Реестр операторов и публичность данных

Роскомнадзор ведёт реестр операторов персональных данных на основании ст. 22 ФЗ-152. Запись в реестре — не разрешение, а уведомительная обязанность: оператор сам заявляет сведения, регулятор их фиксирует. Публичность реестра означает, что любой контрагент, субъект ПДн или журналист может проверить, стоит ли компания на учёте. В 2024 году РКН зафиксировал более 135 случаев компрометации баз данных — большинство пострадавших операторов не имели актуальных записей в реестре, что утяжеляло их положение при проверке.

Что такое реестр операторов ПДн и как в него попасть?

Оператор персональных данных по ст. 3 ФЗ-152 — государственный орган, муниципальный орган, юридическое или физическое лицо, которое самостоятельно или совместно с другими определяет цели и осуществляет обработку ПДн. Обязанность уведомить РКН до начала обработки закреплена в ч. 1 ст. 22 ФЗ-152 — исключения перечислены в ч. 2 той же статьи и охватывают узкий круг случаев (трудовые отношения, договор с субъектом, публично раскрытые данные и ряд иных).

Форма уведомления утверждена Приказом РКН № 180 от 28.10.2022. Подача — через портал pd.rkn.gov.ru с использованием ЕСИА или УКЭП. Срок включения в реестр после приёма уведомления — 30 дней. Сведения, которые оператор обязан указать: наименование и адрес, цели обработки, категории ПДн, категории субъектов, перечень действий, правовое основание, меры защиты, сведения о трансграничной передаче, срок обработки.

Публичность реестра означает, что сведения об операторе открыты: наименование, ИНН, цели обработки, правовые основания, категории ПДн, наличие или отсутствие трансграничной передачи. Персональные данные субъектов в реестре не публикуются. Если реальная обработка шире задекларированного, это выявляется при плановой или внеплановой проверке и квалифицируется по ч. 1 или ч. 1.1 ст. 13.11 КоАП.

Какие проверки проводит Роскомнадзор и что такое индикаторы риска?

Плановая проверка — включается в ежегодный план РКН, опубликованный на сайте ведомства до 31 декабря предшествующего года. С 2022 года действует мораторий на плановые проверки малого и среднего бизнеса (ПП РФ № 336 от 10.03.2022 с последующими пролонгациями). Средний и крупный бизнес под мораторий не подпадает.

Внеплановая проверка назначается по жалобе субъекта ПДн, по поручению прокуратуры, по истечении срока устранения предписания или при наступлении индикаторов риска. Приказ РКН закрепляет перечень индикаторов: отсутствие записи в реестре операторов, жалобы субъектов в течение 12 месяцев, сведения об утечке в публичном пространстве, несоответствие политики конфиденциальности требованиям ч. 2 ст. 18.1 ФЗ-152, отсутствие доступной политики на сайте.

Профилактический визит — форма взаимодействия без штрафных последствий: инспектор разъясняет требования, оператор получает рекомендации. Отказаться от профвизита нельзя, но он не влечёт предписания. Практика показывает: профвизит нередко предшествует внеплановой проверке, если оператор не устраняет нарушения в разумный срок.

Что такое предписание РКН и как его обжаловать?

Предписание РКН — обязательный для исполнения акт, выдаваемый по результатам проверки. Оператор обязан устранить нарушение в указанный срок и направить отчёт об исполнении. Невыполнение предписания в срок — основание для внеплановой проверки и протокола по ч. 1 ст. 13.11 КоАП, а при повторности — по ч. 1.1 с штрафом 300–500 тыс. ₽.

Обжалование предписания возможно в административном и судебном порядке. Административный — в вышестоящий орган РКН. Судебный — в арбитражный суд по месту нахождения заявителя в порядке КАС РФ или АПК РФ в зависимости от статуса заявителя. Срок обжалования — 3 месяца с даты, когда оператор узнал о нарушении своих прав. При наличии бесспорных процессуальных нарушений в ходе проверки суды признают предписания незаконными независимо от существа нарушения.

Постановление о штрафе по ст. 13.11 КоАП с 28.12.2025 рассматривают мировые судьи (ФЗ-508 от 28.12.2025). Обжалование — в районный суд в течение 10 суток со дня вручения. При первичном нарушении и статусе микропредприятия суд вправе заменить штраф предупреждением по ст. 4.1.1 КоАП — исключение составляют оборотные составы ч. 15 и ч. 18.

Типовые ситуации

Ситуация 1. Компания не состоит в реестре. Оператор начал обрабатывать ПДн клиентов без подачи уведомления. РКН по жалобе субъекта инициировал внеплановую проверку. Доказательства: отсутствие записи на pd.rkn.gov.ru, наличие форм сбора на сайте. Исход: протокол по ч. 10 ст. 13.11, штраф 100–300 тыс. ₽. Стратегия: немедленно подать уведомление, при повторности — привлечь юриста для снижения по ст. 4.1 КоАП.

Ситуация 2. Реестровые сведения устарели. Компания добавила CRM-систему с обработкой новых категорий ПДн, уведомление не обновила. При плановой проверке инспектор выявил расхождение. Исход: предписание об устранении + протокол по ч. 1 ст. 13.11 (150–300 тыс. ₽). Стратегия: подать уведомление об изменении сведений по форме Приказа № 180 и приложить доказательства оперативного реагирования в объяснениях.

