Проверка Роскомнадзора по персональным данным: как подготовиться оператору

Подготовка к проверке Роскомнадзора — это не срочная печать шаблонов после получения уведомления. Инспектор сопоставляет три слоя: что оператор сообщил государству в уведомлении и реестре, что написал в политике и локальных актах и что делает фактически в CRM, на сайте, в бумажном архиве и при работе с обращениями людей. Нарушение чаще всего обнаруживается именно в расхождениях между этими слоями.

На август 2026 года контроль регулируют статья 23.1 152-ФЗ, Федеральный закон №248-ФЗ и Положение, утверждённое Постановлением Правительства РФ от 29.06.2021 №1046 в редакции от 03.07.2026. Для плановых мероприятий применяется проверочный лист Роскомнадзора по приказу №253. Разберём не только перечень документов, но и процедуру: от дистанционного наблюдения до акта, предписания и жалобы.

Не всякий контакт с РКН — проверка

Оператор может получить разные документы, и последствия у них различаются:

Не следует отвечать на любой документ одинаковым «пакетом ПДнПерсональные данные — Любая информация, относящаяся к прямо или косвенно определённому физическому лицу (субъекту ПДн).». Избыточная выгрузка раскрывает лишние персональные данные и может создать новые противоречия. Ответ формируют под конкретный предмет и одновременно сохраняют исходный запрос, доказательство его получения, отправленный комплект и подтверждение доставки.

Какие формы контроля применяются

Наблюдение без взаимодействия

Роскомнадзор может анализировать общедоступную информацию, государственные реестры и открытую часть сайта без контакта с оператором. Предварительного уведомления о самом наблюдении обычно нет. Результатом могут стать предостережение, запрос или решение о дальнейшем мероприятии. Что видно на сайте, разобрано в статье о дистанционном мониторинге.

Профилактический визит

Профилактический визит проводится по месту деятельности, по видеоконференц-связи или через мобильное приложение «Инспектор». После реформы №248-ФЗ обязательный профилактический визит — уже не просто необязательная консультация: отказаться от него нельзя, оператор уведомляется, как правило, не позднее чем за 24 часа, а инспектор при необходимости может осматривать объект и истребовать документы. По итогам составляется акт; если нарушение не устранено до окончания визита, возможно предписание. Нужно отличать его от визита по инициативе самого оператора и читать основание в уведомлении.

Инспекционный визит

Это краткое мероприятие с взаимодействием по месту деятельности либо дистанционно. Инспектор действует в пределах решения и допустимых для визита контрольных действий. До передачи документов проверьте сведения о мероприятии, инспекторе, объекте, предмете, сроках и основаниях.

Документарная проверка

Проводится по месту нахождения контрольного органа. Сначала анализируются документы, уже имеющиеся у государства, результаты прежних мероприятий и сведения оператора. Затем могут быть запрошены документы и объяснения по предмету. Здесь особенно заметны несоответствия уведомления, политики, форм согласий, договоров с обработчиками и фактических процессов.

Выездная проверка

Позволяет оценить деятельность на месте: хранение бумажных дел, допуски, помещения, рабочие места и фактическое исполнение локальных процедур. Выездная проверка может проводиться и с дистанционным взаимодействием. Самый плохой момент для наведения порядка — после появления инспектора: задним числом созданные журналы и акты легко расходятся с системными событиями и перепиской.

Риск-ориентированный подход

Планирование зависит от категории риска объекта контроля. Категория и предусмотренная для неё периодичность определяются Положением №1046 и общими правилами №248-ФЗ; вместо отдельного планового контрольного мероприятия в предусмотренных случаях может проводиться обязательный профилактический визит. Но низкая категория риска не означает отсутствия контроля: жалоба, сведения об утечке, неисполненное предписание или обнаруженные признаки нарушения могут повлечь внеплановые действия.

Практически оператору важнее не угадывать дату плановой проверки, а исключить события-триггеры: поддерживать сведения реестра актуальными, отвечать субъектам в срок, не игнорировать предостережения, фиксировать уничтожение и иметь готовый процесс уведомления об инцидентах за 24 и 72 часа.

Проверочный лист №253

При плановом мероприятии инспектор использует проверочный лист по приказу Роскомнадзора №253 в редакции от 10.01.2023. Предмет такого мероприятия ограничивается вопросами листа. Это важная процессуальная гарантия, но не освобождение от требований, появившихся позднее: самостоятельная проверка в 2026 году должна учитывать действующую редакцию 152-ФЗ и подзаконные акты, включая отдельное оформление согласия с 1 сентября 2025 года, новые составы ответственности, обезличивание по статье 13.1 и актуальные правила контроля. Подробная карта — в статье о проверочном листе №253.

Что проверить до любого контакта с РКН

1. Реестр операторов

• Уведомление подано до начала обработки, если нет документированного исключения.
• Цели, категории субъектов и данных, способы, меры, ответственный и места баз совпадают с реальностью.
• Об изменениях сообщается не позднее 15-го числа следующего месяца, о прекращении обработки — в течение 10 рабочих дней.
• Трансграничная передача, если она есть, оформлена отдельным предварительным уведомлением по статье 12.

2. Публичная часть

• Политика доступна на каждой странице сайта, где собираются данные, и описывает реальные формы, cookie, сервисы и получателей.
• У каждой цели есть основание. Согласие не ставится автоматически там, где работает договор, но дополнительный маркетинг имеет отдельное подтверждаемое волеизъявление.
• Согласия с 1 сентября 2025 года отделены от договора и иных подписываемых документов; распространение оформляется отдельно по статье 10.1.
• Проверены локализация, зарубежные виджеты и трансграничные потоки.

