152-ФЗ
Проверка Роскомнадзора по персональным данным
Проверка Роскомнадзора относится к мероприятиям государственного контроля за соблюдением законодательства о персональных данных. Роскомнадзор проводит её в рамках 248-ФЗ «О государственном контроле» и 152-ФЗ. Подготовиться за день до контрольного мероприятия нельзя: инспектор смотрит, что опубликовано на сайте оператора и подано в реестр, а не что лежит «в папке для проверяющего».
Большинство компаний узнают о проблеме уже после того, как пришёл запрос или уведомление о проверке. К этому моменту что-то поправить «задним числом» либо поздно, либо само по себе образует нарушение (например, согласие, оформленное после жалобы субъекта). Поэтому рабочая стратегия одна: привести обработку в соответствие заранее, пока поводов для внимания Роскомнадзора нет.
С 2022 года плановые проверки бизнеса ограничены мораторием, но это не повод расслабляться: Роскомнадзор активно использует внеплановые проверки по жалобам субъектов и работников, индикаторы риска и профилактические визиты, а с ужесточением ответственности за нарушения в сфере ПДн в 2025 году цена несоответствия выросла кратно. Чаще всего внеплановую проверку запускает жалоба конкретного человека: клиента, бывшего работника, конкурента.
Мы готовим компанию к проверке системно: сканируем сайт через Chromium, сверяем фактическую обработку с документами и записью в реестре операторов, находим расхождения и устраняем их до того, как их найдёт Роскомнадзор. Если запрос уже получен, помогаем подготовить ответ (см. /otvet-na-zapros-rkn).
РоскомнадзорОрган контроля
152-ФЗ + 248-ФЗОснование
Плановые, внеплановые, профвизитыВиды
Жалоба субъектаЧастый триггер
ст. 13.11 КоАП (ужесточена в 2025)Ответственность
Какими бывают проверки Роскомнадзора
Контроль Роскомнадзора в сфере персональных данных делится на несколько форматов, и готовиться к ним нужно по-разному.
Плановые проверки проводятся по утверждённому плану и в отношении большинства субъектов малого и среднего бизнеса ограничены мораторием на плановый контроль (ПП РФ от 10.03.2022 № 336 с последующими продлениями). Основной риск сегодня несут внеплановые проверки: их инициирует жалоба субъекта, факт утечки, срабатывание индикатора риска или поручение надзорного органа, и под мораторий они, как правило, не подпадают. Профилактический визит и предостережение относятся к мягкому формату: Роскомнадзор обращает внимание на возможное нарушение без немедленных санкций, но игнорировать их нельзя, потому что они часто предшествуют полноценной проверке.
Отдельно стоит документарная проверка: Роскомнадзор не выезжает, а запрашивает документы и пояснения. Оператор в установленный срок представляет документы, которые соответствуют тому, что реально происходит на сайте и в процессах.
- Плановые: по утверждённому плану, для МСБ ограничены мораторием
- Внеплановые: по жалобе, утечке, индикатору риска (основной риск)
- Профилактический визит и предостережение: мягкий формат, предшествует проверке
- Документарная: запрос документов без выезда
Почему нельзя подготовиться к проверке за один день
Роскомнадзор проверяет не «папку с документами», а фактическое состояние: что опубликовано на сайте по постоянному адресу, что подано в публичный реестр операторов на pd.rkn.gov.ru, как реально собираются согласия. Эти признаки видны проверяющему напрямую и не зависят от того, что компания распечатала накануне.
Более того, попытка оформить документы задним числом часто создаёт новое нарушение. Например, если субъект пожаловался, что давал данные без согласия, а оператор после жалобы добавил галочку согласия, это не закрывает прошлый период, а фиксирует, что раньше согласия не было. Поэтому работает только один порядок: привести обработку в соответствие заранее, то есть опубликовать корректную политику, настроить согласия и cookie-баннер, подать или актуализировать уведомление, назначить ответственного. Тогда к моменту любого внимания Роскомнадзора оператор уже соответствует требованиям, а не догоняет их в авральном режиме.
