Продукты
Продукты
Menu
02
База знаний
05
Услуги
01
О нас
04
2025
Контакты
phone
e-mail:
Обучение
03
Проверки Роскомнадзора в 2026 году: какие бывают и как проходят
13.01.2023
В 2026 году контроль Роскомнадзора за обработкой персональных данных может проходить по-разному: в форме документарной или выездной проверки, инспекционного визита, профилактического мероприятия либо без непосредственного взаимодействия с оператором. Поэтому компания может попасть в поле зрения регулятора еще до получения уведомления. Формат контроля определяет, что именно Роскомнадзор сможет анализировать и какие действия будет вправе проводить.
Когда бизнес говорит о проверке Роскомнадзора, под этим часто понимают визит инспектора и запрос папки документов. На практике механизм контроля значительно шире.
Роскомнадзор может работать с документами дистанционно, проверять фактические процессы на месте, проводить профилактические мероприятия и анализировать доступную информацию без участия представителей компании. Именно поэтому важно различать формы контроля и понимать, чем они отличаются друг от друга.
18/10/26
Б-152
Содержание
Содержание
Что представляет собой контроль Роскомнадзора за обработкой персональных данных
Роскомнадзор контролирует соблюдение операторами обязательных требований в области обработки персональных данных.
Основной порядок установлен Положением о федеральном государственном контроле за обработкой персональных данных, утвержденным Постановлением Правительства Р Ф № 1046.
В действующей в 2026 году редакции Положение относит к контрольным мероприятиям инспекционный визит, документарную и выездную проверки. Отдельно законодательство предусматривает профилактические мероприятия и контроль без взаимодействия с оператором.
Для бизнеса это означает, что «проверка Роскомнадзора» может выглядеть принципиально по-разному. В одном случае регулятор анализирует документы, в другом получает возможность сопоставить их с фактической работой систем и сотрудников, а в третьем компания может вообще не участвовать в первоначальном анализе.
В действующей в 2026 году редакции Положение относит к контрольным мероприятиям инспекционный визит, документарную и выездную проверки. Отдельно законодательство предусматривает профилактические мероприятия и контроль без взаимодействия с оператором.
Для бизнеса это означает, что «проверка Роскомнадзора» может выглядеть принципиально по-разному. В одном случае регулятор анализирует документы, в другом получает возможность сопоставить их с фактической работой систем и сотрудников, а в третьем компания может вообще не участвовать в первоначальном анализе.
Какие проверки и контрольные мероприятия проводит Роскомнадзор
Форматы отличаются глубиной контроля, способом взаимодействия с оператором и набором доступных инспектору действий.
Эти форматы не следует смешивать. Например, профилактический визит юридически отличается от документарной проверки, а анализ сайта без взаимодействия с оператором не означает, что инспектор обязательно начал выездное мероприятие.
Что указать в заявленииКак проходит документарная проверка Роскомнадзора
При документарной проверке основным объектом внимания становятся документы, сведения и письменные объяснения оператора.
Регулятор анализирует информацию, которая находится в его распоряжении, и при необходимости может запросить дополнительные документы или пояснения.
Действующее регулирование предусматривает при документарной проверке получение письменных объяснений и истребование документов. Сам срок проверки ограничен 10 рабочими днями с учетом предусмотренных законом особенностей его исчисления.
На практике значение имеет не только наличие отдельных документов, но и их согласованность.
Например, вопросы могут возникнуть, если политика описывает один процесс, уведомление в Роскомнадзор содержит другие сведения, а фактически информационная система работает по третьей модели.
Поэтому при документарной проверке регулятор может видеть не отдельный документ в вакууме, а взаимосвязь:
Действующее регулирование предусматривает при документарной проверке получение письменных объяснений и истребование документов. Сам срок проверки ограничен 10 рабочими днями с учетом предусмотренных законом особенностей его исчисления.
На практике значение имеет не только наличие отдельных документов, но и их согласованность.
Например, вопросы могут возникнуть, если политика описывает один процесс, уведомление в Роскомнадзор содержит другие сведения, а фактически информационная система работает по третьей модели.
Поэтому при документарной проверке регулятор может видеть не отдельный документ в вакууме, а взаимосвязь:
что оператор заявил → что закрепил во внутренних документах → чем может подтвердить выполнение.
Что может попасть в поле зрения
В зависимости от предмета проверки Роскомнадзор может анализировать, например:
Универсального перечня, который обязательно запрашивается в каждом случае, нет. Состав зависит от предмета конкретного контроля.
