Внеплановая проверка Роскомнадзора по персональным данным: основания, виды мероприятий и порядок

Внеплановое контрольное мероприятие Роскомнадзора по персональным данным назначается не произвольно: основание должно быть одним из перечисленных в статье 57 248-ФЗ, а сама процедура описана в Положении о федеральном государственном контроле за обработкой персональных данных, утверждённом постановлением Правительства №1046. Для обычного оператора практически значимы пять оснований — жалоба или иные сведения об угрозе причинения вреда, срабатывание индикатора риска, поручение Президента или Правительства, требование прокурора и истечение срока исполнения ранее выданного решения. Разбираем, как это устроено и что делать, если мероприятие уже назначено.

Проверить сайт на нарушения 152-ФЗ — бесплатно за 30 секунд ←

Кто и на каком основании контролирует операторов?

Федеральный государственный контроль за обработкой персональных данных закреплён в статье 23.1 152-ФЗ, а порядок его организации — в Положении, утверждённом постановлением Правительства №1046. Общие правила контрольных мероприятий задаёт 248-ФЗ: он определяет, какими бывают мероприятия, на каких основаниях назначаются и как обжалуются решения.

Положение строит контроль на системе оценки и управления рисками. Объекты контроля относятся к одной из пяти категорий — высокий, значительный, средний, умеренный и низкий риск, — и от категории зависит, попадёт ли оператор в план и как часто к нему приходят с обязательным профилактическим визитом.

Почему плановых проверок фактически нет?

С 2022 года действует мораторий на плановые контрольные мероприятия, введённый постановлением Правительства №336 и продлённый постановлением Правительства №1955. По общему правилу плановые мероприятия возможны только в отношении объектов высших категорий риска, а в контроле за обработкой персональных данных высшая категория — высокий риск.

Роскомнадзор публично сообщал, что объектов высокого риска для формирования плана не нашлось. Поэтому реальный контроль сместился в две другие плоскости:

• мероприятия без взаимодействия с оператором — прежде всего наблюдение за соблюдением обязательных требований, то есть автоматизированный мониторинг сайтов;
• внеплановые мероприятия по жалобам и другим основаниям.

Для владельца сайта это означает простую вещь: первым контактом с регулятором почти наверняка окажется не проверка, а требование устранить нарушение, найденное автоматикой. Как работает эта автоматика, мы разбирали в статье бот РКН и система мониторинга.

Какие основания у внепланового мероприятия?

Статья 57 248-ФЗ перечисляет основания, а статья 66 того же закона отсылает к пунктам 1 и 3–9 её части 1: плановое основание (наступление срока из плана проверок) — это пункт 2, и он в отсылку не попал. Для оператора персональных данных практически значимы:

Строка про истечение срока исполнения решения — самый предсказуемый повод, по которому «бумажная» история превращается в проверку, и единственный, который целиком в руках оператора. Порядок действий при получении документа разобран отдельно: что делать, если пришло предписание РКН.

Жалоба субъекта при этом не означает автоматической проверки. Сведения сначала оцениваются, и решение принимает контрольный орган; кроме того, часть внеплановых мероприятий в установленных законом случаях проводится только после согласования с органами прокуратуры — это прямо сказано в статье 66 248-ФЗ.

Какими бывают контрольные мероприятия?

Положение, утверждённое постановлением Правительства №1046, предусматривает мероприятия двух типов.

С взаимодействием с оператором:

• инспекционный визит — не более одного рабочего дня;
• документарная проверка — не более десяти рабочих дней, идёт по документам, которые оператор представляет по запросу;
• выездная проверка — не более десяти рабочих дней, по месту деятельности оператора.

Без взаимодействия:

• наблюдение за соблюдением обязательных требований при размещении информации в сети «Интернет» — анализ общедоступных сведений, в первую очередь страниц сайта;
• наблюдение посредством анализа информации о деятельности оператора — сведений, которые он сам представил в орган или которые получены в рамках межведомственного взаимодействия.

Третьего вида здесь нет: «выездное обследование», о котором иногда пишут, в Положении по персональным данным не предусмотрено.

Отдельный блок — профилактические мероприятия: информирование, обобщение правоприменительной практики, объявление предостережения, консультирование и профилактический визит. Предостережение не является наказанием: это сигнал, что регулятор видит признаки нарушения. Игнорировать его дороже, чем отреагировать.

Что такое индикаторы риска и чем они отличаются от жалобы?

Индикатор риска — это формальный признак, при обнаружении которого контрольный орган вправе назначить внеплановое мероприятие. Он не доказывает нарушение: он лишь означает, что вероятность нарушения достаточно высока, чтобы посмотреть внимательнее. Перечень индикаторов для контроля за обработкой персональных данных утверждает Минцифры России — приказом от 15.11.2021 №1187 (с последующими изменениями); применяет их Роскомнадзор.

Для оператора важны два свойства этого механизма.

Он работает без заявителя. Жалоба требует недовольного человека; индикатор срабатывает на данных, которые у регулятора уже есть, — сведения реестра операторов, результаты мониторинга сайтов, сообщения из других органов.

Он проверяем заранее. В отличие от чужой жалобы, формальные признаки можно устранить самостоятельно: привести сведения в реестре в соответствие с фактической обработкой, закрыть находки на сайте, вовремя отчитаться по ранее выданному решению. Именно поэтому расхождение между уведомлением и реальностью стоит воспринимать как рабочий риск, а не как бумажную мелочь — как проверить свою запись, разобрано в статье реестр операторов: проверка себя и контрагента по ИНН.

Как убедиться, что мероприятие законно?