3. Внутренние документы

• Назначен ответственный и определены его полномочия.
• Есть положение об обработке и защите ПДн, правила доступа, реагирования на обращения и инциденты, блокирования и уничтожения.
• Цели, данные, субъекты, основания, сроки и системы сведены в реестр процессов, а не разбросаны по несогласованным шаблонам.
• Проведена оценка вреда по приказу РКН №178 и внутренний контроль.
• Для ИСПДнИнформационная система персональных данных — Совокупность персональных данных в базах данных и обеспечивающих их обработку информационных технологий и технических средств. определены уровни защищённости, угрозы и меры; технические вопросы ФСТЭКФедеральная служба по техническому и экспортному контролю — Регулятор технической защиты информации (ИСПДн, ГИС, КИИ); ведёт реестр сертифицированных СЗИ. отделены от проверки законности обработки РКН, но доказательства организации защиты должны быть доступны.

4. Обработчики и получатели

• По каждому подрядчику определена роль: обработчик по поручению или самостоятельный оператор.
• Поручение содержит цели, операции, состав данных, конфиденциальность, безопасность, уведомление об инцидентах и подтверждение уничтожения.
• Передача имеет правовое основание, а политика и согласия не противоречат фактической схеме.

5. Доказательства исполнения

Одних положений недостаточно. Подготовьте обезличенные примеры и реестры: обращения и ответы, версии согласий и их отзывы, обучение работников, предоставление и прекращение доступа, проверки обработчиков, акты уничтожения и выгрузки из журналов событий, расследования инцидентов, актуализацию документов. Статус журналов разобран в статье «Какие журналы проверяет Роскомнадзор».

Как действовать после получения решения о мероприятии

1. Зарегистрировать документ и срок. Зафиксировать дату и канал получения; назначить координатора и заместителя.
2. Проверить мероприятие. Сверить запись в едином реестре контрольных мероприятий, орган, инспектора, основание, объект, предмет, вид, даты и допустимые действия.
3. Определить границы ответа. Составить матрицу «пункт запроса — документ — владелец — срок — персональные данные внутри».
4. Устранить фактическое нарушение. Исправлять можно и нужно, но нельзя оформлять вымышленные события задним числом. Текущую дату и причину корректировки фиксируют честно.
5. Подготовить представителя. Он должен знать процессы и пределы полномочий; доверенность и порядок взаимодействия готовят заранее.
6. Сделать контрольную копию. Сохранить точный состав переданных файлов, сопроводительное письмо, опись и доказательство отправки.
7. Вести протокол. Фиксировать запросы, пояснения, осмотры, замечания и возражения; не полагаться на устные договорённости.

Права оператора

• получить сведения об основании, предмете и объёме мероприятия;
• присутствовать через руководителя или уполномоченного представителя и давать пояснения;
• знакомиться с результатами и указывать в акте несогласие;
• не представлять повторно сведения, которые находятся у государственных органов, когда закон запрещает их повторное истребование;
• обжаловать решения, действия и бездействие в установленном досудебном порядке, а затем в суде.

Редакция Положения №1046 от 3 июля 2026 года дополнительно уточнила процедуру жалобы: представить дополнительные материалы по предмету жалобы — право контролируемого лица, а не безусловная обязанность; нельзя требовать у заявителя сведения, уже находящиеся у государственных и муниципальных органов или подведомственных организаций.

Результаты проверки

По итогам составляется акт. При выявлении нарушения возможно предписание с конкретными действиями и сроками, а материалы могут повлечь производство по делу об административном правонарушении. Получив акт, сразу разделите выводы на три группы: фактически подтверждённые и устранимые; основанные на неполном наборе сведений; спорные по праву или процедуре. По первым формируют план и доказательства исполнения, по вторым дают документы и пояснения, по третьим готовят мотивированные возражения или жалобу.

Типичные ошибки подготовки

• Папка шаблонов вместо реальных процессов. Документы называют несуществующие системы, цели и должности.
• Неактуальный реестр РКН. Уведомление подано, но новые цели, CRM, сайт или ответственный в нём не отражены.
• Согласие на всё. Договор, реклама, партнёры и публикация объединены без свободного выбора.
• Нет доказательств. Порядок обращений и уничтожения утверждён, но нет ни одного зарегистрированного события, акта или системной выгрузки.
• Избыточный ответ. На узкий запрос отправляют весь архив с лишними ПДн и внутренними секретами.
• Документы задним числом. Это создаёт больше риска, чем честно зафиксированное устранение нарушения текущей датой.
• Игнорирование предостережения. Необязательность штрафа на этой стадии ошибочно принимают за отсутствие необходимости реагировать.

Главное

Готовность к Роскомнадзору — это согласованность реестра, публичных документов и реальной обработки. В 2026 году оператору нужно учитывать не только плановую проверку по листу №253, но и наблюдение без взаимодействия, профилактические визиты, дистанционные мероприятия, запросы по жалобам и актуальную процедуру обжалования по ПП №1046. Начинать следует с инвентаризации целей и потоков данных, затем сверять уведомление, политику, основания, сроки, обработчиков и фактические доказательства. В ГрамотаИБ можно пройти проверочный лист, собрать документы и увидеть незакрытые требования до контакта с инспектором.