Проверки Роскомнадзора вызывают у операторов персональных данных больше вопросов, чем ответов: когда придут, что смотрят, чем грозит нарушение. В 2026 году порядок контроля строится на 152-ФЗ и 248-ФЗ о государственном контроле, а часть проверок проводится дистанционно - без визита инспектора в офис. Собрали ответы на вопросы, которые чаще всего задают перед проверкой или после получения уведомления от ведомства.
Коротко
- Роскомнадзор проверяет операторов персональных данных в рамках плановых, внеплановых проверок и дистанционного мониторинга по ст. 22 152-ФЗ.
- Плановые проверки формируются по графику и известны заранее, внеплановые - реакция на жалобу, инцидент или предписание.
- Дистанционный мониторинг сайта проводится без уведомления оператора и без визита - инспектор просто открывает сайт.
- Чаще всего проверяют политику обработки персональных данных, согласия, формы сбора данных и уведомление в реестре операторов.
- За нарушения предусмотрена административная ответственность по ст. 13.11 КоАП РФ, штрафы зависят от вида нарушения.
Чем плановая проверка отличается от внеплановой
Плановая проверка проводится по ежегодному плану контрольных мероприятий, который Роскомнадзор публикует заранее. Организация, как правило, видит себя в плане и успевает подготовиться. Периодичность плановых проверок зависит от категории риска, к которой отнесён оператор.
Внеплановая проверка назначается вне графика и обычно связана с конкретным поводом: жалобой субъекта персональных данных, сообщением об утечке, требованием прокуратуры или невыполнением ранее выданного предписания. Порядок организации и проведения обоих видов проверок регулируется 248-ФЗ о государственном контроле (надзоре).
Что такое дистанционный мониторинг и чем он отличается от проверки
Согласно ст. 22 152-ФЗ, Роскомнадзор вправе вести мониторинг общедоступных источников, включая сайты, без проведения контрольного мероприятия в классическом понимании. Инспектор открывает сайт, изучает публичные страницы, формы обратной связи, футер, чтобы увидеть, есть ли политика обработки персональных данных, работает ли ссылка на неё, запрашивается ли согласие при заполнении форм.
Мониторинг не требует уведомления оператора и не ограничен по времени так, как формальная проверка. Если по итогам мониторинга выявлены признаки нарушения, это может стать основанием для внеплановой проверки или для направления оператору предостережения.
Как узнать, что сайт проверяют или планируют проверить
О плановой проверке оператора уведомляют заранее в порядке, установленном 248-ФЗ - обычно письмом или через личный кабинет. Само включение в ежегодный план проверок публикуется на сайте Роскомнадзора и Генеральной прокуратуры, поэтому проверить, стоит ли организация в списке, можно самостоятельно.
О внеплановой проверке уведомление может прийти позже, а в отдельных случаях, предусмотренных законом, - непосредственно перед началом мероприятия. Дистанционный мониторинг сайта вообще не сопровождается уведомлением: узнать о нём заранее нельзя, а первым сигналом обычно становится письмо по итогам мониторинга.
Что именно смотрят на сайте при проверке
Внимание инспектора концентрируется на нескольких зонах сайта.
- Наличие и доступность политики обработки персональных данных - согласно ст. 18.1 152-ФЗ, документ должен быть опубликован и находиться в открытом доступе.
- Формы сбора данных: обратная связь, регистрация, оформление заказа, подписка на рассылку - у каждой формы должно быть согласие на обработку персональных данных или иное законное основание по ст. 9 152-ФЗ.
- Формулировка согласия: оно должно быть конкретным, информированным и сознательным, а не спрятанным в общем тексте оферты.
- Использование метрик, счётчиков и рекламных пикселей - если через них передаются персональные данные, это тоже предмет анализа.
- Уведомление об обработке персональных данных, поданное в Роскомнадзор согласно ст. 22 152-ФЗ, и соответствие фактической деятельности заявленным в нём целям.
