В 2026 году Роскомнадзор (РКН) остаётся ключевым контрольным органом в сфере обработки персональных данных - именно он проверяет операторов на соответствие 152-ФЗ, ведёт реестр и выдаёт предписания об устранении нарушений. Статья 23 закона 152-ФЗ определяет полный перечень полномочий РКН как уполномоченного органа по защите прав субъектов персональных данных.
Коротко
- РКН вправе запрашивать у операторов документы и сведения, проводить проверки, выдавать предписания и вносить операторов в реестр.
- При грубых нарушениях РКН может обратиться в суд с требованием приостановить или прекратить обработку персональных данных.
- Проверки бывают плановыми и внеплановыми - основания и порядок проведения различаются.
- Игнорирование предписаний РКН влечёт штрафы по ст. 13.11 КоАП РФ и повторные проверки.
Какие полномочия есть у РКН по статье 23
Статья 23 152-ФЗ наделяет Роскомнадзор широким кругом контрольных и надзорных функций. Рассмотрим основные из них.
Проверки операторов
РКН организует и проводит проверки соответствия обработки персональных данных требованиям закона. Проверка может быть документарной (анализ документов без выезда) или выездной (с посещением офиса оператора и осмотром информационных систем).
Запрос сведений и документов
РКН вправе требовать от оператора уточнения, блокирования или уничтожения недостоверных либо незаконно полученных персональных данных, а также запрашивать у оператора необходимую информацию для реализации своих полномочий, включая политику обработки, согласия субъектов, договоры с обработчиками.
Предписания об устранении нарушений
По итогам проверки РКН выдаёт предписание с конкретным сроком устранения выявленных нарушений. Неисполнение предписания в срок - самостоятельное основание для штрафа и повторной проверки.
Ведение реестра операторов
РКН ведёт реестр операторов, обрабатывающих персональные данные, на основании уведомлений, поступающих от организаций и ИП. Отсутствие в реестре при обязанности подать уведомление - отдельное нарушение.
Приостановка или прекращение обработки данных
При выявлении нарушений, которые оператор не устраняет, РКН вправе обратиться в суд с иском о приостановлении или полном прекращении обработки персональных данных вплоть до уничтожения незаконно собранных данных.
| Полномочие | Что это означает на практике |
|---|---|
| Проверка | Анализ документов и систем оператора на соответствие 152-ФЗ |
| Запрос сведений | Оператор обязан предоставить документы по требованию РКН |
| Предписание | Обязательное требование устранить нарушение в установленный срок |
| Реестр операторов | Учёт организаций, подавших уведомление об обработке данных |
| Обращение в суд | Приостановка или прекращение обработки при неустранённых нарушениях |
Плановая и внеплановая проверка: в чём разница
Порядок и основания для проверок отличаются, и это важно понимать, чтобы правильно подготовиться.
Плановая проверка
Проводится по графику, который РКН согласует и публикует заранее (обычно на сайте прокуратуры и самого ведомства). Периодичность плановых проверок для большинства операторов - не чаще одного раза в три года, с учётом категории риска. О проведении плановой проверки оператора уведомляют заблаговременно.
Внеплановая проверка
Проводится вне графика при наличии оснований:
- поступила жалоба субъекта персональных данных на нарушение его прав;
- истёк срок исполнения ранее выданного предписания;
- зафиксирован инцидент - утечка данных, о которой оператор обязан был уведомить РКН;
- есть указание прокуратуры или иного уполномоченного органа.
О внеплановой выездной проверке оператора, как правило, уведомляют не менее чем за сутки, а в отдельных случаях (например, при угрозе жизни и здоровью) проверка может проводиться без предварительного уведомления.
Что проверить у себя на сайте
Чтобы снизить риски при проверке РКН, стоит заранее провести самоаудит основных элементов сайта и внутренних документов.
- Наличие и актуальность политики обработки персональных данных, размещённой в открытом доступе на сайте.
- Корректность форм согласия на обработку данных - чекбоксы не должны быть проставлены заранее.
- Уведомление РКН об обработке персональных данных, если оно требуется для вашей деятельности.
- Наличие договоров с третьими лицами (обработчиками), включая условия о защите передаваемых данных.
- Порядок хранения и локализации персональных данных граждан РФ - требование о размещении баз данных на территории России.
- Регламент реагирования на инциденты и уведомления РКН об утечках в установленные сроки.
- Назначение ответственного за организацию обработки персональных данных внутри компании.
Полный самоаудит сайта и внутренних процессов помогает выявить нарушения до того, как их найдёт РКН, и подготовить документы к возможной проверке.
Частые вопросы
Может ли РКН прийти с проверкой без предупреждения?
По общему правилу нет - оператора уведомляют заранее, кроме случаев угрозы жизни и здоровью граждан либо иных исключительных ситуаций, прямо предусмотренных законом.
Что будет, если проигнорировать предписание РКН?
Неисполнение предписания в установленный срок влечёт административную ответственность и может стать основанием для новой внеплановой проверки, а также для обращения РКН в суд.
Обязательно ли уведомлять РКН о начале обработки персональных данных?
Да, за некоторыми исключениями, установленными статьёй 22 152-ФЗ. Отсутствие уведомления при наличии такой обязанности - самостоятельное нарушение, которое РКН выявляет и при проверках, и в рамках мониторинга.
Как узнать, включена ли компания в реестр операторов?
Реестр операторов публикуется на официальном сайте Роскомнадзора и доступен для проверки по названию организации или ИНН.
Если вы не уверены, что политика обработки данных, формы согласия и внутренние регламенты соответствуют требованиям 152-ФЗ, закажите бесплатный экспресс-аудит на странице аудита - специалисты укажут на конкретные риски и помогут подготовиться к проверке РКН.