает, оператор получает запрос и направляет документы регулятору. Срок проведения не превышает 10 рабочих дней.

Выездная проверка — это визит инспектора к оператору. О ней уведомляют не позднее чем за 24 часа до начала (п. 52 ПП РФ №1046). Срок проведения составляет также не более 10 рабочих дней.

Инспекционный визит — разовый выезд к оператору, ограниченный одним рабочим днем. Профилактический визит — самый мягкий формат. РКН указывает оператору на выявленные нарушения, штрафов не выписывает. Однако если нарушения не устранены, оператору выдается обязательное предписание об их устранении. Игнорирование предписания РКН в свою очередь повлечет привлечение оператора к административной ответственности.

Мораторий на проверки РКН: от чего он защищает, а от чего нет?

В России с 2022 года действуют ограничения на плановые контрольные мероприятия: МСП и IT-компании защищены мораторием от включения в ежегодный план РКН. Количество плановых визитов действительно сократилось. Именно поэтому многие предприниматели посчитали, что проверки РКН им теперь не грозят.

Это заблуждение обходится дорого. Мораторий не защищает от внеплановых проверок, которые начинаются по жалобе субъекта ПДн, факту утечки или неисполненному предписанию. Клиент написал жалобу, что не может удалить свой аккаунт с вашего сайта, или уволенный сотрудник пожаловался, что его данные хранятся без оснований — РКН начнет внеплановую проверку. Ни в том, ни в другом случае мораторий не является препятствием.

Как часто проводятся плановые проверки Роскомнадзора по 152-ФЗ?

Периодичность плановых проверок зависит от категории риска оператора. Чем выше категория, тем чаще проводятся проверки.

С 2021 года в сфере государственного контроля действует риск-ориентированный подход (248-ФЗ). Роскомнадзор присваивает каждому оператору категорию риска, исходя из масштаба обработки ПДн, наличия прошлых нарушений и характера деятельности. Медицинские организации, банки, операторы связи, как правило, попадают в группы высокого риска. Интернет-магазин с небольшой базой клиентов — обычно в низкую.

Какие есть основания для проведения внеплановой проверки и что ими не является?

Внеплановая проверка начинается по конкретному поводу. Четыре основных триггера: жалоба, утечка, предписание и требование прокурора. Все остальное основанием не является.

Что является основанием (ст. 23.1 152-ФЗ и ст. 57 248-ФЗ):

• Жалоба субъекта ПДн, т.е. клиента, сотрудника или пользователя сайта на нарушение его прав. Достаточно одного обращения через портал РКН или письма в территориальное управление.
• Истечение срока исполнения ранее выданного предписания. Если РКН уже выносил предписание об устранении нарушений, а оператор его проигнорировал, внеплановая проверка неизбежна.
• Утечка персональных данных или информация о ней в открытом доступе. Регулятор мониторит даркнет и публичные слитые базы.
• Поручение Прокуратуры или иного уполномоченного органа. Применяется при масштабных нарушениях или в рамках межведомственных расследований.
• Выявление признаков нарушений в ходе мониторинга без взаимодействия с оператором — например, автоматическая проверка сайта на наличие политики конфиденциальности или cookie-баннера.
• Уклонение от обязательного профилактического физита — несмотря на то, что ОПВ можно отнести к мягкой форме контрольных мероприятий, уклонение от профилактического физита будет являться самостоятельным основанием для внеплановой проверки со стороны РКН.

Что НЕ является основанием для внеплановой проверки:

• Анонимная жалоба без указания данных заявителя. РКН не обязан реагировать на такие обращения как на основание для проверки.
• Общие подозрения конкурентов без подтверждающих фактов. Жалоба должна содержать конкретные указания на нарушение, а не общие претензии.
• Истечение плановых циклов. Плановая и внеплановая проверки не связаны друг с другом и имеют разные основания.
• Публикации в СМИ или соцсетях без официального обращения в РКН. Сами по себе они не запускают проверку, хотя могут стать поводом для последующей жалобы.

Что проверяет инспектор РКН: документарная и выездная проверки

Документарная проверка проводится заочно: РКН направляет мотивированный запрос с перечнем документов или объяснений, которые оператор обязан предоставить в установленный срок. Сама проверка проводится в течение 10 рабочих дней. Выездная проверка предполагает личный визит инспектора в офис компании. Он может изучить как документы, так и фактические процессы работы с ПДн: поговорить с сотрудниками, просмотреть рабочие системы, запросить доступ к базам.

