Проверка Роскомнадзора по персональным данным: что проверяют
Плановые проверки Роскомнадзора по персональным данным только у операторов высокого риска, внеплановые возможны. Разбираем индикатор риска из приказа № 720, наблюдение за сайтом и профвизит, а также как подготовиться.
Коротко: плановые проверки Роскомнадзора по персональным данным до 1 января 2030 года включают в планы только у операторов высокого риска; ограничение плановых мероприятий высоким риском закреплено и в пункте 12 Положения о контроле, без указания срока. Но внеплановые мероприятия возможны, и одно из оснований — индикатор риска: три и более расхождения между уведомлением и сайтом. Поэтому главная подготовка проста: уведомление и сайт должны совпадать, политика опубликована, согласия оформлены. Ничего экзотического проверка не требует.
Главное
- Плановые проверки: до 1 января 2030 года только объекты высокого и чрезвычайно высокого риска (постановление № 336, пункт 11(3)).
- Внеплановые: ограничение пункта 3 постановления № 336 действовало в 2022–2024 годах. Основания теперь называет статья 57 закона № 248-ФЗ.
- Индикатор риска: три и более несоответствия между уведомлением и сайтом (приказ Минцифры № 720 от 17.08.2023).
- Наблюдение за сайтом идёт без визита и без взаимодействия с оператором (пункт 59 Положения).
- Профилактический визит — беседа, а не проверка; для высокого риска предусмотрено либо одно плановое мероприятие раз в два года, либо один обязательный профвизит в год (пункт 12 Положения). Если нарушения не устранены до конца обязательного визита, выдаётся предписание (пункт 34).
Какие бывают мероприятия
| Что | Как устроено | Основание |
|---|---|---|
| Плановые | Только высокий риск: одно плановое мероприятие в два года или один обязательный профвизит в год. Для значительного, среднего, умеренного и низкого риска плановые мероприятия не проводятся | Пункт 12 Положения (постановление № 1046); пункт 11(3) постановления № 336 |
| Внеплановые | По основаниям статьи 57: сведения о вреде, поручение Президента или Правительства, требование прокурора, истечение срока исполнения решения, индикатор риска, уклонение от обязательного профвизита | Статья 57 закона № 248-ФЗ |
| Наблюдение без взаимодействия | Анализ информации в интернете и сведений о деятельности оператора, представленных им или полученных в рамках межведомственного обмена | Пункт 59 Положения |
| Профилактика | Информирование, обобщение практики, предостережение, консультирование, профилактический визит | Пункт 13 Положения |
Мероприятия с взаимодействием — инспекционный визит, документарная проверка и выездная проверка (пункт 42 Положения). Инспекционный визит в одном месте длится не больше одного рабочего дня (пункт 45).
Кто относится к высокому риску
Категорию определяют по сочетанию двух групп: тяжести (А–Г) и вероятности (1–4). Высокий риск — это «А-1» и «Б-1» (таблица в приложении к Положению). Группы выглядят так:
| Группа | Что в неё входит |
|---|---|
| Тяжесть «А» | Специальные категории и биометрия; информационные системы более чем на 100 000 человек; сбор через иностранные информационные системы; трансграничная передача в страны вне перечня адекватной защиты; обработка по согласию там, где закон его не требует |
| Тяжесть «Б» | Данные несовершеннолетних; информационные системы более чем на 10 000 человек; сбор с использованием баз за пределами России в отдельных случаях, названных в пункте 3 приложения |
| Вероятность «1» | Нарушения, за которые установлены штрафы по частям 1.1, 2.1, 5.1, 8, 9, 12–18 статьи 13.11 и статье 13.11.3 КоАП, если за последние 2 года Роскомнадзор выдавал предписание, требование или предупреждение, либо в последние 3 календарных года вступило в силу наказание |
Если подтверждённых нарушений нет, группа вероятности «4» и плановых проверок для оператора не предусмотрено. То есть к высокому риску ведёт не размер бизнеса, а сочетание характера обработки и прежних нарушений. Какие штрафы бывают, показано в таблице статьи про штрафы за персональные данные.
Внеплановые проверки и индикатор риска
Постановление № 336 в пункте 3 ограничивало основания для внеплановых проверок, но на 2022–2024 годы. С 2025 года это ограничение не действует. Основания сейчас — статья 57 закона № 248-ФЗ. Пункт 7 части 1 назвал основанием выявление соответствия объекта контроля параметрам индикаторов риска.