- Роскомнадзор смотрит сайт и реестр напрямую, «папка» не помогает
- Документы задним числом часто образуют новое нарушение
- Соответствие нужно выстроить до повода для проверки
- Сайт, согласия, политика, уведомление и ответственный: всё заранее
Частые вопросы
Как проходит проверка Роскомнадзора по персональным данным?
Зависит от вида. При документарной проверке Роскомнадзор направляет запрос и ждёт документы и пояснения в установленный срок. При внеплановой выездной инспектор приходит по жалобе или индикатору риска и проверяет фактическое состояние: политику на сайте, согласия, запись в реестре операторов, локализацию баз данных, наличие ответственного за обработку. По итогам составляется акт; при выявлении нарушений выдаётся предписание об устранении и может быть возбуждено дело об административном правонарушении.
Какие проверки сейчас проводит Роскомнадзор, если действует мораторий?
Мораторий (ПП РФ от 10.03.2022 № 336 с последующими продлениями) ограничивает в основном плановые проверки бизнеса. Внеплановые проверки по жалобам субъектов, по фактам утечек и по индикаторам риска продолжаются и под мораторий, как правило, не подпадают. Также активно используются профилактические визиты и предостережения. Поэтому «мораторий» не означает, что проверок нет: основной риск сместился в сторону внеплановых.
Что проверяет Роскомнадзор на сайте?
В первую очередь инспектор смотрит, опубликована ли по постоянному адресу политика обработки персональных данных (требование статьи 18.1 152-ФЗ), есть ли корректные согласия под формами сбора данных, настроен ли cookie-баннер, не передаются ли данные третьим лицам и за рубеж без оснований. Эти признаки видны напрямую при открытии сайта, поэтому именно сайт чаще всего становится источником претензий.
Что является поводом для внеплановой проверки?
Чаще всего это жалоба конкретного человека: клиента, действующего или бывшего работника, иногда конкурента. Другие поводы: сообщение об утечке персональных данных, публикация о нарушении в СМИ или соцсетях, срабатывание индикаторов риска, поручение прокуратуры или вышестоящих органов. Жалоба одного субъекта может запустить полноценную проверку всей системы обработки ПДн в компании.
Чем грозит проверка, если найдут нарушения?
По итогам выдаётся предписание об устранении нарушений в установленный срок и может быть возбуждено дело об административном правонарушении по статье 13.11 КоАП. В 2025 году ответственность за нарушения в сфере персональных данных, в том числе за утечки, существенно ужесточена. Помимо штрафа, нарушение фиксируется, и при повторных нарушениях санкции возрастают, а несоответствие становится проблемой в B2B-договорах и при сделках.
Как подготовиться к проверке Роскомнадзора?
Заранее привести обработку в соответствие: опубликовать корректную политику обработки ПДн на сайте, настроить согласия под формами и cookie-баннер, подать или актуализировать уведомление в реестре операторов, назначить ответственного за организацию обработки, выстроить порядок ответов на обращения субъектов. Подготовку лучше начинать до того, как появится повод для внимания Роскомнадзора: задним числом сделать это корректно невозможно.
Сколько времени занимает подготовка к проверке?
Зависит от текущего состояния. Если сайт и документы приводим в порядок с нуля, уходит от нескольких дней до 1–2 недель. Если запрос Роскомнадзора уже получен и срок ответа жёсткий, работаем в этот срок, в приоритетном порядке. Начинаем с аудита, чтобы понять реальный объём расхождений между фактической обработкой и документами.
Что делать, если запрос Роскомнадзора уже пришёл?
Не игнорировать срок и не отправлять отписку. На запрос нужно дать содержательный ответ с приложением документов, которые соответствуют реальной деятельности. Мы помогаем подготовить ответ на запрос Роскомнадзора: анализируем запрос, проверяем документы, собираем материалы и формулируем ответ в установленный срок. Подробнее на странице /otvet-na-zapros-rkn.
