Как подготовиться к плановой проверке Роскомнадзора: полное руководство для операторов персональных данных

Представьте ситуацию: вы открываете Единый реестр проверок и видите там ИНН своей компании. Или того хуже — получаете официальное уведомление на бланке Роскомнадзора (Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций). Плановая проверка предстоит через считанные недели.

Ещё несколько лет назад к защите персональных данных относились как к бумажной формальности. Сегодня это один из главных бизнес-рисков. С внесением изменений в КоАП в части ужесточения ответственности и введения оборотных штрафов за утечки (до 3% от годовой выручки), проверка Роскомнадзора перестала быть рядовым событием. Для оператора персональных данных, будь то крупный холдинг или небольшая клиника, цена ошибки теперь исчисляется сотнями тысяч и даже миллионами рублей.

В этой статье мы разберём алгоритм подготовки к проверке Роскомнадзора в сфере персональных данных (далее – ПДн). Вы узнаете, на что чаще всего обращают внимание проверяющие, какие документы должны быть утверждены в организации и за что штрафуют чаще всего.

Плановая проверка Роскомнадзора – основы, которые нужно знать

Что проверяет Роскомнадзор

Роскомнадзор осуществляет государственный контроль сразу в нескольких сферах. Важно с самого начала понимать предмет вашей проверки:

В данной статье мы cфокусируемся на самом массовом виде контроля — проверке в сфере обработки персональных данных.

Правовая база плановых проверок в 2026 году

Контрольно-надзорная деятельность за соответствием обработки ПДн требованиям законодательства строго регламентирована. В процессе проведения проверки проверяющие лица используют проверочные листы, формы которых утверждены Приказом Роскомнадзора № 253 от 24.12.2021. При подготовке к проверке вы можете использовать данные материалы, чтобы оценить выполнение требований законодательства и максимально подготовиться к приезду проверяющих.

В 2026 году продолжает действовать мораторий на плановые проверки Роскомнадзора до 2030 года согласно Постановлению Правительства № 336 от 10.03.2022. Однако он не означает полную свободу для операторов ПДн. Во-первых, организации высоких категорий риска под мораторий не попадают. Во-вторых, плановые проверки массово заменяются профилактическими визитами, документарными проверками. А в случае инцидента (утечки ПДн) к вам придут с внеплановой проверкой, невзирая на действующий мораторий. В-третьих, Роскомнадзор продолжает проводить массовые проверки сайтов на выполнение требований законодательства по ПДн еще с 2024 года. Избежать такого вида проверки практически невозможно, поэтому важно уже сейчас провести аудит сайта и привести его «в порядок».

Скачайте бесплатный чек-лист по работе с сайтом — используйте его как пошаговую дорожную карту подготовки сайта к проверкам

Наличие моратория никак не освобождает операторов ПДн от выполнения требований законодательства по ПДн.

Как узнать, что ваша организация включена в план проверок

График проверок Роскомнадзора на очередной календарный год формируется до конца предыдущего года. Операторы ПДн не попадают в план проверок с определенной периодичностью, частота таких мероприятий зависит от разных факторов, от формы контрольно-надзорного мероприятия, категории риска оператора или иных оснований для проведения внеплановой проверки.

Чтобы проверка не была сюрпризом, следует выполнить шаги:

1. Зайдите в ЕРКНМ (Единый реестр контрольных мероприятий) на сайте https://proverki.gov.ru/portal

2. Введите ИНН или ОГРН, наименование вашей компании.

3. Проверьте сайт территориального управления Роскомнадзора вашего региона (например, в разделе План деятельности Управления).

Виды контрольных мероприятий

Роскомнадзор проводит несколько видов мероприятий:

1. Профилактические мероприятия. Например, консультирование, информирование, обобщение практики, консультирование, предостережения и обязательные профилактические визиты. Выявленные нарушения в процессе проведения такого типа мероприятий могут привести к проведению внеплановых контрольных мероприятий в отношении оператора ПДн.

2. Плановые контрольно-надзорные мероприятия. Проводятся в форме инспекционного визита, документарной проверки или выездной проверки. О проведении плановой проверки Роскомнадзор уведомляет не позднее чем за 3 рабочих дня (через Госуслуги или заказным письмом).

3. Внеплановые контрольно-надзорные мероприятия. Зачастую данный вид мероприятий проводится в случае выявления нарушений в действиях оператора ПДн, жалоб или обращений в РКН на оператора ПДн, отправки недостоверных сведений в РКН. При проведении внеплановой проверки Роскомнадзор может уведомить в день начала (поручение правительства, прокуратуры либо угроза утечки данных) либо за 24 часа (документарная проверка по жалобе субъекта ПДн).

