Проверка Роскомнадзора смотрит не на наличие папки с документами, а на то, совпадает ли она с реальной обработкой персональных данных. Мы находим расхождения до инспектора: проводим аудит, приводим документы в порядок, определяем уровень защищённости системы по ПП №1119 и готовим сотрудников к разговору с проверяющим.
Ответы, за которыми обычно приходят на эту страницу.
Начинаем с аудита. Пока не понятно, где расхождение между документами и практикой, писать новые бумаги бессмысленно.
Смотрим, какие данные обрабатываются, на каком основании, где хранятся и кому передаются. Сверяем это с уведомлением в реестре операторов и с внутренними документами. На выходе — перечень несоответствий с приоритетами: что критично, что подождёт.
от 1 дняОпределяем уровень защищённости системы по постановлению №1119: он зависит от типа актуальных угроз, категории обрабатываемых данных и количества субъектов. От уровня зависит, какие меры защиты вы обязаны реализовать.
ПП №1119Готовим политику обработки, положение о защите, формы согласий, приказы и инструкции — под ваши реальные цели обработки. Параллельно правим сами процессы: где-то нужно изменить форму на сайте, где-то оформить поручение на обработку подрядчику.
основной этапГотовим ответственного и сотрудников: кто и что показывает, какие вопросы задаёт инспектор, где лежат документы. При необходимости сопровождаем проверку и помогаем с ответами на предписания.
до и во время проверкиПробел в любом из этих пунктов инспектор фиксирует в акте, и он же чаще всего становится содержанием предписания. Хорошая новость в том, что список конечен и закрывается за понятное время.
Четыре документа: обязанности, требования к защите, административные штрафы и уголовный состав.
| Документ | Что регулирует | Что это значит для вас |
|---|---|---|
| 152-ФЗ «О персональных данных» | Обязанности оператора: основания обработки, уведомление ведомства, права субъектов данных. | Смысловая рамка проверки. Инспектор смотрит, есть ли законное основание для каждой операции с данными. |
| ПП РФ №1119 от 01.11.2012 | Требования к защите персональных данных при обработке в информационных системах, четыре уровня защищённости. | Определяет объём обязательных мер. Классы К1–К4 из приказа 2008 года этим постановлением заменены на уровни защищённости. |
| Статья 13.11 КоАП РФ | Административная ответственность в области персональных данных. | Неуведомление о намерении обрабатывать данные — 100 000–300 000 ₽ для юридического лица; неуведомление об утечке — 1–3 млн ₽. После реформы 30.05.2025 прежние оценки в десятки тысяч неактуальны. |
| Статья 272.1 УК РФ | Незаконные использование и передача компьютерной информации с персональными данными, полученной неправомерным доступом. | Штраф до 300 000 ₽ либо лишение свободы до четырёх лет; для данных несовершеннолетних, специальных категорий и биометрии — до 700 000 ₽ либо до пяти лет. |
Проверку нельзя «пройти по знакомству», но можно прийти к ней без открытых мест.
Экспресс-аудит нужен всем: он показывает, что вообще происходит с данными. Дальше объём определяется тем, насколько документы расходятся с практикой и какой уровень защищённости у вашей системы.
Отличаются глубиной: от оценки рисков до полного сопровождения с моделью угроз и поддержкой в течение года.
| Формат | Что входит | Стоимость |
|---|---|---|
| Экспресс-аудит | консультация, анализ текущего состояния, перечень нарушений с приоритетами, определение уровня защищённости | от 7 900 ₽ |
| Пакет документов | аудит плюс политика, положение о защите, приказы, формы согласий, чек-лист к проверке | от 16 900 ₽ |
| Комплексная подготовка | модель угроз, карта обработки данных, инструктаж персонала, сопровождение проверки и ответы на предписания, поддержка 12 месяцев | от 32 900 ₽ |
| Срочный режим | аудит за один день, базовый комплект документов за несколько дней | по договорённости |
Плановые и внеплановые проверки в разных отраслях — от интернет-магазина до финтеха.