- политики и локальные документы;
- сведения из уведомления оператора;
- основания и цели обработки;
- документы о работе сотрудников с ПДн;
- информацию о рассмотрении обращений субъектов;
- документы, подтверждающие отдельные процедуры.
Универсального перечня, который обязательно запрашивается в каждом случае, нет. Состав зависит от предмета конкретного контроля.
Чем отличается выездная проверка Роскомнадзора
Выездная проверка позволяет сопоставить документированную модель обработки с тем, как процессы работают фактически.
Это наиболее глубокий из рассмотренных форматов взаимодействия.
Помимо документов и письменных объяснений, действующее Положение предусматривает для выездной проверки осмотр, опрос, инструментальное обследование и экспертизу. Часть контрольных действий может проводиться с использованием дистанционного взаимодействия.
Для компании разница принципиальна.
Можно иметь локальный документ о разграничении доступа, но фактические права пользователей в CRM будут шире. Можно установить порядок уничтожения данных, но не иметь работающего механизма, который действительно удаляет их из используемых систем.
Именно такие расхождения между документами и реальной работой становятся особенно заметны, когда контроль выходит за пределы изучения бумаг.
Это наиболее глубокий из рассмотренных форматов взаимодействия.
Помимо документов и письменных объяснений, действующее Положение предусматривает для выездной проверки осмотр, опрос, инструментальное обследование и экспертизу. Часть контрольных действий может проводиться с использованием дистанционного взаимодействия.
Для компании разница принципиальна.
Можно иметь локальный документ о разграничении доступа, но фактические права пользователей в CRM будут шире. Можно установить порядок уничтожения данных, но не иметь работающего механизма, который действительно удаляет их из используемых систем.
Именно такие расхождения между документами и реальной работой становятся особенно заметны, когда контроль выходит за пределы изучения бумаг.
Что такое инспекционный визит Роскомнадзора
Инспекционный визит является самостоятельным контрольным мероприятием и отличается от полноценной выездной проверки объемом и продолжительностью.
Действующая редакция Положения № 1046 прямо включает инспекционный визит в перечень контрольных мероприятий Роскомнадзора.
В рамках такого визита могут проводиться осмотр, опрос, получение письменных объяснений и истребование определенных документов.
Для бизнеса этот формат важен тем, что контрольное взаимодействие не всегда представляет собой масштабную многодневную проверку. Регулятор может использовать более компактный механизм для оценки конкретной ситуации.
В рамках такого визита могут проводиться осмотр, опрос, получение письменных объяснений и истребование определенных документов.
Для бизнеса этот формат важен тем, что контрольное взаимодействие не всегда представляет собой масштабную многодневную проверку. Регулятор может использовать более компактный механизм для оценки конкретной ситуации.
Что такое профилактический визит Роскомнадзора
Профилактический визит относится к профилактическим мероприятиям и направлен прежде всего на предупреждение и устранение несоответствий.
В ходе визита оператору разъясняют обязательные требования, критерии риска и рекомендуемые способы снижения риска, а инспектор может оценивать уровень соблюдения требований.
С 2026 года важно различать два варианта:
обязательный профилактический визит и визит по инициативе самого контролируемого лица.
Для них действует разный правовой режим. Например, от обязательного профилактического визита нельзя отказаться, а при неустранении выявленных нарушений в предусмотренных случаях возможно предписание. Визит по инициативе контролируемого лица проводится по его заявлению для установленных законом категорий организаций.
Поэтому профилактический визит не стоит автоматически воспринимать ни как обычную проверку, ни как консультацию без каких-либо процессуальных последствий. Нужно учитывать, о каком именно виде визита идет речь.
С 2026 года важно различать два варианта:
обязательный профилактический визит и визит по инициативе самого контролируемого лица.
Для них действует разный правовой режим. Например, от обязательного профилактического визита нельзя отказаться, а при неустранении выявленных нарушений в предусмотренных случаях возможно предписание. Визит по инициативе контролируемого лица проводится по его заявлению для установленных законом категорий организаций.
Поэтому профилактический визит не стоит автоматически воспринимать ни как обычную проверку, ни как консультацию без каких-либо процессуальных последствий. Нужно учитывать, о каком именно виде визита идет речь.
Что такое контроль без взаимодействия с оператором
Роскомнадзор может анализировать соблюдение обязательных требований без непосредственного участия представителей компании.
Такой механизм особенно важен для понимания современного контроля.