4. Мероприятия по контролю без взаимодействия с контролируемым лицом. Например, мониторинг сайта операторов ПДн.

Категории риска и периодичность проверок

Роскомнадзор использует риск-ориентированный подход, то есть периодичность проведения плановых контрольных (надзорных) мероприятий зависит от присвоенной категории риска согласно Постановлению Правительства РФ № 1046 от 29.06.21. Чем больше данных и чем они чувствительнее, тем чаще вас проверяют:

Что проверяет Роскомнадзор: полный перечень из 6 блоков

Инспектор Роскомнадзора не смотрит установленные средства защиты информации, например, антивирусы или настройки межсетевых экранов, так как это компетенция ФСТЭК России. Проверяющий выявляет правовые и документальные несоответствия обработки ПДн в организации требованиям законодательства. Далее рассмотрим основные блоки проверки Роскомнадзора.

Блок 1 – Уведомление об обработке ПДн (Реестр операторов)

Согласно ст. 22 152-ФЗ, до начала обработки персональных данных (например, с момента создания организации, до приема работников в организацию) вы обязаны подать уведомление о намерении осуществлять обработку персональных данных в Роскомнадзор. Исключения (ч. 2 ст. 22 152-ФЗ) настолько сужены, что подавать уведомление сегодня должны 99% компаний.

Информацию по вашей организации в Реестре операторов можно просмотреть по ссылке https://pd.rkn.gov.ru/operators-registry/operators-list, указав ИНН организации.

• Что проверяют: Наличие вашей компании на портале pd.rkn.gov.ru и соответствует ли информация в реестре в нем действительности. Поэтому очень важно своевременно уведомлять Роскомнадзор о произошедших изменениях, например, о смене ответственного лица или цели обработки. Необходимо не позднее 15-го числа месяца, следующего за месяцем, в котором возникли изменения, уведомить Роскомнадзор о произошедших изменениях.

• Типичная ошибка: Уведомление подано, например, в 2018 году, с тех пор у вас появился сайт, автоматизированный бухгалтерский и кадровый учет, а в реестре всё ещё указана только бумажная обработка ПДн. Вы обязаны вовремя актуализировать и направить уведомление в Роскомнадзор об изменении сведений, содержащихся в уведомлении о намерении осуществлять обработку ПДн.
  
  

Блок 2 – Согласия на обработку ПДн

Сбор согласий на обработку ПДн – важный этап в процессе обработки ПДн оператором. Формы согласий должны соответствовать требованиям законодательства. Регулятор делает акцент на предметности, конкретности, информированности, однозначности. В ряде случаев, предусмотренных федеральным законом, оператор обязан иметь письменное согласие субъекта на обработку его персональных данных. Самые распространенные из них:

• обработка специальных категорий персональных данных;

• обработка биометрических персональных данных (обратите внимание, что фотография в личном деле сотрудника не считается биометрией).

Что проверяют:

• Согласие субъекта на обработку ПДн. Инспектор захочет ознакомиться с письменной формой согласия на обработку персональных данных, соответствует ли форма согласия строгим требованиям ч. 4 ст. 9. 152-ФЗ.

• В случае поручения/передачи организацией данных третьему лицу форма должна содержать согласие субъекта на поручение обработки такому лицу, в договоре с этим лицом отдельно прописываете условие о конфиденциальности.

• Согласие на обработку ПДн, разрешённых для распространения (ст. 10.1). Например, если вы публикуете фото сотрудников на сайте или отзывы клиентов с именами – вам нужна отдельная форма согласия. Запрещены «общие» согласия, такое согласие должно оформляться отдельно от иных согласий, а его содержание должно удовлетворять требованиям, утвержденным приказом Роскомнадзора от 24.02.2021 № 18.

Типичная ошибка: Согласие составлено не по форме, отсутствует какой-либо обязательный пункт или вовсе забыли взять необходимое согласие.

Блок 3 – Документация по защите ПДн

Роскомнадзор обязательно запросит внутренние документы по обработке и защите персональных данных. Например, приказы о назначении ответственных, политики, документация об обрабатываемых ПДн в ИСПДн и на бумажных носителях, модели угроз, журналы, порядки, формы ознакомления, обязательства о соблюдении конфиденциальности и так далее. Их наличие и содержание проверят на соответствие законодательству и действительности. Также проверяется не только само содержание документов, но и ознакомление работников с документами, заполнение журналов, например, журнала обращения субъектов ПДн. Выполнение всех мероприятий должно быть документально оформлено.

