Плановые и внеплановые проверки Роскомнадзора - обычная часть работы с сайтами, которые собирают персональные данные пользователей. Многие операторы не понимают, что происходит после проверки, если найдены нарушения, и в какие сроки нужно на них реагировать. В этой статье - как устроена проверка, что за ней следует и на что обратить внимание уже сейчас, до визита регулятора.
Коротко
- Роскомнадзор проверяет операторов персональных данных на соответствие 152-ФЗ - планово и внепланово
- По итогам проверки может быть выдано предписание об устранении нарушений
- Срок устранения нарушений устанавливается индивидуально в каждом предписании
- За неисполнение предписания и за сами нарушения предусмотрены штрафы по ст. 13.11 КоАП, с 30.05.2025 действуют оборотные штрафы для ряда составов
- Часть нарушений можно закрыть заранее - без ожидания проверки
Кто и как проверяет сайты
Роскомнадзор - основной орган, контролирующий соблюдение требований 152-ФЗ «О персональных данных». Проверки бывают плановые, которые включаются в ежегодный сводный план, и внеплановые - они назначаются по жалобам граждан, по результатам мониторинга или по поручению вышестоящих органов.
Отдельно ведётся дистанционный мониторинг сайтов - автоматизированный анализ публичных страниц на наличие политики обработки персональных данных, форм согласия, cookie-уведомлений и других обязательных элементов. Такой мониторинг может стать поводом для внеплановой проверки, если выявлены явные признаки нарушений.
| Вид проверки | Основание | Особенность |
|---|---|---|
| Плановая | Включение в ежегодный план проверок | Оператор уведомляется заранее |
| Внеплановая | Жалоба, обращение, результаты мониторинга | Может проводиться без предварительного уведомления в предусмотренных законом случаях |
| Дистанционный мониторинг | Автоматизированный анализ сайта | Не всегда сопровождается прямым контактом с оператором |
Что проверяют на сайте
Основные объекты внимания при проверке - это то, как сайт собирает, обрабатывает и хранит персональные данные посетителей. Проверяются, в частности, положения ст. 9 (согласие на обработку), ст. 12 (трансграничная передача), ст. 18 ч. 5 и ст. 18.1 (документы, подтверждающие соблюдение требований закона), ст. 19 (меры по обеспечению безопасности), ст. 22 и ст. 22.1 (уведомление Роскомнадзора об обработке персональных данных и особенности для отдельных операторов), а также ст. 20-21 (порядок ответа на запросы субъектов данных).
- Наличие и содержание политики обработки персональных данных на сайте (ст. 18.1)
- Корректность форм согласия на обработку данных (ст. 9)
- Уведомление Роскомнадзора об обработке персональных данных, если оно требуется (ст. 22)
- Порядок трансграничной передачи данных, если она осуществляется (ст. 12)
- Меры по защите данных - организационные и технические (ст. 19)
- Порядок работы с обращениями субъектов данных, включая уточнение, блокирование, удаление (ст. 20, ст. 21)
Что происходит после проверки
Если в ходе проверки выявлены нарушения, Роскомнадзор оформляет акт и может выдать предписание об устранении нарушений. В предписании указывается перечень выявленных несоответствий требованиям закона. Срок, в течение которого их нужно устранить, устанавливается регулятором индивидуально с учётом характера и объёма нарушений - универсального фиксированного срока для всех случаев в законе не закреплено.
После истечения установленного срока может проводиться повторная (контрольная) проверка - она подтверждает, устранены ли нарушения. Если предписание не исполнено или исполнено не в полном объёме, это само по себе может повлечь дополнительную ответственность, отдельную от ответственности за исходное нарушение.
Если сомневаетесь, что именно и в каком порядке нужно исправить по предписанию, разумно заранее подготовить пакет документов и свериться с требованиями закона, а не откладывать до последнего дня срока.