У любого контрольного мероприятия с взаимодействием есть решение о его проведении, и в нём должны быть указаны предмет, основание, вид мероприятия, перечень контрольных действий и должностные лица, которым поручено проведение. (Наблюдение решения не требует: это мероприятие без взаимодействия, и оператор о нём узнаёт уже по результату.) Оператор вправе получить копию решения и проверить три вещи.

1. Основание. Оно должно быть из перечня статьи 57 248-ФЗ, а не сформулировано общими словами. «В связи с осуществлением надзора» — не основание.
2. Предмет. Контрольные действия ограничены предметом мероприятия. Запрос документов, не относящихся к предмету, оператор вправе оспорить.
3. Лица. Проводить мероприятие могут только те должностные лица, которые названы в решении.

Если что-то из этого не сходится, спорить на месте бессмысленно — нужно письменно зафиксировать возражения и идти по досудебному порядку 248-ФЗ. Для организаций и предпринимателей он обязателен: в суд можно только после решения по жалобе (исключение сделано для граждан, не ведущих предпринимательскую деятельность). Адресат зависит от того, кто вынес решение: жалоба на решение территориального органа рассматривается его руководителем либо вышестоящим органом, на решение центрального аппарата — руководителем Роскомнадзора (статья 40 248-ФЗ). Подаётся жалоба в электронном виде через Госуслуги и рассматривается в течение пятнадцати рабочих дней (статья 43 248-ФЗ).

Что происходит после мероприятия?

Три возможных исхода.

Нарушений нет. Мероприятие завершается актом, дальнейших действий не требуется.

Нарушения есть — выдаётся решение об их устранении. У него всегда есть срок. Отчёт об исполнении лучше отправлять с подтверждением: скриншоты страниц, даты изменений, ссылки на исправленные документы. Именно это решение и обжалуется в досудебном порядке 248-ФЗ по правилам статей 39, 40 и 43 — только после решения по жалобе открывается путь в суд. Неисполнение в срок — самостоятельный состав по статье 19.5 КоАП, и по нему штраф не заменяется предупреждением, потому что эта статья названа в исключениях статьи 4.1.1 КоАП.

Составляется протокол об административном правонарушении. Дальше дело идёт по своей процедуре, и у оператора есть право знакомиться с материалами, давать объяснения и обжаловать постановление. На постановление по делу об административном правонарушении досудебный порядок 248-ФЗ не распространяется: оно обжалуется по главе 30 КоАП, в течение десяти дней со дня получения копии. Порядок и сроки разобраны в статье как оспорить штраф Роскомнадзора.

Как подготовиться заранее?

Подготовка к внеплановой проверке — это не папка «на случай проверки», а два практических списка.

Документы. Политика обработки персональных данных, документ о назначении ответственного за организацию обработки, локальные акты, результаты внутреннего контроля, оценка вреда, согласия, договоры с условиями поручения обработки, документы о мерах защиты. Полный разбор перечня и норм-оснований — какие документы запрашивает Роскомнадзор.

Сайт. Именно он проверяется первым и без запроса: политика открывается по ссылке, рядом с каждой формой есть текст согласия и ссылка на политику, галочка не предотмечена заранее, счётчики и пиксели не срабатывают до согласия, состав полей формы совпадает с политикой. По официальным данным ведомства, за полтора года проведено 159 111 проверок сайтов, нарушения выявлены примерно в 85% случаев — почти все находки этого уровня.

Ещё одна привычка, которая экономит нервы: заранее знать, кто в компании отвечает на запрос и у кого есть доступ к учётной записи для подачи ответа. Выяснять это в последний день срока — плохая идея.

→ Проверить сайт на нарушения 152-ФЗ (бесплатно, 30 секунд)

Сколько времени есть на каждом шаге?

Сроки в этой процедуре жёсткие, и именно они чаще всего подводят оператора: часть из них продлевается, но только заранее и письменно.

Продление срока ответа не наступает само: без направленного уведомления с причинами просрочка остаётся просрочкой. Просить продление нужно до истечения срока, а не после — обращение «мы не успели» задним числом ничего не меняет.

Чего делать не стоит

• Не отвечать на запрос. Непредставление сведений — отдельный состав по статье 19.7 КоАП, и он добавляется к основному.
• Не пускать инспектора при выездной проверке. Воспрепятствование законной деятельности должностного лица — статья 19.4.1 КоАП, с повышенной ответственностью при повторности.
• Спешно «подчищать» документы задним числом. Даты в локальных актах, не совпадающие с датами процессов, создают больше вопросов, чем закрывают.
• Считать предостережение формальностью. Это профилактическая мера, но она фиксирует, что регулятор уже видел признаки нарушения.

Что читать дальше

• Проверка Роскомнадзора: какие документы запрашивают — перечень с нормой-основанием по каждому документу
• Типичные нарушения при проверках Роскомнадзора — что находят чаще всего
• Что делать, если пришло предписание РКН — алгоритм и сроки
• Как провести аудит обработки персональных данных — подготовка до того, как придёт запрос

Источники: статья 23.1 152-ФЗ, статья 57 248-ФЗ «Основания для проведения контрольных (надзорных) мероприятий», статья 66 248-ФЗ «Организация проведения внеплановых контрольных (надзорных) мероприятий», постановление Правительства №1046 от 29.06.2021, постановление Правительства №336 от 10.03.2022, приказ Минцифры России №1187 от 15.11.2021 «Об утверждении перечня индикаторов риска нарушения обязательных требований при осуществлении федерального государственного контроля (надзора) за обработкой персональных данных». Статистика мониторинга — выступление заместителя руководителя Роскомнадзора М. Э. Вагнера на «Дне открытых дверей» (август 2026).