Блок 4 – Политика обработки ПДн

Согласно ст. 18.1 ч. 2 оператор обязан обеспечить неограниченный доступ к документу, определяющему Политику обработки ПДн в организации (Политика). Например, на официальном сайте, если его нет, то в уголке потребителя. То есть любой желающий должен иметь доступ к вашей Политике. Это не опция, а обязанность.

Что проверяют: Ссылка на Политику должна быть в подвале сайта или в разделе «Документы» и на каждой странице сайта, где собираются ПДн (формы обратной связи, заявки, регистрация). В самой Политике должны быть чётко расписаны цели, сроки обработки и хранения ПДн и категории субъектов, чьи ПДн обрабатываются.

Отдельно для государственных и муниципальных органов:

Политику нужно опубликовать в течение 10 дней после утверждения. Это требование п. 2 постановления Правительства РФ от 21.03.2012 № 211.

Типичная ошибка: Иногда операторы публикуют Политику группы компаний/головной организации, а не собственную, либо вместо Политики публикуют ссылку на текст согласия на обработку персональных данных; Политика «спрятана» на сайте, находится не на видном месте; в Политике отсутствуют положения, предусмотренные п. 2 ч. 1 ст. 18.1 ФЗ-152. Все это регулятор расценивает как нарушение требований к размещению документа, определяющего Политику в отношении обработки персональных данных.

Блок 5 – Сайт, приложения и cookies

Регулятор и его методы проверки не стоят на месте, Роскомнадзор может проверять сайты дистанционно, используя автоматизированные системы мониторинга. Поэтому Роскомнадзор рассмотрит ваш сайт до того, как переступит порог офиса. Сайт (баннер с cookies, форма обратной связи или заявка на обратный звонок) – это ваше цифровое лицо, которое всегда находится в открытом доступе, именно сюда в первую очередь обратит внимание проверяющий.

Что проверяют:

• Формы сбора ПДн: Есть форма обратной связи? Это может быть все что угодно: форма обратной связи, заявка на консультацию, обратный звонок, подписка на рассылку, регистрация на вебинар, форма оформления заказа. Везде, куда пользователь вводит свои имя, телефон или электронную почту, должны быть соблюдены простые, но обязательные условия. Под ней должен быть checkbox с текстом согласия на обработку ПДн и ссылка на Политику.

• Cookies, метрики. Дело в том, что даже простые счетчики посещаемости, такие как Яндекс Метрика, собирают метрические данные, которые относятся к персональным данным. Поэтому простой баннер «Мы используем cookies» уже не работает. Теперь требуется полноценное согласие пользователя на обработку ПДн с помощью cookies. Причем согласие должно быть активным: пользователь должен совершить осознанное действие – например, нажать кнопку «Согласен». И у него должна быть возможность отказаться или выбрать, какие именно cookies разрешить. Сам баннер должен содержать четкий и понятный текст, объясняющий, какие данные собираются и для каких целей. А ссылка на Политику обработки персональных данных обязательна. Роскомнадзор обращает особое внимание на то, может ли пользователь отказаться от сбора данных без потери функциональности сайта. Если отказ от cookies никак не предусмотрен или скрыт за несколькими кликами – это тоже нарушение.

Типичные ошибки:

Самая распространенная проблема – отсутствие cookie-баннера вообще. Многие компании до сих пор считают, что их сайт просто «показывает информацию» и не собирает персональные данные.

Вторая ошибка – формальное согласие. Когда чекбокс уже отмечен по умолчанию, или ссылка на Политику ведет в никуда. Автоматизированные системы Роскомнадзора проверяют не только наличие форм и баннеров, но и корректность работы ссылок. Если на сайте есть ссылка на Политику или согласие на обработку ПДн, но она ведет на страницу с ошибкой 404 – инспектор увидит это и зафиксирует.

Третья – путаница между формами сбора. Часто компании используют один текст согласия для всех способов сбора данных: и для обратной связи, и для подписки, и для регистрации. Но цели обработки разные, и согласия должны быть разными. Если вы собираете данные для рассылки – в согласии должны быть указаны именно цели рассылки.

Четвертая – игнорирование мобильных приложений. Проверяют не только сайты, но и мобильные приложения. Там действуют те же правила: формы сбора, согласия, политика и обработка cookies.

Блок 6 – Локализация баз данных

Согласно ст. 18 ч. 5 оператор должен обеспечить обработку персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, указанных в пунктах 2, 3, 4, 8 ч. 1 ст. 6 ФЗ-152.

