Внеплановая проверка Роскомнадзора: основания, сроки, права

Коротко: внеплановое мероприятие Роскомнадзора по персональным данным возможно только по основаниям из закона № 248-ФЗ. Для мероприятий со взаимодействием Положение называет шесть оснований ч. 1 ст. 57 (ч. 3 ст. 57 про разрешительные режимы к операторам ПДн, по нашему прочтению, не относится): сведения о вреде, поручение Президента или Правительства, требование прокурора, истечение срока исполнения предписания, индикатор риска и уклонение от обязательного профвизита (п. 39 Положения, ст. 57 закона). Как правило, мероприятие согласуют с прокуратурой, а о выездной проверке предупреждают не позднее чем за 24 часа. Ограничение оснований, которое вводило постановление № 336, касалось 2022–2024 годов.

Основания внепланового мероприятия

Пункты 2, 6 и 8 части 1 статьи 57 (плановые сроки, программа проверок, деятельность без уведомления о начале предпринимательской деятельности) в пункте 39 Положения не названы. Вывод о согласовании сделан из статей 70, 72 и 73: без согласования проводят мероприятия по п. 3, 4, 6, 8 ч. 1 ст. 57 и в срочных случаях по ч. 12 ст. 66. Для п. 5 есть оговорка: оценка исполнения решения, принятого по итогам мероприятий по п. 3, 4, 6 ч. 1 ст. 57, согласования не требует (ч. 1.1 ст. 95).

Что говорит постановление № 336

Пункт 3 постановления № 336 ограничивал основания внеплановых мероприятий, но он установлен на 2022–2024 годы. До 1 января 2030 года в планы плановых мероприятий включают только объекты чрезвычайно высокого и высокого риска (п. 11(3)); по персональным данным плановые мероприятия остаются только у высокого риска (п. 12 Положения). Но внеплановые основания ст. 57 это не отменяет. Поэтому закладываться на отсутствие внеплановых мероприятий нельзя: лучше знать список оснований и держать документы в порядке. Как подготовить сайт, разобрано в статье о подготовке сайта к проверке. Если проверка связана с утечкой, пригодятся сроки из материала про утечку персональных данных: 24 и 72 часа.

Согласование с прокуратурой и уведомление

• Внеплановое мероприятие, которое требует согласования, проводят после него (ч. 2 ст. 66). Орган направляет сведения в день подписания решения, прокурор решает не позднее следующего рабочего дня (ч. 5 и 7).
• В согласовании можно отказать, например при отсутствии оснований или несоответствии предмета полномочиям органа (ч. 8 ст. 66).
• При срочных сведениях из ч. 1 ст. 60 орган приступает к мероприятию в течение 24 часов, извещая прокуратуру; оператора в этом случае могут не уведомлять (ч. 12 ст. 66).
• Инспекционный визит проводят без предварительного уведомления (ч. 4 ст. 70). О выездной проверке сообщают копией решения не позднее чем за 24 часа (ч. 6 ст. 73; п. 52 Положения).
• Мероприятие с взаимодействием начинают после внесения сведений в единый реестр контрольных мероприятий (ч. 2 ст. 64).

Как проходят мероприятия и сколько длятся

Что проверить у инспектора

Инспектор предъявляет служебное удостоверение, заверенную копию решения (или электронное решение с квалифицированной подписью) и сообщает учётный номер в едином реестре (ч. 7 ст. 65). Если на документах нет двухмерного штрихового кода, ведущего на страницу реестра, вы вправе отказать в доступе, в том числе к документам; исключение — когда решение до начала мероприятия не требуется (п. 7 ст. 36). Основание и перечень запрашиваемых документов указаны в решении (п. 3 и 14 ч. 1 ст. 64). Наша рекомендация: сфотографировать решение и сверить его с тем, что просят.

Права и обязанности проверяемого

Права (ст. 36 и 37):

• присутствовать, давать пояснения, получить сведения об основании мероприятия, знакомиться с результатами и сообщать о несогласии;
• привлечь уполномоченного по защите прав предпринимателей;
• инспектор не вправе требовать документы, не относящиеся к предмету мероприятия, а также уже представленные ранее или имеющиеся у государственных органов (п. 5, 6 ст. 37);
• сообщить о болезни или командировке: ИП и гражданин вправе представить такую информацию, и орган решает о переносе сроков (п. 40 Положения).

