Внеплановая проверка Роскомнадзора - это визит или запрос надзорного органа, который назначается вне утверждённого плана: по жалобе, по поручению прокуратуры или по индикаторам риска. В 2026 году основания и порядок таких проверок регулируются 248-ФЗ о госконтроле и 152-ФЗ о персональных данных. Если вы получили запрос от РКН или подозреваете, что сайт может привлечь внимание регулятора, разумно заранее свериться с требованиями закона и устранить очевидные нарушения.
Коротко
- Внеплановая проверка назначается по жалобе субъекта, поручению прокуратуры, истечении срока ранее выданного предписания или по индикаторам риска.
- О проверке уведомляют заранее, в порядке, установленном 248-ФЗ, кроме случаев угрозы жизни и здоровью граждан.
- Чаще всего поводом становится жалоба пользователя на отсутствие политики конфиденциальности, сбор данных без согласия или навязчивую рекламную рассылку.
- Основные объекты внимания - согласие на обработку персональных данных, политика конфиденциальности, cookie-баннер и уведомление в РКН об обработке.
- За выявленные нарушения предусмотрены штрафы по ст. 13.11 КоАП, а по вопросам локализации данных - по ч. 8 и ч. 9 той же статьи.
Кто и почему становится объектом внеплановой проверки
Роскомнадзор не проверяет все сайты подряд - ресурсы для внеплановых проверок отбираются по конкретным поводам. Чаще всего это происходит по одной из следующих причин.
- Жалоба субъекта персональных данных. Пользователь заметил, что сайт собирает данные без согласия, не отвечает на запрос об удалении данных или использует их для целей, о которых не предупреждал.
- Поручение прокуратуры. Прокуратура может инициировать проверку по собственной инициативе или после обращения гражданина, минуя стандартный порядок согласования.
- Истечение срока ранее выданного предписания. Если компания уже получала предписание устранить нарушение, по истечении отведённого срока РКН вправе проверить его исполнение.
- Индикаторы риска. В рамках риск-ориентированного подхода 248-ФЗ ведомство отслеживает признаки, которые статистически чаще связаны с нарушениями: рост жалоб на компанию, отсутствие в реестре операторов при наличии форм сбора данных на сайте.
Получение уведомления о проверке не означает, что нарушение уже установлено - это повод собраться и подготовить документы, а не паниковать.
Как проходит проверка
О проведении внеплановой проверки оператора уведомляют заранее, в порядке, установленном 248-ФЗ - исключение составляют случаи, когда промедление создаёт угрозу жизни или здоровью людей. В остальном процедура включает несколько типовых этапов.
| Этап | Что происходит |
|---|---|
| Уведомление | Оператору сообщают о предстоящей проверке и её основаниях |
| Запрос документов | РКН запрашивает политику конфиденциальности, формы согласий, журналы обращений субъектов и другие документы |
| Анализ сайта | Проверяются формы сбора данных, cookie-баннер, наличие согласий, содержание политики |
| Оформление результатов | Составляется акт проверки; при нарушениях - предписание об устранении и/или протокол об административном правонарушении |
Конкретные сроки ответа на запросы и продолжительность проверки устанавливаются индивидуально в рамках положений 248-ФЗ - если у вас уже есть уведомление с датами, ориентируйтесь на них, а не на общие оценки.
Что чаще всего проверяют на сайте
Практика показывает, что внимание инспектора концентрируется на нескольких типовых зонах сайта, где нарушения видны без глубокого технического анализа.
- Наличие и содержание политики обработки персональных данных - соответствует ли она ст. 18.1 152-ФЗ и реально ли описывает практику сайта, а не является формальной копией чужого текста.
- Формы сбора данных - есть ли отдельный чекбокс согласия, не отмечен ли он по умолчанию, понятен ли текст пользователю согласно ст. 9 152-ФЗ.
- Cookie-баннер - информирует ли он о типах cookies, даёт ли выбор по категориям и не запускаются ли аналитические скрипты до получения согласия.
- Факт трансграничной передачи данных - используются ли зарубежные сервисы аналитики или рассылки без учёта требований ст. 12 152-ФЗ.
- Хранение данных российских пользователей - соблюдается ли требование локализации по ст. 18 ч. 5 152-ФЗ.
- Наличие уведомления в реестре операторов персональных данных, поданного по ст. 22 152-ФЗ.
- Реакция на обращения субъектов - отвечает ли оператор на запросы об удалении или уточнении данных, как того требует ст. 20 152-ФЗ.