Что проверяют: Представитель Регулятора запросит договоры с хостинг-провайдерами. Если ваша первичная база данных крутится на Google Cloud или серверах зарубежной компании – это прямое нарушение с большими штрафами.

Типичная ошибка: Если оператор осуществляет сбор персональных данных посредством форм сбора иностранных сервисов, базы данных которых расположены за пределами Российской Федерации, это будет считаться нарушением. Также будет считаться нарушением обработка персональных данных, осуществляемая посредством зарубежных метрических программ (например, Google Analytics).

Основные шаги в подготовке к проверке

Если готовиться к проверке системно, она превращается из неожиданной срочной задачи в рутинный процесс, который вы проходите без лишних сомнений. Самый легкий способ получить штраф – сначала прописать Политику и всю документацию, а потом подгонять под них реальные процессы.

Правильный подход ровно противоположный: сначала разбираемся, что у вас происходит на самом деле, а потом уже оформляем документы.

ШАГ 1. Внутренний аудит: необходимо увидеть реальную картину

Не начинайте писать документы, пока не поймёте, что именно происходит с персональными данными в компании.

1. Создайте рабочую группу. В нее могут войти: ответственный за организацию обработки ПДн, юрист, ИТ-специалист. Их задача –детально изучить все процессы компании, касающиеся обработки ПДн.

2. Проведите аудит для выявления и анализа всех процессов обработки ПДн в вашей организации. Выпишите все процессы: кого нанимаем? кому продаём? что собираем? в каких системах храним? кому передаём? когда удаляем?

3. Матрица несоответствий: Сравните реальность с требованиями 152-ФЗ и составьте план устранения нарушений.

Узнайте больше об аудите информационных систем в наших материалах:

• Статья «Как провести идеальный аудит»

• Подкаст «Аудит информационных систем»

Не хватает внутренних ресурсов на полный аудит? Закажите комплексный аудит информационных систем. Мы проведём полноценный аудит информационной безопасности и дадим подробный отчет с выявленными нарушениями и рекомендациями по их устранению.

ШАГ 2. Назначение ответственных лиц

В соответствии с ч.2 ст.22.1 152-ФЗ в организации должно быть назначено лицо, ответственное за организацию обработки персональных данных.

Рекомендуется назначить работника из числа руководящего состава (например, заместителя руководителя) вашей организации, так как именно ему легче всего организовать обработку персональных данных, а также делегировать часть возложенных функций.

В соответствии с п. 14 постановления Правительства РФ от 01.11.2012 № 1119 необходимо назначение ответственного за обеспечение безопасности персональных данных. Нормы законодательства не определяют, кто должен быть назначен ответственным за обеспечение безопасности персональных данных. Исходя из нашей практики, ответственным за обеспечение безопасности ПДн обычно назначается специалист в области информационных технологий (например, начальник отдела безопасности информации, начальник ИТ-отдела, программист, системный администратор) вашей организации.

Помимо данных ответственных также необходимо назначить ряд лиц, отвечающих за хранение бумажных носителей, за обезличивание ПДн, комиссии по оценке вреда и так далее.

ШАГ 3. Разработка и утверждение необходимой документации

Когда аудит проведен и ответственные назначены, приходит время самого объемного этапа – документации. Разработайте и утвердите все необходимые локальные акты по обеспечению безопасности ПДн.

Еще одним важным требованием является ознакомление всех сотрудников, имеющих доступ к персональным данным, с законодательством и внутренними документами в области защиты ПДн под подпись. Инспектор обязательно запросит листы ознакомления.

ШАГ 4. Подача уведомления об обработке персональных данных в Роскомнадзор

Откройте реестр операторов на сайте Роскомнадзора и найдите свою организацию. Если уведомление ранее не было подано, то самое время это сделать. Если же сведения в реестре операторов по вашей организации есть, то сравните информацию из реестра с тем, что указано в ваших документах, в политике на сайте. Если данные различаются (изменились цели, состав передаваемых данных или адреса места расположения баз данных), необходимо уведомить Роскомнадзор, подав уведомление об изменении сведений.

ШАГ 5. Приведение сайтов в порядок

Сайты и приложения. Приведите сайты в порядок. Внедрите cookie-баннеры, перепишите тексты согласий под формами, проверьте локализацию серверов. Дополните договоры с обработчиками, добавив пункт о «поручении обработки ПДн».