Положение № 1046 предусматривает контроль без взаимодействия с контролируемым лицом. В частности, регулятор может наблюдать за соблюдением обязательных требований при размещении информации в интернете и анализировать доступные ему сведения о деятельности оператора.
Это означает, что компания может не получать предварительное уведомление только для того, чтобы ее публичный контур попал в поле зрения Роскомнадзора.
Положение № 1046 предусматривает контроль без взаимодействия с контролируемым лицом. В частности, регулятор может наблюдать за соблюдением обязательных требований при размещении информации в интернете и анализировать доступные ему сведения о деятельности оператора.
Это означает, что компания может не получать предварительное уведомление только для того, чтобы ее публичный контур попал в поле зрения Роскомнадзора.
Может ли Роскомнадзор проверить сайт без предупреждения
Да. Для анализа общедоступной информации на сайте предварительное взаимодействие с оператором не является обязательным.
Внешний контур компании может включать:
При этом сам факт существования такого механизма не означает, что Роскомнадзор непрерывно проверяет каждый сайт или обязательно анализирует все перечисленные элементы одновременно.
Практическое значение другое: публичный ресурс является самостоятельным источником информации о том, как оператор организовал обработку ПДн.
Если политика описывает одну модель, форма на сайте работает иначе, а сведения оператора у регулятора соответствуют третьей версии процесса, расхождение может стать отдельной точкой внимания.
Внешний контур компании может включать:
- политику обработки персональных данных;
- публичные формы;
- тексты согласий;
- опубликованные сведения о физических лицах;
- подключенные элементы и сервисы;
- другую информацию, доступную через сайт.
При этом сам факт существования такого механизма не означает, что Роскомнадзор непрерывно проверяет каждый сайт или обязательно анализирует все перечисленные элементы одновременно.
Практическое значение другое: публичный ресурс является самостоятельным источником информации о том, как оператор организовал обработку ПДн.
Если политика описывает одну модель, форма на сайте работает иначе, а сведения оператора у регулятора соответствуют третьей версии процесса, расхождение может стать отдельной точкой внимания.
Что Роскомнадзор может увидеть во внешнем контуре
Внешний контур показывает регулятору часть модели обработки еще до доступа к внутренним системам компании.
Наиболее очевидный пример — сайт.
По нему можно увидеть, как оператор информирует субъектов, какие поля используются в формах, какие документы опубликованы и какие персональные данные размещаются публично.
Другой источник — сведения, которые компания сама представляет Роскомнадзору. Поэтому данные из уведомления оператора также имеют значение при оценке фактической модели обработки.
Получается несколько уровней информации:
По нему можно увидеть, как оператор информирует субъектов, какие поля используются в формах, какие документы опубликованы и какие персональные данные размещаются публично.
Другой источник — сведения, которые компания сама представляет Роскомнадзору. Поэтому данные из уведомления оператора также имеют значение при оценке фактической модели обработки.
Получается несколько уровней информации:
публичный сайт → сведения, переданные регулятору → документы компании → фактическая работа процессов.
Чем сильнее эти уровни расходятся между собой, тем больше вопросов может возникнуть при более глубоком контроле.
Как риск-ориентированный подход влияет на контроль
Роскомнадзор использует систему оценки и управления рисками, поэтому формат и интенсивность контроля связаны в том числе с категорией риска объекта.
Положение № 1046 предусматривает пять категорий:
Категория риска используется при организации контрольных и профилактических мероприятий. Общий принцип законодательства о контроле состоит в том, что их виды и периодичность должны быть соразмерны соответствующему риску.
При этом более низкая категория не означает, что организация полностью выпадает из поля зрения регулятора.
Остаются другие механизмы: работа с поступившей информацией, внеплановый контроль при наличии оснований, профилактические мероприятия и наблюдение без взаимодействия.
Положение № 1046 предусматривает пять категорий:
- высокий риск;
- значительный риск;
- средний риск;
- умеренный риск;
- низкий риск.
Категория риска используется при организации контрольных и профилактических мероприятий. Общий принцип законодательства о контроле состоит в том, что их виды и периодичность должны быть соразмерны соответствующему риску.
При этом более низкая категория не означает, что организация полностью выпадает из поля зрения регулятора.
Остаются другие механизмы: работа с поступившей информацией, внеплановый контроль при наличии оснований, профилактические мероприятия и наблюдение без взаимодействия.
Означает ли мораторий, что Роскомнадзор не проводит проверки
Нет. Ограничение планового контроля не равнозначно прекращению надзора за обработкой персональных данных.