Какие документы вправе запросить у оператора
В рамках проверки, помимо анализа самого сайта, Роскомнадзор вправе запросить у оператора внутренние документы, подтверждающие законность и организацию обработки персональных данных: политику обработки, локальные акты, приказ о назначении ответственного за обработку персональных данных согласно ст. 18 ч. 5 152-ФЗ, документы, регламентирующие обеспечение безопасности данных, а также сведения о поручении обработки третьим лицам.
Что будет, если проверка выявит нарушения
Если по итогам проверки установлено нарушение требований 152-ФЗ, оператору выдаётся предписание об устранении нарушений с указанием разумного срока. Отдельно составляется протокол об административном правонарушении, дело по которому рассматривается в порядке, установленном КоАП РФ. Размер штрафа зависит от квалификации нарушения по ст. 13.11 КоАП:
| Норма | Нарушение | Штраф для юрлиц |
|---|---|---|
| ч. 1 ст. 13.11 КоАП | Обработка данных без законных оснований или с превышением заявленных целей | 10 000 - 30 000 ₽ |
| ч. 2 ст. 13.11 КоАП | Обработка данных без согласия субъекта, когда оно обязательно | 60 000 - 100 000 ₽ |
| ч. 2.1 ст. 13.11 КоАП | Невыполнение обязанности по опубликованию политики обработки персональных данных | 100 000 - 300 000 ₽ |
Если предписание не выполнено в срок, это отдельное нарушение, которое может повлечь дополнительную ответственность.
Можно ли обжаловать результаты проверки
Да. Акт проверки, предписание и постановление по делу об административном правонарушении можно обжаловать - как в вышестоящий орган Роскомнадзора, так и в судебном порядке. Срок и порядок обжалования устанавливаются 248-ФЗ и КоАП РФ. На практике имеет смысл параллельно готовить возражения по существу выявленных нарушений и устранять их фактически: даже при удовлетворении жалобы обязанность соблюдать 152-ФЗ никуда не исчезает.
Нужно ли уведомлять субъектов персональных данных об утечке отдельно от проверки
Да, это отдельная и самостоятельная обязанность по ст. 19 и 21 152-ФЗ, не связанная напрямую с проверками. При инциденте безопасности оператор обязан уведомить Роскомнадзор и в определённых случаях - самих субъектов персональных данных. Наличие уведомления об инциденте не освобождает от плановой или внеплановой проверки, но его отсутствие при выявленной утечке само по себе становится основанием для внепланового контроля.
Как подготовиться к проверке заранее
Готовиться удобнее не к конкретной проверке, а к тому, что сайт и внутренние процессы в любой момент могут быть проверены дистанционно. Разумный минимум: актуальная политика обработки персональных данных на видном месте, согласия на всех формах сбора данных, поданное уведомление в реестр операторов, назначенный ответственный за обработку персональных данных и базовые организационные меры защиты - от разграничения доступа до журнала учёта обращений субъектов.
Что проверить у себя на сайте
- Опубликована ли политика обработки персональных данных и открывается ли она без ошибок.
- Есть ли ссылка на политику в футере и рядом с каждой формой сбора данных.
- Стоит ли согласие на обработку персональных данных отдельным чекбоксом, а не общей галочкой "согласен с условиями".
- Соответствуют ли цели сбора данных, указанные в форме, тем, что заявлены в уведомлении в Роскомнадзор.
- Работают ли счётчики аналитики и рекламные пиксели в рамках заявленных целей обработки.
- Подано ли уведомление об обработке персональных данных, если оно требуется по закону.
- Назначен ли ответственный за организацию обработки персональных данных согласно ст. 18 ч. 5 152-ФЗ.
- Есть ли договоры или иные документы, если обработка данных поручена третьим лицам - хостингу, CRM, рассыльщику.
- Настроен ли учёт обращений субъектов персональных данных и порядок реагирования на них по ст. 20 152-ФЗ.
Часть этих пунктов видна снаружи так же, как их видит инспектор при дистанционном мониторинге. Проверить сайт по ключевым параметрам 152-ФЗ можно через форму аудита, а актуальные шаблоны политики обработки, согласий и других обязательных документов - в разделе документов.