Взаимодействие с РКН и органами

• Орган
• Предмет
• Инструменты
• Опора

• Роскомнадзор
• права субъектов, реестр операторов, требования 152-ФЗ
• проверки, визиты, наблюдение, требования, предписания, протоколы
• ст.23, 23.1 152-ФЗ, ПП-1046

• ФСТЭК России
• техническая защита информации
• состав мер, сертификация, лицензирование, аттестация, контроль мер в государственных ИСПД
• чч.4, 8 ст.19 152-ФЗ, приказы № 21 и № 117

• ФСБ России
• криптография, ГосСОПКА, дела по чч.1, 2, 6 ст.13.12 КоАП
• требования к СКЗИ, лицензирование, предписания о доступе и о копии базы
• приказы № 378, 77, 297, 547 и 321, ст.23.46 КоАП

• Прокуратура
• исполнение законов в целом
• запросы и проверки вне 248-ФЗ, представления, требование о проверке Роскомнадзором, иски
• ст.6, 21, 22 закона 2202-1

• Силовые ведомства
• системы со сведениями о защищаемых лицах
• доступ по предписанию установленной формы
• чч.1.1, 1.2 ст.6 152-ФЗ

• Минцифры и Роструд
• индикаторы риска; ПД работников по гл.14 ТК
• приказ Минцифры № 1187; проверки по ТК, ст.5.27 КоАП
• ст.23 248-ФЗ; ст.86-90 ТК

Граница: контроль мер ст.19 Роскомнадзор отсылает к ФСБ и ФСТЭК (письмо от 12.09.2024 № 08-377683), но документарный след мер безопасности нужен все равно

• 1
• Контрольное мероприятие по 248-ФЗ

проверка, инспекционный визит, рейдовый осмотр: запрос обеспечен ст.19.7 КоАП, воспрепятствование - ч.1 ст.19.4.1

• 2
• Мероприятие без взаимодействия

наблюдение за сайтом и анализ сведений об операторе без уведомления; итог - требование или предостережение

• 3
• Профилактический визит

от обязательного не отказаться, документы истребуются; по заявлению оператора предписаний нет (ч.9 ст.52.2)

• 4
• Запрос по обращению или о сведениях

ч.4 ст.20 152-ФЗ: 10 рабочих дней и не более 5 по мотивированному уведомлению; молчание - ст.19.7 КоАП

• 5
• Прокурорский запрос

закон 2202-1: неисполнение требований прокурора - ст.17.7 КоАП

Квалификация входящего

Четыре шага до ответа

• 1
• орган: от него зависят предмет вопросов и объем раскрытия

• 2
• форма: решение и номер в едином реестре - мероприятие, ссылка на гражданина - рассмотрение обращения

• 3
• режим и срок: считается от даты получения

• 4
• представитель по доверенности и единая точка контакта, лучше ответственный за организацию обработки

Правило: мотивированный отказ лучше молчания: молчание само образует состав, а отказ фиксирует позицию до возбуждения дела

24 часа

назначить ответственного

и сообщить органу с момента получения предписания

3 часа

при незамедлительном доступе

а при гостайне ответственный нужен с допуском

24 часа

сообщить о разглашении

факта предписания и данных должностных лиц, даже неумышленном

ст.19.5.3

КоАП

повышенная санкция за неисполнение такого предписания

Технические причины не основание

скорость обработки, регламентные окна и нерабочее время доступ не откладывают

Без следов прежних записей

должностные лица вносят данные, и журналы не должны раскрывать исходное содержание

Закрытый маршрут

не через общую канцелярию, тикеты и рабочие чаты: в курсе только ответственный и руководитель

ФСБ с 01.04.2026

Две формы предписаний

о доступе к системам с защищаемыми лицами (ст.17 закона о ФСБ, ст.19.5.3 КоАП) и о копии базы данных (ст.15, подписывает руководитель ФСБ, заместитель или начальник территориального органа, специальной санкции нет)

закон 2202-1

Надзор без единого реестра и моратория

прокурор требует документы по предмету проверки (ст.6), обрабатывает ПД по п.2.1 ст.4 и вправе потребовать от Роскомнадзора внеплановой проверки (п.4 ч.1 ст.57 248-ФЗ)

Собственный мониторинг сайтов

Коломна, проверка 20.05.2026: Яндекс Метрика без согласия - ч.1 ст.13.11, нет политики с метрикой - ч.3, штраф 30 тыс. ₽. По ч.1 после отмены 31.08.2026 назначено предупреждение

