Что приобщить в протокол проверки РКН

Проверки Роскомнадзора в отношении операторов персональных данных ведутся по нескольким основаниям: плановая проверка по реестру, внеплановая по индикаторам риска, профилактический визит и надзорная акция по жалобе субъекта. В каждом случае инспектор формирует акт и — при обнаружении нарушений — протокол по ст. 13.11 КоАП. Что оператор приобщит к материалам дела, во многом определяет исход: размер штрафа, применение ст. 4.1 или 4.1.1 КоАП, перспективы обжалования предписания.

Чем протокол проверки РКН отличается от акта — и почему это важно юристу?

Акт проверки фиксирует факты: какие документы запрошены, что предоставлено, какие нарушения выявлены. Протокол об административном правонарушении — это уже процессуальный документ, в котором устанавливается состав по конкретной части ст. 13.11 КоАП. Смешивать их недопустимо: возражения, поданные только на акт, не становятся автоматически частью административного дела.

С 30.05.2025 протоколы по новой редакции ст. 13.11 рассматривают мировые судьи (ФЗ-508 от 28.12.2025 вернул подсудность). До этого — арбитражные суды. Архив дел за период с 30.05.2025 по 27.12.2025 остался в арбитражной ветке. Юрист, сопровождающий оператора, обязан понимать, к какой инстанции готовится.

Процессуальное значение имеют три момента: момент подписания протокола (с него начинается срок обжалования), перечень доказательств, которые инспектор вносит в протокол, и объяснения лица, в отношении которого возбуждено дело. Последнее — единственный документ, который оператор вправе внести непосредственно в протокол.

Какие документы приобщают в протокол проверки РКН?

Инспектор РКН вносит в протокол те доказательства, которые подтверждают состав правонарушения. Оператор вправе — и должен — дополнить его доказательствами своей добросовестности. Ниже — разбивка по группам.

Группа 1. Регуляторные документы оператора. Это основа позиции. Инспектор проверяет наличие: записи в реестре операторов ПДн (ст. 22 ФЗ-152, Приказ РКН №180), актуальной политики обработки ПДн (ч. 2 ст. 18.1 ФЗ-152), приказа о назначении ответственного по ст. 22.1, согласий субъектов по ст. 9 в редакции ФЗ-156 (с 01.09.2025 — отдельный документ), договоров поручения обработки с контрагентами по п. 3 ст. 6 ФЗ-152. Если всё это есть и актуально — приобщайте оригиналы или заверенные копии. Отсутствие любого из этих документов зафиксируется в акте как нарушение.

Группа 2. Технические меры защиты. Приказ ФСТЭК №21 и ПП РФ №1119 требуют конкретного набора мер в зависимости от уровня защищённости. К протоколу приобщают: акт классификации ИСПДн с установленным уровнем защищённости УЗ-1..4, модель угроз, перечень применяемых мер в соответствии с Приказом ФСТЭК №21, сведения о сертифицированных средствах защиты. Документы должны быть актуальны — утратившие силу акты работают против оператора.

Группа 3. Документы по реагированию на инциденты. Если проверка инициирована утечкой — приобщают: уведомление РКН в 24 часа по Приказу РКН №187, отчёт за 72 часа с результатами расследования, внутренний акт расследования с описанием обстоятельств, принятых мер и устранённых уязвимостей. Своевременность уведомления — смягчающее обстоятельство. Задержка сверх 24 часов влечёт отдельный состав по ч. 11 ст. 13.11 КоАП (штраф 1–3 млн ₽) дополнительно к составу по утечке.

Группа 4. Объяснения и ходатайства. В объяснениях к протоколу оператор излагает: причины нарушения, принятые меры по устранению, доводы о применении ст. 4.1.1 КоАП (замена штрафа на предупреждение) или ст. 4.1 КоАП (снижение при инвестициях в ИБ). Ходатайства об истребовании дополнительных доказательств или о переносе рассмотрения подаются отдельно, но могут быть приобщены одновременно с объяснениями.