На практике термин «мораторий» иногда создает ложное ощущение, что до его окончания взаимодействие с Роскомнадзором маловероятно.
Но контрольная система шире плановых проверок.
Даже при ограничениях планового контроля сохраняются предусмотренные законодательством механизмы внепланового реагирования, профилактические мероприятия и контроль без взаимодействия.
Поэтому корректнее задавать вопрос не про действительность моратория, а какие механизмы контроля могут применяться к оператору в его конкретной ситуации.
На практике термин «мораторий» иногда создает ложное ощущение, что до его окончания взаимодействие с Роскомнадзором маловероятно.
Но контрольная система шире плановых проверок.
Даже при ограничениях планового контроля сохраняются предусмотренные законодательством механизмы внепланового реагирования, профилактические мероприятия и контроль без взаимодействия.
Поэтому корректнее задавать вопрос не про действительность моратория, а какие механизмы контроля могут применяться к оператору в его конкретной ситуации.
Какие зоны обработки могут попасть в поле зрения Роскомнадзора
Регулятора могут интересовать как юридические документы, так и реальные процессы, которыми компания подтверждает их выполнение.
Один такой пробел сам по себе не позволяет сделать универсальный вывод о нарушении. Значение имеет конкретный процесс, применимые требования и предмет контроля.
Почему обращения субъектов могут заинтересовать Роскомнадзор
Обращение показывает, как формальные правила работают на практике.
Например, из истории взаимодействия с субъектом может быть видно:
Именно поэтому обращения субъектов представляют интерес для регулятора не только как отдельная переписка, но и как доказательство работы внутренних процессов.
Например, из истории взаимодействия с субъектом может быть видно:
- понимает ли оператор, где находятся нужные данные;
- может ли выполнить требование субъекта;
- соблюдает ли установленный порядок ответа;
- совпадает ли реальная практика с опубликованной политикой;
- работает ли процедура уточнения, прекращения обработки или удаления.
Именно поэтому обращения субъектов представляют интерес для регулятора не только как отдельная переписка, но и как доказательство работы внутренних процессов.
Почему Роскомнадзор может обратить внимание на уничтожение ПДн
Контроль обработки охватывает не только сбор и хранение данных, но и завершение их жизненного цикла.
Компания может подробно описать сроки обработки, однако само по себе наличие срока в документе еще не объясняет, что фактически происходит после его окончания.
Для реального процесса нужны ответы на другие вопросы:
кто инициирует уничтожение, в каких системах оно проводится, что происходит с копиями и как компания может подтвердить завершение обработки.
Поэтому уничтожение персональных данных важно рассматривать как операционную процедуру, а не как одну фразу в политике.
Компания может подробно описать сроки обработки, однако само по себе наличие срока в документе еще не объясняет, что фактически происходит после его окончания.
Для реального процесса нужны ответы на другие вопросы:
кто инициирует уничтожение, в каких системах оно проводится, что происходит с копиями и как компания может подтвердить завершение обработки.
Поэтому уничтожение персональных данных важно рассматривать как операционную процедуру, а не как одну фразу в политике.
Что происходит, если Роскомнадзор выявляет несоответствие
Дальнейшие действия зависят от того, в рамках какого механизма выявлена проблема и в чем именно она состоит.
Контрольное мероприятие и профилактический визит имеют разные процедуры и последствия.
По итогам контрольных мероприятий оформляются предусмотренные законодательством результаты, а при наличии оснований оператору могут быть предъявлены требования об устранении нарушения.
Для профилактических мероприятий режим зависит от вида визита. При контроле без взаимодействия дальнейшее реагирование также определяется характером выявленной ситуации.
Поэтому формулировка «Роскомнадзор нашел нарушение» сама по себе недостаточна. Для оценки дальнейших действий нужно понимать:
Контрольное мероприятие и профилактический визит имеют разные процедуры и последствия.
По итогам контрольных мероприятий оформляются предусмотренные законодательством результаты, а при наличии оснований оператору могут быть предъявлены требования об устранении нарушения.
Для профилактических мероприятий режим зависит от вида визита. При контроле без взаимодействия дальнейшее реагирование также определяется характером выявленной ситуации.
Поэтому формулировка «Роскомнадзор нашел нарушение» сама по себе недостаточна. Для оценки дальнейших действий нужно понимать:
какой формат контроля использовался → что именно установлено → какие требования предъявлены оператору.