Детализация систем

запросы требуют имен серверов, СУБД, IP-адресов и схем потоков, а в 2026 году еще и модели угроз и мер по приказу ФСТЭК № 21

Представление

рассмотреть безотлагательно и ответить в месяц (ст.24): нужен ответ, а не согласие, неисполнение - ст.17.7 КоАП

Иск в госсекторе

суд обязал муниципальный орган разработать документы по ст.18.1 и ПП-211 (дело № 2-43/2021)

Учесть: эпизоды прокурорской проверки не объединяют в одно наказание по ч.5 ст.4.4 КоАП. Уплату половины штрафа при прокурорской проверке КС РФ допустил (39-П от 18.07.2024), но на ст.13.11 КоАП эта льгота с 30.05.2025 не распространяется

vs

Подавать

Уведомление нужно

любая автоматизация, включая ПК, 1С, сайт и счетчики, снимает бумажное изъятие

изъятие должно покрывать всю деятельность, иначе в уведомлении отражают и ее

каждое лицо группы подает свое (письмо Роскомнадзора от 14.08.2026 № 109631-10/77)

обработчик по поручению, по позиции Роскомнадзора, тоже оператор для уведомления, хотя это спорно

малый штат и разовые процессы основанием неподачи не служат

Можно не подавать

Изъятие или иная конструкция

п.7 ч.2 ст.22: ГИС для безопасности государства и общественного порядка

п.8: обработка исключительно без средств автоматизации

п.9: случаи законодательства о транспортной безопасности

гражданин, созывающий собрание собственников, реализует свое право

иностранное лицо без регистрации в РФ, по позиции управления Роскомнадзора (03.12.2025), подает после создания представительства

Кейс СФО: для специализированного финансового общества без органов и штата Privacy Advocates считает подачу нецелесообразной: обработку ведет управляющая компания. Основание фиксируют письменно, а проект уведомления держат наготове

• Поле
• Как заполнять
• Типичная ошибка

• Цели
• по существу: трудовые обязанности одной целью, ДМС отдельной; в графе "иное" формулировка как в политике
• одна цель "уставная деятельность" на все процессы

• Категории ПД
• сами сведения полным перечнем
• паспорт и диплом вместо сведений, "и другие"

• Правовое основание
• отраслевые акты с реквизитами и свои ЛНА
• одна ссылка на 152-ФЗ

• Действия
• только реально совершаемые
• весь перечень, включая распространение и обезличивание

• Сайт
• посетители сайта, cookie и метрика с целью сбора
• сайт в уведомлении не отражен

• Базы и ТПД
• страна и адреса своих мощностей; для ТПД только факт, детали в уведомлении по ст.12
• облака спорны: Роскомнадзор устно 14.08.2026 сводит поле к мощностям оператора

• Меры, СКЗИ, дата
• реально принятый пул мер с последующим дополнением; СКЗИ с документацией; фактическая дата начала
• ждут полного пакета мер и не подают

Ловушка: поле в уведомлении об изменении заменяет прежнее содержание записи целиком: вписав только добавленный элемент, оператор стирает остальное

3+

Индикатор риска, приказ Минцифры № 1187

Три факта несоответствия

сведений уведомлений об обработке и о ТПД политике на сайте дают основание для внепланового мероприятия, и календарным годом этот индикатор не ограничен

Как держать комплект синхронным

Единый источник

правка идет из реестра в уведомление, политику и сайт одним событием

Регламент актуализации

изменения до 15-го числа следующего месяца, о прекращении обработки уведомляют в течение 10 рабочих дней; триггеры - новый сервис, смена ответственного, переезд базы

Старые записи

уведомления до 01.09.2022 Роскомнадзор предлагает обновить по форме приказа № 180, жесткого срока нет

Сверка снаружи

прокурор в 2026 году указал, что в реестре не названы посетители сайта и cookie

Учесть: неподача сама основанием проверки не служит, но обнаруживается при любом контакте: по жалобе, запросу или прокурорской проверке. Чаще начинают с информационного запроса, и ответ на него нужен в течение 10 рабочих дней

728

профилактических визитов

за первое полугодие 2026 года

1

внеплановая проверка

за тот же период, а в 2024 году плановых не было

89

предписаний

выдано по итогам визитов

504

нарушения

выявлено, из них 490 по ст.13.11 КоАП

Обязательный

Инициатива органа

уведомление за 24 часа, отказаться нельзя

срок до 10 рабочих дней (ПП-1286)