Что такое индикаторы риска РКН и как они связаны с составом протокола?

С введением риск-ориентированного надзора внеплановые проверки назначаются по индикаторам риска. Перечень индикаторов утверждён РКН и включает: появление данных оператора в публичных утечках, жалобы субъектов, отсутствие оператора в реестре, использование запрещённых трансграничных сервисов. Индикатор риска — это основание для внеплановой проверки, но не состав нарушения. Состав фиксируется в акте и протоколе.

Для юриста важно: индикатор, послуживший основанием для проверки, определяет, какие документы инспектор будет требовать в первую очередь. Если основание — публичная утечка, запросят документы по реагированию. Если основание — жалоба субъекта, запросят согласия и документы об ответе на обращение по ст. 20 ФЗ-152 (срок ответа — 10 рабочих дней). Если основание — отсутствие в реестре, запросят уведомление по ст. 22.

Профилактический визит проводится без составления протокола, но его результаты (предписание об устранении) могут стать основанием для внеплановой проверки при неисполнении. Невыполнение предписания влечёт отдельную ответственность по КоАП.

Как применяются ст. 4.1 и ст. 4.1.1 КоАП при рассмотрении дела по ст. 13.11

Обе статьи работают только при правильно сформированном комплекте документов в деле. Ст. 4.1.1 КоАП позволяет заменить штраф на предупреждение для микропредприятий и субъектов МСП при первичном нарушении и отсутствии вреда. Норма не применяется к ч. 15 и ч. 18 ст. 13.11 (оборотные составы).

Ст. 4.1 КоАП предусматривает снижение оборотного штрафа по ч. 15 ст. 13.11 до 1/10 минимума (но не менее 15 млн ₽ и не более 50 млн ₽), если оператор документально подтвердил инвестиции в информационную безопасность в размере не менее 0,1% совокупной выручки за три предшествующих года. Это примечание 3.4-2 к ст. 4.1 КоАП, введённое ФЗ-420.

Чтобы воспользоваться любым из этих механизмов, соответствующие доказательства должны быть приобщены до вынесения постановления — не на стадии обжалования. Суд не обязан истребовать их самостоятельно.

Типовые ситуации из практики проверок РКН

Ситуация 1. Внеплановая проверка по факту публичной утечки. Оператор (дистрибьютор потребительских товаров, Уральский ФО, осень 2025) не направил уведомление об инциденте в 24 часа: CISO счёл событие «предположительной утечкой». РКН составил два протокола — по ч. 11 ст. 13.11 (неуведомление) и по ч. 12 ст. 13.11 (утечка от 1 000 до 10 000 субъектов). Юрист компании приобщил к протоколу: внутренний акт расследования, подтверждающий отсутствие вины в задержке (неоднозначность классификации инцидента), и документы об инвестициях в ИБ. По ч. 11 штраф составил 1 млн ₽ (минимум диапазона), по ч. 12 — 3 млн ₽. Применение ст. 4.1.1 не прошло: оператор не являлся микропредприятием.

Ситуация 2. Плановая проверка, нарушения по ч. 3 и ч. 4 ст. 13.11. Розничная сеть (Центральный ФО, начало 2026) не опубликовала политику обработки ПДн на сайте и не отвечала на запросы субъектов в срок. На составление протокола юрист принёс: распечатку опубликованной политики с датой размещения (после уведомления о проверке, но до протокола), журнал ответов на обращения субъектов за последние 12 месяцев. Наличие актуальных документов на дату протокола снизило размер штрафа до минимума по каждой части. По ч. 3 — 30 000 ₽, по ч. 4 — 40 000 ₽.

