Проверка Роскомнадзора по персональным данным: как к ней готовиться

Что на самом деле с плановыми проверками

Начнём с фактов, а не со слухов. На сайте Роскомнадзора опубликованы планы контрольных мероприятий, и картина такая:

• план на 2024 год не формировался — не нашлось объектов контроля чрезвычайно высокой и высокой категории риска;
• план на 2025 год не формировался по той же причине;
• план на 2026 год сформирован и размещён 18 декабря 2025 года.

Причина в пункте 11(3) постановления Правительства Российской Федерации от 10 марта 2022 г. № 336: до 2030 года в планы плановых контрольных мероприятий включаются только объекты, отнесённые к категориям чрезвычайно высокого и высокого риска, а также опасные производственные объекты второго класса опасности и гидротехнические сооружения второго класса.

Вывод для обычной компании: в план плановых проверок вы, скорее всего, не попадёте. Но это не значит, что контроля нет — он просто идёт другими путями.

Как узнать, есть ли вы в плане

Ежегодные планы плановых контрольных мероприятий территориальных органов Роскомнадзора размещаются не на сайте ведомства, а в государственной информационной системе «Единый реестр контрольных (надзорных) мероприятий». Найти себя там можно по названию организации или по идентификационному номеру налогоплательщика. Проверка занимает пару минут и делается бесплатно.

По каким основаниям приходят на самом деле

Плановая проверка — лишь один из способов, и для большинства бизнесов он сейчас наименее вероятный. Реально работают четыре других канала.

• Жалоба. Самый частый вход. Пишут уволенные сотрудники, недовольные клиенты, конкуренты. Повод простой: «мои данные обрабатывают без согласия», «просил удалить — не удалили», «на сайте нет политики».
• Индикаторы риска. Их перечень утверждён приказом Министерства цифрового развития, связи и массовых коммуникаций от 15 ноября 2021 г. № 1187 (действует в редакции приказов от 17 августа 2023 г. № 720 и от 1 августа 2024 г. № 682). Индикаторы используются для оценки риска при решении о проведении внепланового мероприятия и выборе его вида. Проще говоря: система видит признак неблагополучия — и это законное основание прийти.
• Утечка данных. После инцидента внимание к компании возникает автоматически, и проверять будут не только сам факт утечки, но и весь порядок работы с данными.
• Профилактический визит и наблюдение. Визит формально не проверка: инспектор даёт рекомендации и не штрафует. Но от него нельзя просто отмахнуться — уклонение становится поводом для настоящей проверки. Отдельно ведётся наблюдение за соблюдением требований без взаимодействия с компанией: сайты смотрят и без всякого визита.

Что смотрят в первую очередь

Проверка по персональным данным — это прежде всего проверка документов и сайта. Стандартный набор вопросов сводится к тому, есть ли у вас:

• политика обработки персональных данных в открытом доступе на сайте — за её отсутствие штрафуют отдельно;
• поданное уведомление об обработке персональных данных и актуальные сведения в реестре операторов;
• формы согласий — отдельные для разных целей, а не одна общая галочка на все случаи;
• приказ о назначении ответственного за организацию обработки персональных данных;
• документы по мерам защиты — перечень баз, кто имеет доступ, чем защищаются данные;
• договоры с подрядчиками, которым вы передаёте данные: бухгалтерия на аутсорсе, сервис рассылок, облачная система учёта;
• сроки хранения и порядок уничтожения данных, когда цель обработки достигнута.

Отдельно смотрят сайт: есть ли ссылка на политику, стоит ли галочка согласия в формах заявки, не собираются ли данные, которые вам для заявленной цели не нужны.

Сколько это стоит, если документов нет

Санкции собраны в статье 13.11 Кодекса Российской Федерации об административных правонарушениях, и по разным нарушениям они разные:

• не подали уведомление об обработке персональных данных или подали с опозданием — для организаций от 100 000 до 300 000 ₽ (часть 10 статьи 13.11, введена Федеральным законом от 30.11.2024 № 420-ФЗ и действует с 30 мая 2025 года);
• нет политики обработки в открытом доступе — для организаций до 60 000 ₽ (часть 3 статьи 13.11);
• не уведомили об утечке персональных данных — для юридических лиц от 1 до 3 млн ₽ (часть 11 статьи 13.11).

За сами утечки персональных данных с 2025 года действуют отдельные повышенные санкции, а для повторных нарушений предусмотрены штрафы, рассчитываемые от выручки. Конкретный размер зависит от объёма утечки и обстоятельств, поэтому считать его «в среднем» бессмысленно — важно другое: это уже не та сумма, которую можно списать на накладные расходы.

Чек-лист подготовки: семь шагов

• Шаг 1. Проверьте себя в реестре операторов: подано ли уведомление, актуальны ли в нём сведения.
• Шаг 2. Выпишите все цели обработки: кадры, зарплата, клиенты, заявки с сайта, видеонаблюдение, пропускной режим, рассылки.
• Шаг 3. По каждой цели определите категории данных и людей, правовое основание и способы обработки.
• Шаг 4. Разместите политику обработки на сайте так, чтобы её было видно с любой страницы, и сверьте текст с тем, что происходит на самом деле.
• Шаг 5. Приведите в порядок согласия: отдельная форма под каждую цель, с датой и понятной формулировкой.
• Шаг 6. Издайте приказ об ответственном за организацию обработки и утвердите перечень мер защиты.
• Шаг 7. Проверьте подрядчиков: есть ли с ними договор с обязательствами по защите данных.

Четыре ошибки, которые видно сразу

• «Мы маленькие, нас это не касается». Освобождает не размер бизнеса, а только обработка полностью без компьютера — то есть на бумаге и без программ.
• Политика скачана из интернета и не читалась. В ней остаются чужие названия, цели, которых у вас нет, и отсутствуют те, что есть. Расхождение документа с реальностью проверяющий видит быстро.
• Одна галочка на всё. Согласие на обработку, согласие на рассылку и согласие на передачу третьим лицам — разные вещи, объединять их нельзя.
• Забыли про подрядчиков. Передали базу клиентов в сервис рассылок без договора — отвечать будете вы, а не сервис.

Как подготовиться к проверке заранее

Проверка по персональным данным почти всегда идёт по документам, а не по серверам. Соберите комплект заранее и держите его в одном месте: политика обработки, размещённая на сайте, формы согласий, приказ о назначении ответственного, перечень обрабатываемых данных и целей, документы о мерах защиты.

Отдельно проверьте соответствие: то, что написано в политике, должно совпадать с тем, что вы реально собираете. Расхождение между декларацией и практикой — самая частая претензия, и объяснить её сложнее, чем отсутствие документа.

Читайте также

Как подать уведомление и не ошибиться в форме — в статье «Уведомление в Роскомнадзор». Что вообще обязан бизнес по закону — «Персональные данные по 152-ФЗ». Полный разбор санкций — «Штрафы за нарушения с персональными данными». Как составить политику — «Политика обработки персональных данных».

Частые вопросы

И правило, которое экономит нервы: назначьте ответственного за организацию обработки персональных данных приказом и дайте ему право останавливать процессы, где данные собираются без основания. Без таких полномочий ответственный существует только на бумаге.

Полезная привычка — раз в полгода проходить по всем точкам сбора данных: формы на сайте, анкеты, мессенджеры, видеонаблюдение, кадровые документы. Практика меняется быстрее документов, и расхождение между ними обнаруживается именно в таких обходах, а не при проверке.