Документов практически не было, времени — меньше недели. Собрали комплект в срочном режиме и привели описание процессов в соответствие с фактической обработкой.
Сведения о здоровье — специальная категория данных. Документы готовили с учётом требований к защите и определённого уровня защищённости системы.
Внеплановая проверка по жалобе. Актуальные документы и подготовленный ответственный позволили пройти её по бумагам, без выяснения обстоятельств на ходу.
Работа с данными несовершеннолетних учащихся: часть согласий даётся законными представителями, часть процессов требует отдельных мер защиты. Подготовили формы и процедуры под эту специфику.
Большая база пользователей и передача данных между сервисами. Определили уровень защищённости по фактическим угрозам и составу данных, разобрали цепочку передачи и оформили основания для каждого шага.
Список повторяется от компании к компании независимо от отрасли.
Что чаще всего слышим, когда проверка ещё не назначена.
Не продаём комплексную подготовку, пока не увидим реальную картину обработки данных.
Коротко о том, что спрашивают компании перед проверкой.
Законность обработки персональных данных: есть ли основания для сбора, соответствуют ли документы реальным процессам, оформлены ли согласия и поручения подрядчикам, актуальны ли сведения в реестре операторов, реализованы ли меры защиты для определённого уровня защищённости системы.
Плановая проводится в рамках утверждённого плана контрольных мероприятий, о ней известно заранее. Внеплановая назначается по конкретному поводу — чаще всего это жалоба субъекта персональных данных или инцидент с утечкой. Времени на подготовку во втором случае почти нет.
Сейчас говорят не о классах, а об уровнях защищённости персональных данных: их четыре, они установлены постановлением №1119 от 01.11.2012 и определяются типом актуальных угроз, категорией данных и числом субъектов. Классы К1–К4 вводились приказом 2008 года и заменены этими уровнями, поэтому встречая их в чужих текстах, стоит насторожиться.
Политику обработки персональных данных, положение о защите, приказ о назначении ответственного, формы согласий, документы об определении уровня защищённости и реализованных мерах, договоры и поручения на обработку с подрядчиками, сведения об уведомлении в реестре операторов.
За неуведомление о намерении обрабатывать данные юридическое лицо штрафуют на 100 000–300 000 ₽ по статье 13.11 КоАП. За несообщение о неправомерной или случайной передаче данных — на 1–3 млн ₽. Ответственность ужесточена с 30 мая 2025 года, поэтому суммы из старых статей в интернете занижены в разы.
Частично. За день реально провести экспресс-аудит и понять картину, за несколько дней — подготовить базовый комплект документов. Изменить сами процессы обработки, оформить отношения с подрядчиками и реализовать технические меры за такой срок невозможно, и обещать обратное было бы нечестно.
Закон требует назначить ответственного за организацию обработки персональных данных — это не обязательно отдельная штатная единица. Важнее, чтобы человек понимал свои обязанности и мог ответить инспектору. Для крупных операторов с большим объёмом данных выделенная роль оправдана.
Ответить в установленный срок и устранить нарушения именно в тех формулировках, в которых их зафиксировал инспектор. Мы помогаем разобрать предписание, закрыть каждый пункт и подготовить ответ. Молчание превращает исполнимое предписание в новый состав.
Разборы требований 152-ФЗ, практики проверок и ответственности операторов.
Расскажите, что происходит с данными в компании: какие системы используете, что собираете на сайте, кому передаёте, есть ли уведомление в реестре операторов. Вернёмся с перечнем несоответствий и приоритетами. Если проверка уже назначена — скажите сразу, работаем в срочном режиме. Аудит — от 7 900 ₽. Если удобнее голосом: +7 920 898-17-18.
Актуально на 30 июля 2026 года. Нормативная база сверена с действующими редакциями: 152-ФЗ устанавливает обязанности оператора, ПП РФ №1119 — уровни защищённости и меры, статья 13.11 КоАП — размеры штрафов. Смежные услуги: регистрация оператора персональных данных и полный спектр работ с Роскомнадзором.