Что делать, если Роскомнадзор уже взаимодействует с компанией
Первый шаг — определить не объем всей privacy-документации компании, а конкретный формат и предмет взаимодействия.
На верхнем уровне достаточно четырех действий:
Не следует автоматически направлять Роскомнадзору весь массив документов по персональным данным только потому, что поступил запрос.
- определить, идет ли речь о проверке, профилактическом мероприятии, запросе или другом механизме;
- зафиксировать предмет взаимодействия;
- определить ответственных со стороны компании;
- сопоставить предоставляемые документы и пояснения с фактическим процессом.
Не следует автоматически направлять Роскомнадзору весь массив документов по персональным данным только потому, что поступил запрос.
Если требуется уже не разбор механики контроля, а последовательная организация действий компании до и во время взаимодействия с регулятором, используйте нашу дорожную карту подготовки к проверке Роскомнадзора.
Именно там подробнее разобраны самопроверка, документы, распределение задач и устранение выявленных расхождений.
Главное
- Контроль Роскомнадзора в 2026 году не ограничивается классической выездной проверкой.
- Действующее регулирование предусматривает инспекционный визит, документарную и выездную проверки; отдельно существуют профилактические мероприятия и контроль без взаимодействия.
- При документарной проверке основное внимание уделяется документам и объяснениям, а выездная позволяет глубже проверять фактические процессы.
- Роскомнадзор может анализировать общедоступную информацию в интернете без предварительного участия оператора.
- Категория риска влияет на организацию контрольных и профилактических мероприятий.
- В поле зрения могут попадать сайт, уведомление, локальные документы, доступы, обращения субъектов, подрядчики и фактическая работа информационных систем.
- Подробный план подготовки к проверке лучше рассматривать отдельно от механики самого контроля.
Частые вопросы
Какие проверки проводит Роскомнадзор в 2026 году?
Действующее Положение № 1046 относит к контрольным мероприятиям инспекционный визит, документарную проверку и выездную проверку. Кроме них предусмотрены профилактические мероприятия, в том числе профилактические визиты, а также контроль без взаимодействия с оператором. Поэтому в деловой речи одним словом «проверка» могут называть несколько юридически разных процедур.
Может ли Роскомнадзор проверить сайт без предупреждения?
Роскомнадзор вправе анализировать соблюдение обязательных требований в интернете в рамках контроля без взаимодействия с оператором. Поэтому предварительное участие представителей компании для самого анализа публично доступных сведений не требуется. Это не означает, что каждый сайт постоянно проверяется, но такой механизм контроля предусмотрен регулированием.
Чем документарная проверка отличается от выездной?
Документарная проверка сосредоточена прежде всего на документах и письменных объяснениях. Выездной формат позволяет использовать более широкий набор контрольных действий и сопоставлять документированную модель с фактической организацией процессов. Поэтому одинаковый вопрос, например о разграничении доступа, в этих форматах может исследоваться с разной глубиной.
Профилактический визит — это обычная проверка?
Нет. Профилактический визит относится к профилактическим мероприятиям. Он направлен на оценку соблюдения обязательных требований и предупреждение нарушений. В 2026 году необходимо различать обязательный профилактический визит и визит по инициативе контролируемого лица, поскольку их режим отличается.
Влияет ли мораторий на контроль Роскомнадзора?
Ограничения плановых проверок не означают полного прекращения контроля. Помимо планового контура существуют предусмотренные законом внеплановые механизмы, профилактические мероприятия и контроль без взаимодействия. Поэтому само наличие ограничений на плановые проверки не исключает взаимодействия с регулятором.
Какие документы может запросить Роскомнадзор?
Единого набора для любой ситуации нет. Состав зависит от предмета и формы контроля. В поле зрения могут попасть политики и другие локальные документы, сведения об обработке, материалы по работникам, обращениям субъектов, уничтожению данных и другим процессам, относящимся к конкретному вопросу регулятора.
Нужно ли заранее собирать все документы на случай проверки?
Нет необходимости превращать понимание механики контроля в постоянное формирование универсальной папки «для Роскомнадзора». Важнее, чтобы документы соответствовали реальным процессам и компания могла подтвердить фактическое выполнение закрепленных процедур. Подробную последовательность подготовки лучше использовать уже в рамках отдельной дорожной карты.
Ввод оборотных штрафов за утечки откладывается минимум до 1 июля 2023 года
Подписывайтесь на наш Telegram-канал, чтобы быть в курсе последних новостей и событий!
Материалы по теме