Обязанности: обеспечить доступ инспектору (ч. 6 ст. 70), представить документы в срок. Если не успеваете, нужно сразу ходатайствовать о продлении; инспектор отвечает в течение 24 часов (ч. 4 ст. 80). Уклонение или воспрепятствование влечёт ответственность (ч. 12 ст. 65): по ч. 1 ст. 19.4.1 КоАП организации 5–10 тыс. ₽, а если мероприятие не удалось провести или завершить, по ч. 2 организации 20–50 тыс. ₽. При этом акт о невозможности позволяет органу в течение трёх месяцев повторить мероприятие без предварительного уведомления и без согласования (ч. 10 и 11 ст. 65).

Если процедура нарушена

Грубыми нарушениями статья 91 считает, среди прочего, отсутствие оснований, отсутствие обязательного согласования с прокуратурой, нарушение требования об уведомлении, нарушение сроков, проведение мероприятия не из реестра. Такие результаты подлежат отмене, в том числе по заявлению прокурора, а повторное внеплановое мероприятие возможно только после согласования (ч. 1–3 ст. 91). Жалоба на решение о проведении мероприятия — в течение 30 календарных дней, на предписание — в течение 10 рабочих дней (ч. 4–6 ст. 40).

Что проверяет прокуратура по персональным данным

Это отдельный надзор по закону о прокуратуре, а не контроль по закону № 248-ФЗ. Предмет надзора — исполнение законов органами управления и руководителями коммерческих и некоммерческих организаций (п. 1 ст. 21). Отдельного перечня «проверок по персональным данным» в этом законе мы не нашли: исполнение 152-ФЗ входит в общий предмет, а конкретные цели, основания и предмет называет решение о проверке (п. 3 ст. 21).

• Проверку проводят по информации о фактах нарушения, которую нельзя проверить без неё (п. 2 ст. 21).
• Срок — до 30 календарных дней, продление не более чем на 30 дней; дальше только по решению Генерального прокурора или его заместителя (п. 4 ст. 21).
• Документы прокурору представляют в течение пяти рабочих дней, а в ходе проверки — двух; если не успеваете, письменно уведомляют с причинами, и прокурор принимает решение об установлении нового срока (п. 2 ст. 6).
• Прокурор не вправе требовать документы, не относящиеся к предмету проверки, и опубликованные на официальном сайте организации, если его создание предусмотрено учредительными документами, кроме случаев, установленных законом (п. 2.3 ст. 6).
• Итог, например: представление об устранении нарушений, меры по которому принимают в течение месяца (ст. 24), либо требование к Роскомнадзору провести мероприятие (п. 1.1 ст. 22; п. 4 ч. 1 ст. 57 закона № 248-ФЗ).

Что дальше после мероприятия: акт составляют в день окончания, при большом объёме данных — в течение пяти рабочих дней (п. 54, 55 Положения). Если нарушения остались, выдаётся предписание. Общую карту обязанностей оператора даёт главный материал кластера — что такое персональные данные; размеры штрафов — в статье про штрафы за персональные данные.

Как мы помогаем

До мероприятия: аудит сайта на 152-ФЗ за 4 900 ₽ сверяет сайт с уведомлением и показывает, что исправить; документы для сайта стоят 3 900 ₽, исправление нарушений — от 9 900 ₽. Недостающие локальные документы входят в пакет документов по 152-ФЗ за 9 900 ₽. Всё вместе с уведомлением — пакет «Старт» 14 900 ₽ вместо 18 700 ₽ на странице услуг ФТИ.

Во время мероприятия: если у вас запросили документы, помогаем с ответом Роскомнадзору от 14 900 ₽. Сопровождение проверки не входит в эту цену и в подписку на сопровождение: считаем отдельно, цену называем до начала работ. Исход проверки не обещаем.

Нормативные документы

На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.

• Федеральный закон № 248-ФЗ, статья 57 — основания для проведения контрольных (надзорных) мероприятий
• Федеральный закон № 248-ФЗ, статья 60 — решения о проведении мероприятий по итогам рассмотрения сведений о вреде
• Федеральный закон № 248-ФЗ, статья 66 — организация внеплановых мероприятий, согласование с прокуратурой
• Федеральный закон № 248-ФЗ, статья 73 — выездная проверка
• Федеральный закон № 248-ФЗ, статья 36 — права контролируемых лиц
• Постановление Правительства РФ № 1046 от 29.06.2021 — Положение о контроле за обработкой персональных данных, пункты 39–61
• Постановление Правительства РФ № 336 от 10.03.2022 — особенности организации контроля, пункты 3 и 11(3)
• Приказ Минцифры России № 720 от 17.08.2023 — индикаторы риска, расхождения между уведомлением и сайтом
• Закон о прокуратуре Российской Федерации, статья 21 — предмет надзора и порядок проверки
• КоАП РФ, статья 19.4.1 — воспрепятствование законной деятельности должностного лица органа контроля