Повторная проверка РКН: основания

Мораторий на плановые проверки бизнеса не распространяется на надзор за соблюдением требований 152-ФЗ в полном объёме: РКН вправе проводить внеплановые проверки, профилактические визиты и направлять требования без ограничений. После того как ФЗ-420 от 30.11.2024 ввёл повторные составы правонарушений (ч. 1.1, 2.1, 5.1 ст. 13.11 КоАП), значимость повторной проверки для операторов существенно возросла: она превращает административный штраф первого цикла в двух-трёхкратный.

Что является основанием для повторной проверки РКН?

Контрольная (надзорная) деятельность РКН в сфере персональных данных регулируется Федеральным законом № 248-ФЗ о государственном контроле (надзоре) и Положением о федеральном государственном контроле, утверждённым Правительством РФ. Повторная проверка назначается по следующим основаниям.

Неисполнение предписания. Если оператор получил предписание по итогам плановой или внеплановой проверки, но в установленный срок нарушение не устранил, РКН вправе провести внеплановую проверку исполнения предписания. Это наиболее распространённое основание: примерно в трёх из четырёх случаев именно оно запускает повторный цикл.

Индикаторы риска. РКН утвердил перечень индикаторов риска нарушения обязательных требований в сфере ПДн. К ним относятся: появление сведений об операторе в реестре нарушителей, жалобы субъектов ПДн, сведения об утечке в открытых источниках, несоответствие данных в реестре операторов фактической обработке. При срабатывании индикатора РКН вправе провести внеплановую проверку или профилактический визит.

Поручение прокуратуры или обращение субъекта. Внеплановая проверка назначается на основании согласованного с органами прокуратуры поручения либо при поступлении жалобы субъекта ПДн о нарушении его прав. Это основание действует независимо от того, была ли ранее плановая проверка.

Плановая проверка по новому периоду. Плановые проверки проводятся с периодичностью, установленной для соответствующей категории риска оператора (высокая, значительная, средняя, умеренная, низкая). Предыдущая плановая проверка не исключает следующей плановой — это самостоятельное основание, не связанное с повторностью нарушений.

Как РКН проводит повторную проверку и чем она отличается от первой?

Форматы контрольных мероприятий одинаковы для первичной и повторной проверки. Принципиальное отличие — в правовых последствиях выявленных нарушений.

Документарная проверка. РКН запрашивает документы: политику обработки ПДн, согласия субъектов, организационно-распорядительные документы (ОРД), сведения об уведомлении по Приказу РКН №180 от 28.10.2022, данные о принятых технических мерах защиты. Документарная форма не требует выезда инспектора на объект.

Выездная проверка. Применяется при документарно неустранимых нарушениях или если инспектору необходимо проверить фактическое состояние информационных систем. На выездной проверке инспектор вправе опрашивать сотрудников, изучать локальные акты, запрашивать демонстрацию технических средств защиты.

Профилактический визит. Формально не является проверкой, не влечёт составления протокола по итогам. Однако сведения, выявленные в ходе профвизита, могут стать основанием для внеплановой проверки. Отказаться от профвизита оператор не вправе, если он проводится по решению РКН в обязательном формате.

Повторный состав нарушения. Если по итогам повторной проверки РКН фиксирует то же нарушение, что было выявлено ранее (не устранено или возобновлено), оно квалифицируется по повторному составу: ч. 1.1 ст. 13.11 КоАП (обработка без оснований, повторно) — штраф для юрлица 300 000–500 000 ₽; ч. 2.1 (отсутствие или ненадлежащее согласие, повторно) — 1 000 000–1 500 000 ₽; ч. 5.1 (неисполнение требования об уточнении/блокировании/уничтожении ПДн, повторно) — 300 000–500 000 ₽.

Какие индикаторы риска РКН применяет для назначения внеплановых проверок?

Перечень индикаторов риска нарушения обязательных требований в области ПДн утверждён приказом РКН. Знание индикаторов позволяет оператору оценить вероятность внеплановой проверки и устранить факторы до её назначения.

Отсутствие в реестре операторов. Если оператор обрабатывает ПДн, но не направил уведомление по ст. 22 ФЗ-152 и Приказу РКН №180, это фиксируется как индикатор. РКН регулярно сверяет реестр с публичными источниками — сайтами компаний, сервисами электронной коммерции, государственными базами.