Приказ Минцифры № 720 от 17.08.2023 добавил в перечень индикаторов пункт 3: установление трёх и более фактов несоответствия информации в уведомлениях (часть 3 статьи 12 и часть 1 статьи 22 закона № 152-ФЗ) сведениям на сайте оператора, размещённым по части 2 статьи 18.1. Пример для иллюстрации: на сайте подключён зарубежный сервис или собирается категория данных, которых нет в уведомлении. Как подготовить сам сайт, разобрано в статье о подготовке сайта к проверке, а как держать сведения актуальными — в материале об изменении уведомления.
Наблюдение за сайтом без визита
Наблюдение за соблюдением требований при размещении информации в интернете — отдельный вид мероприятий без взаимодействия с оператором (пункт 59 Положения). Задание выдают, среди прочего, по поручению Президента, Правительства или руководителя органа, а также по обращениям и публикациям о нарушениях (пункт 60). Если нарушение выявлено, пункт 61 называет три итога: письмо с требованием прекратить обработку или уничтожить данные; письмо с требованием уточнить, заблокировать или уничтожить данные в течение 10 рабочих дней; предостережение о недопустимости нарушения.
Профилактический визит
Профвизит проводят по инициативе Роскомнадзора (обязательный) или оператора. Форма — профилактическая беседа по месту деятельности или по видеосвязи, срок не больше 10 рабочих дней (пункты 30 и 33). Для высокого риска пункт 12 Положения предусматривает одно плановое контрольное мероприятие в два года либо один обязательный профвизит в год. Если нарушения не устранены до окончания обязательного визита, выдаётся предписание (пункт 34). Уклонение от обязательного профвизита — самостоятельное основание внепланового мероприятия (пункт 9 части 1 статьи 57).
Что проверяют
Объект контроля по пункту 7 Положения — деятельность по обработке данных (с автоматизацией и без) и результаты разработки документов, локальных актов и принятых мер по части 1 статьи 18.1. На практике это сводится к списку:
- уведомление в реестре и его совпадение с сайтом;
- политика, опубликованная на сайте (часть 2 статьи 18.1);
- согласия там, где они нужны, оформленные отдельно (часть 1 статьи 9);
- локальные акты и меры по части 1 статьи 18.1;
- места хранения баз граждан России (часть 5 статьи 18).
Что бывает по итогам
Если нарушения выявлены и не устранены к концу инспекционного визита, оператору выдают предписание (пункт 45.1 Положения). Невыполнение законного предписания в срок — часть 1 статьи 19.5 КоАП: организации от 10 до 20 тыс. ₽, должностные лица от 1 до 2 тыс. ₽ или дисквалификация до трёх лет. Отдельно рассматриваются штрафы по статье 13.11. Исполнение предписания до постановления статья 4.2 КоАП относит к смягчающим обстоятельствам. Если проверка связана с утечкой, помогут материалы про сроки 24 и 72 часа и об оборотных штрафах. Общая картина — в обзоре про уведомление.
Как подготовиться: пять шагов
- Сверьте сайт с уведомлением: цели, категории данных, сервисы, места хранения.
- Опубликуйте политику так, чтобы она открывалась с каждой страницы, где собираются данные.
- Проверьте формы: согласие отдельным действием, галочка не проставлена заранее (практика: согласие должно быть однозначным).
- Внесите изменения в реестр до 15-го числа месяца, следующего за месяцем изменений (часть 7 статьи 22).
- Отвечайте на запросы в срок, указанный в запросе.
Как мы помогаем
| Услуга | Цена | Что входит |
|---|---|---|
| Аудит сайта на 152-ФЗ | 4 900 ₽ | Проверка форм, политики, сервисов и сверка сайта с уведомлением; отчёт за 3 рабочих дня; документы для сайта 3 900 ₽, устранение нарушений от 9 900 ₽ |
| Сопровождение по персональным данным | 1 990 ₽/мес или 19 900 ₽/год | Проверка сайта раз в полгода на новые расхождения, изменения в реестре, документы, консультации |
Сопровождение проверки и ответ на предписание в подписку не входят: их считаем отдельно, цену называем до начала работ. Если нужно собрать всё сразу, пакет «Старт» включает уведомление, документы и документы для сайта за 14 900 ₽ вместо 18 700 ₽. Подробности на странице услуг ФТИ.
О том, что именно нужно сайту, читайте в статье о персональных данных на сайте.