Ответственность за нарушения
Ответственность за нарушения в сфере обработки персональных данных предусмотрена статьёй 13.11 КоАП РФ. Составы различаются в зависимости от характера нарушения:
| Норма КоАП | Суть нарушения |
|---|---|
| ч. 1 ст. 13.11 | Обработка персональных данных без правовых оснований либо с нарушением условий, определённых законодательством |
| ч. 2 ст. 13.11 | Обработка данных без согласия субъекта в письменной форме, когда оно обязательно, либо с нарушением требований к его форме |
| ч. 2.1 ст. 13.11 | Невыполнение оператором обязанности по обеспечению конфиденциальности и безопасности персональных данных |
| ч. 3.2 ст. 13.11 | Неисполнение обязанности по уведомлению Роскомнадзора об обработке данных, если это требуется законом |
| ч. 8-9 ст. 13.11 | Отдельные нарушения, связанные с трансграничной передачей и локализацией баз данных на территории РФ (ст. 22.1) |
С 30 мая 2025 года для ряда составов, связанных с повторными и наиболее чувствительными нарушениями (в том числе с утечками персональных данных), применяются оборотные штрафы - их размер зависит от выручки компании, а не фиксирован в абсолютных цифрах. Это существенно повышает финансовые риски для операторов, ранее допускавших нарушения.
Как подготовиться заранее
Так как точные сроки устранения нарушений заранее не известны и определяются индивидуально, разумнее закрыть основные пробелы до проверки. Это касается и документов, требуемых ст. 18 ч. 5 и 18.1, и технических мер по ст. 19, и корректности форм согласия по ст. 9.
Проверить пакет документов на соответствие 152-ФЗ можно самостоятельно, ориентируясь на актуальный перечень необходимых бумаг - см. какие документы нужны оператору персональных данных. Также полезно провести предварительный аудит сайта, чтобы увидеть его глазами проверяющего - см. форму для проверки сайта.
Что проверить у себя на сайте
- Есть ли на сайте политика обработки персональных данных и актуальна ли она
- Корректно ли оформлены формы согласия на сбор и обработку данных
- Направлено ли уведомление в Роскомнадзор об обработке персональных данных, если оно обязательно
- Как хранятся и передаются данные - есть ли трансграничная передача и её правовые основания
- Приняты ли организационные и технические меры защиты данных
- Есть ли порядок обработки обращений пользователей об уточнении или удалении данных
- Используются ли на сайте иностранные счётчики, трекеры или виджеты, собирающие данные
- Настроено ли уведомление о cookie и соответствует ли оно фактическому использованию файлов
- Актуальны ли контактные данные оператора в опубликованных документах
- Хранится ли история согласий и есть ли возможность их отозвать
Частые вопросы
Можно ли узнать заранее срок устранения нарушений по конкретному предписанию?
Срок указывается в самом предписании и зависит от обстоятельств конкретного дела - универсальной цифры, применимой ко всем случаям, закон не устанавливает.
Что будет, если не успеть устранить нарушения в срок?
Не устранённые в срок нарушения могут повлечь повторную проверку и дополнительную ответственность, поэтому при затруднениях стоит заранее обсудить ситуацию с регулятором, а не игнорировать предписание.
Проверяют ли небольшие сайты и интернет-магазины?
Да, требования 152-ФЗ распространяются на всех операторов персональных данных независимо от масштаба бизнеса, включая небольшие интернет-магазины - см. также материал про требования для интернет-магазинов.
Обязательно ли уведомлять Роскомнадзор об обработке данных?
В большинстве случаев - да, за исключением ограниченного перечня случаев, прямо указанных в ст. 22 152-ФЗ. Стоит свериться с текстом статьи применительно к своей ситуации.
С чего лучше начать подготовку к проверке?
С проверки базового пакета документов и форм согласия на сайте - это наиболее частые точки нарушений на практике.
Если хотите разобраться, что из перечисленного уже готово на вашем сайте, а что стоит доработать, можно начать с самостоятельной проверки по чек-листу выше или воспользоваться формой аудита на сайте help152.ru - спешить не обязательно, но лучше не откладывать этот вопрос надолго.