ТОП-20 нарушений, за которые Роскомнадзор штрафует чаще всего

1. Обработка без правового основания. Нет ни согласия, ни договора, ни закона, обязывающего собирать и хранить данные.

2. База данных за рубежом. Нарушение локализации.

3. Обработка избыточных персональных данных субъекта или не соответствующих целям обработки. Данные собирались для оформления заказа товара, а используются для спам-рассылки по оформлению кредитных карт.

4. Отсутствие согласия на распространение ПДн. Фото лучших сотрудников компании размещены на сайте, но согласия на распространение ПДн с сотрудников не собрали.

5. Скрытие утечки ПДн. Инцидент произошёл, но РКН за 24 часа не уведомили.

6. Отсутствие в Реестре операторов. Или данные в уведомлении устарели.

7. Согласия не соответствуют форме, установленной согласно ст. 9 152-ФЗ.

8. Политика ПДн не опубликована на сайте.

9. Политика скачана из интернета и не соответствует реальным бизнес-процессам организации.

10. Не проведена оценка вреда, который может быть причинен субъектам персональных данных в случае нарушения Федерального закона «О персональных данных».

11. Нет актов уничтожения ПДн, у которых истек срок обработки и хранения.

12. Проигнорирован запрос субъекта ПДн (или ответ дан позже 10 дней).

13. В компании не назначены все необходимые ответственные.

14. Не подписаны NDA (обязательства о неразглашении) с сотрудниками.

15. Журнал учёта обращений граждан не ведется надлежащим образом или вовсе отсутствует.

16. Перечень допущенных к обработке ПДн лиц не актуализируется.

17. Поручение обработки ПДн осуществляется без заключения соответствующего договора поручения/пункта о конфиденциальности в действующем договоре.

18. На сайте в формах сбора ПДн нет согласия, ссылки на Политику. Cookie-файлы собираются без согласия.

19. Документы есть, утверждены, а вот Листы ознакомления лежат пустыми.

20. Трансграничная передача осуществляется без уведомления РКН.

Штрафы Роскомнадзора 2026

С 11 декабря 2024 года вступил в силу Федеральный закон от 30.11.2024 № 421-ФЗ «О внесении изменений в Уголовный кодекс Российской Федерации», согласно которому штрафы за нарушение законодательства РФ в области персональных данных (ст.272.1) ужесточились.

Административные штрафы (ст. 13.11 КоАП РФ)

Оборотные штрафы за утечки (420-ФЗ)

Также Федеральным законом от 30.11.2024 № 421-ФЗ впервые за нарушения обработки ПДн для юридических лиц были введены оборотные штрафы.

Так, если произошла повторная утечка ПДн субъектов ПДн или идентификаторов независимо от их объемов (КоАП РФ ч. 12–14 ст. 13.11) и правонарушитель ранее был наказан за подобные утечки и (или) наказан за утечки специальных категорий ПДн и биометрических ПДн (КоАП РФ ч. 16-18 ст. 13.11) налагается штраф от 1 до 3% совокупного размера суммы выручки, полученной от реализации всех товаров (работ, услуг) за календарный год, предшествующий году, в котором было выявлено административное правонарушение, но не менее 20 000 000 р. и не более 500 000 000 р.

В 2026 году уже были инциденты, связанные с утечками ПДн, которые повлекли наложение штрафов на организации. С примерами вы можете ознакомиться к нашей статье по защите ПДн в 2026 году.

Как выстроить постоянную готовность (Privacy by Design)

Подготовка к проверке за месяц до её начала – это стресс. Лидеры рынка давно ушли от такой модели. Они переходят к концепции непрерывного compliance – когда защита данных встроена в бизнес-процессы на постоянной основе, а не включается в экстренный режим перед приходом проверяющих.

• Privacy by Design. Встраивайте защиту ПДн в архитектуру. Вопросы защиты персональных данных решаются не постфактум, а на этапе планирования любой новой активности. Это касается всех подразделений. Маркетологи запускают новый лендинг – ИБ-отдел должен автоматически предусмотреть чекбокс, подготовить согласие.

• Регулярное обучение. Важно обновлять программу обучения при изменениях законодательства или внутренних процессов. И обязательно фиксировать факт прохождения: журналы, подписи, результаты тестов.

• Репетиция утечек. Разработать регламент действий при утечке – это полдела. Важно проверить, работает ли он в реальности. Для этого проводите киберучения. Учения выявляют слабые места, которые невозможно увидеть в теории. И лучше обнаружить их в ходе репетиции, чем в момент реальной утечки, когда на счету часы, а штрафы исчисляются миллионами.