Если уже пришло письмо, предостережение или предписание, есть отдельная услуга: ответ на предписание и требование Роскомнадзора — от 14 900 ₽, цену называем до начала работ. Сначала по скану определяют вид документа и срок. В работу берут, если до срока осталось не меньше трёх рабочих дней: чем раньше пришлёте документ, тем больше времени останется, в том числе на ходатайство о продлении.
Нормативные документы
На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.
- Приказ Минцифры России № 720 от 17.08.2023 — индикатор риска о трёх и более расхождениях между уведомлением и сайтом
- Постановление Правительства РФ № 1046 от 29.06.2021 — Положение о федеральном госконтроле (надзоре) за обработкой персональных данных
- Постановление Правительства РФ № 336 от 10.03.2022 — особенности организации контроля, пункты 3 и 11(3)
- Федеральный закон № 248-ФЗ, статья 57 — основания для проведения контрольных (надзорных) мероприятий
- КоАП РФ, статья 19.5 — невыполнение в срок законного предписания
- Федеральный закон № 152-ФЗ, статья 18.1 — меры оператора, публикация политики
- КоАП РФ, статья 4.2 — обстоятельства, смягчающие административную ответственность
Частые вопросы
Проверяет ли Роскомнадзор малый бизнес по персональным данным?
Плановые проверки до 1 января 2030 года включают в планы только объекты высокого и чрезвычайно высокого риска (пункт 11(3) постановления № 336). Для малого бизнеса без подтверждённых нарушений плановых проверок не предусмотрено. Внеплановые мероприятия возможны по основаниям статьи 57 закона № 248-ФЗ.
Есть ли мораторий на проверки операторов персональных данных?
Ограничение касается плановых мероприятий: до 1 января 2030 года только высокий и чрезвычайно высокий риск. Ограничение внеплановых проверок по пункту 3 постановления № 336 действовало в 2022–2024 годах. Это не значит, что проверок нет: возможны внеплановые мероприятия и наблюдение за сайтом.
Что такое индикатор риска в персональных данных?
Признак, при выявлении которого возможно внеплановое мероприятие (пункт 7 части 1 статьи 57 закона № 248-ФЗ). Один из индикаторов — установление трёх и более фактов несоответствия между уведомлением и сайтом оператора (приказ Минцифры № 720 от 17.08.2023).
Могут ли проверить сайт без моего ведома?
Да, это называется наблюдением за соблюдением требований при размещении информации в интернете. Оно проводится без взаимодействия с оператором (пункт 59 Положения). Если нарушение выявлено, оператору направляют письмо с требованием или объявляют предостережение.
Что такое профилактический визит и обязателен ли он?
Это профилактическая беседа по месту деятельности или по видеосвязи, срок до 10 рабочих дней. Для объектов высокого риска предусмотрено либо одно плановое мероприятие раз в два года, либо один обязательный профвизит в год. Если нарушения не устранены до конца обязательного визита, выдаётся предписание. Уклонение от обязательного профвизита — основание для внепланового мероприятия.
Что проверяет Роскомнадзор у оператора?
Деятельность по обработке данных и результаты разработки документов, локальных актов и принятых мер по части 1 статьи 18.1. Среди предметов: уведомление и его совпадение с сайтом, политика на сайте, согласия, локальные акты, места хранения баз граждан России.
Какой штраф за невыполнение предписания Роскомнадзора?
Часть 1 статьи 19.5 КоАП: организации от 10 до 20 тыс. ₽, должностные лица от 1 до 2 тыс. ₽ или дисквалификация до трёх лет. Штрафы за сами нарушения по статье 13.11 рассматриваются отдельно.
Как понять, что мой сайт расходится с уведомлением?
Сравнить цели, категории данных, способы сбора и места хранения в уведомлении с тем, что делает сайт: формы, счётчики, чаты, сервисы. Любое новое сведение вносится в реестр до 15-го числа месяца, следующего за месяцем изменения.
Какие операторы относятся к высокому риску?
Те, у кого высокая тяжесть («А» или «Б») сочетается с вероятностью «1». Тяжесть определяет характер обработки, например спецкатегории или система более чем на 10 000 человек. Вероятность «1» означает серьёзные нарушения, по которым Роскомнадзор выдавал предписания или наказание вступило в силу.
Где проверить сайт перед проверкой и сколько это стоит у ФТИ?
Аудит сайта на 152-ФЗ — 4 900 ₽, отчёт за 3 рабочих дня, он сверяет сайт с вашим уведомлением. Документы для сайта — 3 900 ₽, устранение нарушений от 9 900 ₽. Сопровождение проверки и ответ на предписание считаем отдельно, цену называем до начала работ.