Что инспектор запросит в первую очередь:

• Уведомление об обработке ПДн, поданное в РКН, и актуальность сведений в нем.
• Политика конфиденциальности (опубликована ли на сайте, соответствует ли реальным процессам).
• Формы согласий на обработку ПДн для каждой категории субъектов: клиентов, сотрудников, пользователей сайта.
• Локальные нормативные акты: положение об обработке ПДн, регламент работы с данными, приказ о назначении ответственного лица.
• Журнал учета обращений субъектов ПДн и доказательства реагирования на них.
• Согласия на обработку специальных категорий ПДн (если применимо)
• Документы, подтверждающие локализацию данных: сведения о местонахождении серверов и баз данных.
• Документы по трансграничной передаче ПДн (уведомление РКН, если данные передаются за рубеж).
• Соглашения с поручителями — подрядчиками, которым оператор передает ПДн для обработки.
• Инструкции и приказы о доступе к ПДн: кто и на каком основании работает с данными внутри компании.

Какие шаги предпринять при подготовке к проверке Роскомнадзора?

Подготовку к проверке РКН разумно разбить на три уровня: минимум, достаточный для выживания, средний, закрывающий типичные нарушения, и уверенный, при котором штрафы маловероятны.

Уровень 1. Минимум — закрыть самые частые нарушения

• Подать уведомление в РКН о начале обработки ПДн, если оно еще не подано.
• Опубликовать на сайте актуальную политику конфиденциальности.
• Разместить на всех формах сбора данных корректные чекбоксы согласия.

Уровень 2. Достаточный — системная работа с документами

• Сверить сведения в уведомлении РКН с реальными процессами: цели обработки, категории данных, перечень систем.
• Подготовить положение об обработке ПДн и назначить ответственного сотрудника приказом.
• Зафиксировать порядок реагирования на запросы и жалобы субъектов в журнале обращений.
• Проверить соглашения с подрядчиками: в них должны быть пункты об обработке ПДн по поручению.

Уровень 3. Уверенный — комплексная готовность

• Провести полный внутренний аудит: составить карту потоков ПДн — откуда данные приходят, где хранятся, кому передаются.
• Проверить трансграничную передачу: если используете Google Analytics или Google формы, зарубежные CRM, Notion, Jira, нужно уведомление о трансграничной передаче.
• Убедиться, что данные физически хранятся на серверах в России (требование локализации по ст. 18 152-ФЗ).
• Организовать систему ответов на запросы субъектов: не позднее 30 дней на блокирование/уничтожение при отзыве согласия.

Что грозит за нарушения, выявленные при проверке Роскомнадзора?

Проверка РКН редко заканчивается одним нарушением — инспектор проверяет весь комплект. Каждое нарушение образует отдельный состав, и штрафы суммируются.

Санкции установлены статьей 13.11 КоАП РФ. С 30 мая 2025 года штрафы кратно выросли: поправки ФЗ №420-ФЗ от 30.11.2024 ввели новые части статьи и подняли суммы. Для среднего бизнеса по итогам одной проверки штрафы легко могут превысить миллион рублей, если одновременно нарушены требования к уведомлению, согласиям и политике конфиденциальности.

Помимо штрафов, при повторных или системных нарушениях РКН вправе инициировать блокировку ресурса для российских пользователей. Это инструмент крайней меры, но при отказе исполнять предписания он применяется.

Заключение

Если заблаговременно подготовиться к проверке и в постоянном режиме соблюдать требования 152-ФЗ, бояться ее не стоит. Основной сценарий, который приводит к штрафам: компания годами работает с данными клиентов и сотрудников, считает что у нее все в порядке, а при первой же проверке обнаруживается, что уведомление не подано, политика не обновлялась три года, а согласия оформлены не по той форме. За каждое из этих нарушений предусмотрен отдельный штраф.

Грамотно выстроенный порядок обработки ПДн внутри компании и актуальный пакет документов поможет выстоять перед любой проверкой.

Поделиться в социальных сетях:

Наталия Рагулина

Руководитель юридического отдела

8 лет опыта

более 300 выигранных дел

Автор статьи

125 публикаций на сайте

Подробнее о специалисте