Ответственность за выявленные нарушения
Итог проверки зависит от характера и масштаба нарушения. Возможные последствия варьируются от предписания устранить недочёт в установленный срок до составления протокола об административном правонарушении.
| Нарушение | Норма КоАП | Штраф для юрлица |
|---|---|---|
| Отсутствует политика конфиденциальности | ч. 1 ст. 13.11 | 10 000 - 30 000 ₽ |
| Обработка данных без согласия | ч. 2 ст. 13.11 | 60 000 - 100 000 ₽ |
| Повторное нарушение | ч. 2.1 ст. 13.11 | 100 000 - 300 000 ₽ |
| Неуведомление РКН об утечке в течение 24 часов | ч. 3.2 ст. 13.11 | 100 000 - 150 000 ₽ |
| Нарушение требований локализации данных | ч. 8 ст. 13.11 | 1 - 6 млн ₽ |
| Повторное нарушение локализации | ч. 9 ст. 13.11 | 6 - 18 млн ₽ |
Отдельно стоит помнить, что с 30 мая 2025 года за утечку персональных данных применяются оборотные штрафы - процент от выручки компании, а не фиксированная сумма. Это существенно повышает цену ошибки для крупных операторов. В спорных ситуациях, когда неясно, какая норма применима к конкретному случаю, сервис показывает расхождения с требованиями, но официальное правовое заключение может дать только юрист.
Как подготовиться заранее
Лучший способ пройти внеплановую проверку без последствий - устранить основные несоответствия до того, как поступит запрос от РКН. Это не требует масштабной юридической работы, если действовать по порядку.
- Проверьте, опубликована ли на сайте политика обработки персональных данных и отражает ли она реальную практику сбора данных.
- Убедитесь, что все формы сбора данных содержат отдельное согласие, не отмеченное по умолчанию.
- Проверьте текст согласия на соответствие ст. 9 152-ФЗ - конкретность, информированность, указание целей обработки.
- Настройте cookie-баннер так, чтобы аналитические и рекламные скрипты не запускались до получения согласия пользователя.
- Уточните, подано ли уведомление об обработке персональных данных в Роскомнадзор по ст. 22 152-ФЗ.
- Проверьте, где физически хранятся данные пользователей из России, и соответствует ли это требованию локализации.
- Назначьте ответственного за обработку персональных данных и убедитесь, что он в курсе требований ст. 18.1 152-ФЗ.
- Проверьте, есть ли у компании порядок ответа на обращения субъектов данных в срок, установленный ст. 20 152-ФЗ.
- Соберите пакет документов: политику, формы согласий, приказ о назначении ответственного, модель угроз - на случай запроса.
Что проверить у себя на сайте
- Есть ли ссылка на политику конфиденциальности в футере и рядом с каждой формой сбора данных.
- Отмечен ли чекбокс согласия по умолчанию - это нарушение, его нужно оставить пустым.
- Информирует ли cookie-баннер обо всех типах используемых cookies.
- Блокируются ли трекеры и аналитика до получения согласия пользователя.
- Указаны ли в политике конкретные цели обработки, а не общие формулировки.
- Подано ли уведомление об обработке персональных данных в реестр операторов РКН.
- Хранятся ли данные российских пользователей на серверах в РФ.
- Есть ли работающий канал для обращений субъектов данных - удаление, уточнение, отзыв согласия.
- Используются ли зарубежные сервисы, которым передаются персональные данные, и учтены ли требования к трансграничной передаче.
Частые вопросы
Можно ли отказаться пускать инспектора Роскомнадзора на проверку?
Порядок взаимодействия с проверяющим органом регулируется 248-ФЗ, и отказ от законных требований может повлечь отдельные последствия. Конкретные действия в вашей ситуации лучше обсудить с юристом, который оценит формальную сторону уведомления о проверке.
Всегда ли о проверке предупреждают заранее?
По общему правилу - да, заранее, в порядке, установленном 248-ФЗ. Исключение - случаи, когда промедление создаёт угрозу жизни или здоровью граждан, тогда проверка может проводиться без предварительного уведомления.
Что будет, если нарушение устранили до окончания проверки?
Оперативное устранение нарушения может повлиять на итоговое решение, но формально это не отменяет факт нарушения, зафиксированного на момент проверки. Финальную оценку даёт проверяющий орган.
Нужно ли уведомление в РКН, если сайт собирает только email для рассылки?
Сбор email также является обработкой персональных данных, и на неё распространяются требования 152-ФЗ, включая согласие и, в большинстве случаев, уведомление в реестр операторов по ст. 22 152-ФЗ.
Как понять, что сайт готов к проверке?
Ориентир - соответствие типовому чек-листу: политика, согласия, cookie-баннер, уведомление в РКН, локализация данных.
Чтобы увидеть, какие из перечисленных требований на вашем сайте уже выполнены, а какие нет, можно пройти бесплатный аудит сайта. Список необходимых документов и их актуальных образцов собран в разделе Документы.