Ситуация 3. Предписание не исполнено в срок. Оператор получил предписание устранить нарушения политики по ч. 2 ст. 18.1, срок — 30 дней. Документ переработан частично, отчёт не направлен. РКН назначил повторную внеплановую проверку. Исход: новый протокол, квалификация по ч. 1.1 как повторное нарушение — до 500 тыс. ₽. Стратегия: при наличии уважительных причин — направить частичный отчёт с обоснованием и запросить продление срока до истечения первоначального.

Как подготовиться к проверке РКН: практика на реальных примерах

Кейс 1. Юридический департамент торговой компании (Центральный ФО, осень 2025) провёл аудит реестровых сведений перед плановой проверкой. Выявлено: уведомление не отражало три новые цели обработки и передачу ПДн маркетинговому агентству по поручению. Юристы обновили уведомление, оформили договор-поручение с обработчиком по ст. 6 ч. 3 ФЗ-152. Проверка завершилась без предписания.

Кейс 2. Производственная компания (Уральский ФО, начало 2026) получила постановление о штрафе по ч. 3 ст. 13.11 — политика конфиденциальности отсутствовала на сайте. Штраф в диапазоне 30–60 тыс. ₽. В арбитражном суде применена ст. 4.1.1 КоАП: статус микропредприятия, первичность нарушения, отсутствие вреда — штраф заменён предупреждением. Обязанность разместить политику исполнена до рассмотрения дела.

Услуги DATUM по теме

• Аудит соответствия 152-ФЗ — чек-лист 38 пунктов, отчёт с приоритетами устранения.
• Сопровождение проверок РКН — подготовка, представительство, обжалование предписания.
• Защита при штрафе в арбитраже — оспаривание протоколов и постановлений по ст. 13.11 КоАП.

Частые вопросы

1. Как подготовиться к проверке РКН?

Проверьте актуальность записи в реестре операторов на pd.rkn.gov.ru: цели, категории ПДн и сведения о трансграничной передаче должны совпадать с реальной обработкой. Убедитесь, что на сайте размещена политика конфиденциальности с обязательными разделами по ч. 2 ст. 18.1 ФЗ-152, оформлен приказ о назначении ответственного по ст. 22.1, а согласия субъектов соответствуют требованиям ст. 9 в редакции с 01.09.2025. Журнал обращений субъектов должен подтверждать соблюдение 10-рабочих-дневного срока ответа по ст. 20 ФЗ-152.

2. Какие индикаторы риска использует РКН для назначения внеплановой проверки?

Типовые индикаторы: отсутствие оператора в реестре, жалобы субъектов за последние 12 месяцев, публичные сведения об утечке (в СМИ, телеграм-каналах, даркнете), отсутствие политики конфиденциальности на сайте или её несоответствие ч. 2 ст. 18.1 ФЗ-152, истечение срока исполнения ранее выданного предписания. Точный перечень закреплён приказом РКН об индикаторах риска (актуальный номер — верифицировать перед публикацией).

3. Можно ли отказаться отвечать на запрос РКН?

Нет. Ст. 23 ФЗ-152 закрепляет обязанность оператора предоставлять РКН запрашиваемые документы и сведения. Непредставление или представление заведомо недостоверных сведений — самостоятельный состав административного правонарушения. Права оператора — возражать относительно объёма запроса, ссылаться на тайну связи и адвокатскую тайну в допустимых пределах, запрашивать разъяснения по основаниям запроса.

4. Что грозит за невыполнение предписания РКН?

Неисполнение предписания в срок даёт РКН основание для внеплановой проверки. По её результатам оформляется новый протокол — при наличии повторности квалификация переходит в отягчённые составы ст. 13.11 КоАП с более высокими санкциями. Если предписание выдано по итогам дела об утечке и оператор его не исполнил — это учитывается как отягчающее обстоятельство при назначении оборотного штрафа по ч. 15 ст. 13.11 (1–3% выручки, не менее 20 млн ₽).

5. Куда обжаловать постановление РКН о штрафе?

С 28.12.2025 (ФЗ-508) дела по ст. 13.11 КоАП рассматривают мировые судьи. Постановление мирового судьи обжалуется в районный суд в течение 10 суток со дня вручения. Юридическое лицо вправе также обратиться в арбитражный суд по подведомственности. При первичном нарушении и статусе микропредприятия или МСП суд вправе применить ст. 4.1.1 КоАП и заменить штраф предупреждением — кроме оборотных составов ч. 15 и ч. 18.

Итог

Реестр операторов — публичный инструмент контроля: расхождение между задекларированным и реальным создаёт прямой риск штрафа по ч. 10 ст. 13.11 КоАП и открывает основание для внеплановой проверки. Обжалование предписаний и постановлений требует соблюдения процессуальных сроков — 10 суток для административного обжалования и 3 месяца для оспаривания предписания в суде.

DATUM сопровождает операторов при проверках РКН, формирует комплект уведомлений по форме Приказа № 180, обжалует протоколы и постановления по ст. 13.11 КоАП с применением ст. 4.1 и ст. 4.1.1 КоАП.