Несоответствие сведений в реестре фактической обработке. Оператор обновил виды обрабатываемых ПДн, добавил новые категории субъектов или расширил цели, но не подал уведомление об изменении сведений. Это второй по частоте индикатор в практике DATUM.

Жалоба субъекта ПДн. Обращение физического лица с жалобой на нарушение его прав (отказ в уничтожении, отсутствие ответа на запрос в 10 рабочих дней по ст. 20 ФЗ-152, незаконная рассылка) запускает проверочные действия РКН. Жалоба может поступить через сайт РКН, Госуслуги или напрямую в территориальный орган.

Сведения об утечке ПДн. Появление данных оператора в утечках в открытых источниках, даркнете или специализированных мониторинговых сервисах — безусловный индикатор. По данным F6 Threat Intelligence, в 2025 году в публичном доступе оказались данные из 250 утечек объёмом 767 млн строк. РКН ведёт мониторинг таких источников.

Неуведомление об инциденте. Если оператор не направил уведомление об утечке в 24 часа по ч. 3.1 ст. 21 ФЗ-152 и Приказу РКН №187 от 14.11.2022, это одновременно нарушение и индикатор для расширенной проверки всей системы обработки ПДн.

Как работает мораторий и распространяется ли он на проверки РКН?

Мораторий на плановые проверки субъектов малого и среднего предпринимательства, введённый Правительством РФ, распространяется на ряд видов государственного контроля. Применительно к надзору РКН за соблюдением требований 152-ФЗ необходимо учитывать следующее.

На внеплановые проверки, основанием которых является неисполнение предписания или срабатывание индикатора риска, мораторий не распространяется. Внеплановые проверки по жалобам субъектов ПДн и поручениям прокуратуры также проводятся без ограничений. Профилактические визиты вынесены за рамки проверочных мероприятий и не подпадают под мораторий по определению.

На плановые проверки операторов, отнесённых к категориям высокого и значительного риска, мораторий не распространяется в той части, в которой это предусмотрено специальным законодательством. Для большинства коммерческих операторов — малых и средних предприятий — плановые проверки в период действия моратория не проводятся. Однако это не освобождает от внеплановых мероприятий и профвизитов.

Практический вывод: мораторий создаёт иллюзию защиты, но не снимает риск повторной проверки по основанию неисполнения предписания или индикатору риска.

Как применяется практика на повторных проверках РКН

Кейс 1. Производственная компания (Уральский ФО, осень 2025) получила предписание по итогам плановой проверки: отсутствовало уведомление об изменении состава обрабатываемых ПДн в реестре операторов. Срок исполнения — 45 дней. Юрист компании направил обновлённое уведомление по Приказу РКН №180, однако не обновил политику обработки ПДн на сайте в части новых категорий субъектов. При повторной проверке РКН зафиксировал неполное исполнение предписания. Нарушение квалифицировано по ч. 3 ст. 13.11 КоАП (невыполнение обязанности по публикации политики) дополнительно к повторному составу по ч. 1.1. Штраф составил несколько сотен тысяч рублей суммарно. Своевременное обновление двух документов вместо одного устранило бы оба основания.

Кейс 2. IT-компания (Северо-Западный ФО, начало 2026) обработала жалобу субъекта ПДн с нарушением срока: ответ был направлен на 14-й рабочий день вместо 10 рабочих дней, установленных ст. 20 ФЗ-152. Субъект повторно обратился в РКН. Территориальный орган инициировал внеплановую проверку по индикатору жалобы. В ходе проверки выявлено отсутствие журнала учёта обращений субъектов. РКН возбудил дело по ч. 4 и ч. 5 ст. 13.11 КоАП. Юристы, подключившиеся к делу после вынесения протокола, добились снижения штрафа за счёт применения ст. 4.1 КоАП: компания документально подтвердила принятие технических мер защиты (наличие действующего УЗ-3 по ПП РФ №1119). Штраф по итогу составил нижнюю границу санкции.