Ситуация 3. Профилактический визит и последующее предписание. IT-компания (Северо-Западный ФО, лето 2025) получила предписание об устранении нарушений по итогам профвизита. Нарушение — отсутствие договора поручения обработки с SaaS-подрядчиком. Устранили в срок, но не уведомили РКН об исполнении. Повторный выход инспектора зафиксировал неисполнение предписания. При составлении протокола юрист приобщил подписанный договор поручения (п. 3 ст. 6 ФЗ-152) и акт приёма-передачи задокументированных инструкций подрядчику. Протокол составлен только по ч. 5 ст. 13.11 (невыполнение требования об уточнении/уничтожении), без квалификации по более тяжкой части.

Услуги DATUM по теме

• Сопровождение проверки РКН — от уведомления до обжалования предписания
• Защита при штрафе в арбитраже — применение ст. 4.1, 4.1.1 КоАП, снижение до минимума
• Аудит соответствия 152-ФЗ — проверка полноты ОРД перед визитом инспектора

Частые вопросы

1. Как подготовиться к проверке РКН?

Подготовка строится по трём направлениям. Первое — документальное: реестр операторов (ст. 22 ФЗ-152), актуальная политика (ст. 18.1), согласия работников и клиентов в редакции с 01.09.2025 (ст. 9 ФЗ-152), договоры поручения обработки (п. 3 ст. 6 ФЗ-152), приказ об ответственном (ст. 22.1). Второе — техническое: классификация ИСПДн по ПП РФ №1119, меры защиты по Приказу ФСТЭК №21. Третье — процессуальное: назначить юридическое сопровождение до первого контакта с инспектором, а не после составления акта.

2. Какие индикаторы риска применяет РКН?

Перечень индикаторов риска, дающих основание для внеплановой проверки, утверждён РКН. Наиболее частые: данные оператора в публично опубликованных утечках, поступление жалоб субъектов через портал РКН, отсутствие оператора в реестре операторов ПДн при наличии сайта с формами сбора данных, использование зарубежных сервисов аналитики (GA4, Meta Pixel) без надлежащего уведомления о трансграничной передаче по ст. 12 ФЗ-152. Каждый индикатор определяет тип проверки и перечень запрашиваемых документов.

3. Можно ли отказаться отвечать на запрос РКН?

Нет. Непредставление документов по запросу РКН в рамках надзорного мероприятия влечёт ответственность по КоАП (воспрепятствование проведению проверки). Однако оператор вправе оспаривать объём запроса, если он выходит за пределы предмета проверки, указанного в уведомлении. Возражения направляются письменно с одновременным исполнением той части запроса, которая бесспорна.

4. Что грозит за невыполнение предписания РКН?

Невыполнение предписания РКН в установленный срок даёт основание для повторной внеплановой проверки и является самостоятельным составом административного правонарушения. Для юридических лиц предусмотрен штраф. Кроме того, факт неисполнения предписания суды расценивают как отягчающее обстоятельство при рассмотрении дела по ст. 13.11 КоАП — это исключает применение ст. 4.1.1 и снижает шансы на минимальный штраф.

5. Куда обжаловать постановление РКН?

С 28.12.2025 (ФЗ-508) дела по ст. 13.11 КоАП рассматривают мировые судьи. Постановление мирового суда обжалуется в районный суд в течение 10 суток со дня вручения или получения копии постановления (ст. 30.3 КоАП). Решение районного суда — в суд субъекта. Дела, переданные в арбитражные суды в период с 30.05.2025 по 27.12.2025, завершаются по арбитражным правилам.

Итог

Состав документов, приобщённых к протоколу проверки РКН, — это не формальность. Объяснения к протоколу, доказательства добросовестности оператора, документы о принятых мерах и инвестициях в ИБ формируют позицию, которую суд оценивает при определении размера штрафа или применении ст. 4.1.1 КоАП. После вынесения постановления восполнить пробелы значительно сложнее.

DATUM сопровождает проверки Роскомнадзора с момента получения уведомления: готовит комплект документов под конкретный индикатор риска, формирует объяснения к протоколу, представляет интересы оператора при рассмотрении дела и обжаловании предписания по ст. 13.11 КоАП в редакции с 30.05.2025.

7 апреля 2027 года