документы истребуются, осмотр возможен дистанционно

неустраненное к концу визита - предписание

По заявлению

Инициатива оператора

малый бизнес, социально ориентированные НКО и учреждения

разъяснения носят рекомендательный характер

предписаний не выдают (ч.9 ст.52.2)

Акт визита

Три исхода

• 1
• нарушений нет

• 2
• устранены до конца визита

• 3
• не устранены - предписание

Категория риска на пересечении групп

группа вероятности: история санкций

• тяжесть
• 1
• 2
• 3
• 4

• А
• высокий
• значительный
• значительный
• средний

• Б
• высокий
• значительный
• средний
• умеренный

• В
• значительный
• значительный
• средний
• умеренный

• Г
• средний
• средний
• умеренный
• низкий

Критерии групп тяжести

А: спецкатегории и биометрия, более 100 тыс. субъектов, лишнее согласие, иностранные сервисы сбора, передача обезличенных

Б: дети, более 10 тыс. субъектов, зарубежные базы, обезличивание без передачи

В: родственники, 1-10 тыс. субъектов, ТПД в адекватные страны

Г: менее 1 тыс. субъектов, общедоступные источники

Вероятность - это история санкций

группы 1-3 по актам реагирования за 2 года и постановлениям за 3 года, группа 4 - их нет

Плановая нагрузка

высокий риск: проверка раз в 2 года или визит в год; значительный, средний, умеренный: визит не чаще раза в 3, 5 и 6 лет (ПП-1511)

Комплаенс категорию не понижает

безупречный оператор всегда в группе 4, а лишнее согласие и обезличивание с передачей поднимают тяжесть до А

Индикаторы вне категории

четыре порога приказа Минцифры № 1187 дают внеплановое мероприятие при любой категории

1

Жалоба регулятору

субъект жалуется на оператора

2

Запрос

10 рабочих дней и не более 5 сверху

3

Требование

исполнить или пояснить за 10 рабочих дней

4

Дело

по заявлению гражданина

5

Обжалование

субъект бывает потерпевшим

6

Иск

компенсация и обязание

честный ответ

Приложено неполное письмо заявителю

оно само доказывает состав ч.4 ст.13.11 КоАП (дело № 05-1546/419/2024, оператору назначено предупреждение)

уклончивый ответ

Версия расходится с гражданином

десять расхождений за год дают индикатор риска и внеплановое мероприятие

молчание

Запрос проигнорирован

самостоятельный состав ст.19.7 КоАП и потеря возможности объясниться до дела

Выход один: ответить заявителю полно с первого раза, а перед ответом регулятору проверить свое письмо и при неполноте направить заявителю дополнение

• Акт
• Сила
• Срок реакции
• За неисполнение

• Предостережение
• обязанности не создает
• возражение за 10 рабочих дней (п.20 ПП-1046)
• состава нет

• Требование уточнить или уничтожить
• обязательно
• исполнить или пояснить за 10 рабочих дней
• чч.5, 5.1 ст.13.11

• Требование прекратить обработку
• обязательно
• срок называет само требование
• своей части нет, ст.19.5 спорна

• Предписание
• обязательно
• исполнить в срок, жалоба за 10 рабочих дней
• ч.1 ст.19.5 КоАП

• Представление прокурора
• ответ, не согласие
• месяц (ст.24 закона 2202-1)
• ст.17.7 КоАП

• Сверка до начала мероприятия
• основание из закрытого перечня ч.1 ст.57 248-ФЗ
• согласование с прокуратурой

• номер в едином реестре
• уведомление за 24 часа
• удостоверения и QR-код
• пороки по ст.91 - отмена результатов

Иной режим: расследование по утечке идет по КоАП без моратория и согласования с прокуратурой, а истребованные сведения дают за 3 дня (ст.26.10, 28.7 КоАП)

01

Сначала квалификация

кто обратился и в какой форме: от этого зависят срок, обязательность ответа и цена молчания

02

Уведомление как зеркало реестра

уведомлять обязан почти каждый, а уведомление, политику и сайт сверяют снаружи без проверки

03

Визит вместо проверки

обязательный профилактический визит стал главным каналом надзора, и к нему готовятся как к проверке

04

Категория - не щит

риск-модель отражает свойства обработки и историю санкций, а индикаторы и жалобы работают вне нее

05

Ответ - это доказательство

письмо регулятору с приложениями собирает состав, его проверяют до отправки, а спор о предписании решают в первые 10 дней