Услуги DATUM по теме

• Сопровождение проверок РКН — подготовка, представление интересов, обжалование предписания.
• Аудит соответствия 152-ФЗ — проверка 38 параметров до прихода инспектора.
• Защита при штрафе в арбитраже — оспаривание протокола и постановления по ст. 13.11 КоАП.

Частые вопросы

1. Как подготовиться к проверке РКН?

Подготовка включает четыре блока. Первый — актуализация записи в реестре операторов на pd.rkn.gov.ru: соответствие между сведениями реестра и фактической обработкой по ст. 22 ФЗ-152 и Приказу РКН №180. Второй — полный пакет ОРД: политика обработки ПДн по ч. 2 ст. 18.1, приказ об ответственном по ст. 22.1, согласия субъектов в форме отдельного документа (с 01.09.2025 по ФЗ-156), журнал обращений субъектов. Третий — технические меры по уровню защищённости (ПП РФ №1119, Приказ ФСТЭК №21). Четвёртый — регламент реагирования на инциденты: 24 часа на первичное уведомление РКН по ч. 3.1 ст. 21 ФЗ-152 и Приказу РКН №187.

2. Какие индикаторы риска у РКН?

РКН применяет следующие основные индикаторы: отсутствие оператора в реестре при наличии обработки ПДн; несоответствие сведений реестра фактической обработке; жалоба субъекта ПДн; сведения об утечке в открытых источниках; неуведомление об инциденте в 24 часа по ч. 3.1 ст. 21 ФЗ-152; отсутствие политики обработки ПДн в открытом доступе. При срабатывании любого из них РКН вправе провести внеплановую проверку или профилактический визит без предварительного предупреждения.

3. Можно ли отказаться отвечать на запрос РКН?

Нет. Оператор обязан предоставить запрошенные документы и сведения в установленный срок. Отказ или непредоставление документов квалифицируется как воспрепятствование проверке и влечёт отдельную ответственность по КоАП. На практике непредоставление документов не останавливает проверку — инспектор фиксирует факт непредоставления как нарушение и продолжает контрольное мероприятие по имеющимся сведениям. Единственная законная защита — оспорить решение о проверке в суде до её начала при наличии процессуальных нарушений со стороны РКН.

4. Что грозит за невыполнение предписания РКН?

Неисполнение предписания в установленный срок влечёт два последствия. Первое — административная ответственность по ч. 1 ст. 19.5 КоАП (неисполнение законного предписания органа государственного надзора): штраф для юридического лица до 500 000 ₽. Второе — назначение внеплановой проверки, в ходе которой нарушение 152-ФЗ квалифицируется по повторному составу ст. 13.11 КоАП: ч. 1.1 — до 500 000 ₽, ч. 2.1 — до 1 500 000 ₽, ч. 5.1 — до 500 000 ₽. Таким образом, суммарные потери от неисполнения одного предписания могут превысить 2 млн ₽.

5. Куда обжаловать постановление РКН?

С 28.12.2025 (ФЗ-508 от 28.12.2025) дела по ст. 13.11 КоАП рассматривают мировые судьи. Постановление мирового судьи обжалуется в районный суд в течение 10 суток с момента вручения. Постановление РКН (вынесенное должностным лицом без судебного рассмотрения) — в районный суд или в вышестоящий орган РКН. При обжаловании возможно применение ст. 4.1 КоАП (смягчающие обстоятельства) и ст. 4.1.1 КоАП (замена штрафа предупреждением для микропредприятий при первичном нарушении без вреда). Ст. 4.1.1 не применяется к повторным составам (ч. 1.1, 2.1, 5.1) и оборотным штрафам по ч. 15 ст. 13.11.

Итог

Повторная проверка РКН — это прямое следствие неисполненного предписания или срабатывания индикатора риска. С 30.05.2025 повторное нарушение по ст. 13.11 КоАП означает кратно увеличенный штраф, а мораторий на плановые проверки не защищает от внеплановых мероприятий по индикаторам риска. Единственная рабочая стратегия — устранить нарушения в срок, актуализировать реестр и ОРД до повторного визита инспектора.

DATUM сопровождает операторов при взаимодействии с РКН: от подготовки к проверке до обжалования предписаний и постановлений в арбитраже. Практика охватывает все стадии — документарную и выездную проверки, профилактический визит, составление протокола и производство по делу об административном правонарушении.