Снижение категории риска РКН: пошагово

Роскомнадзор присваивает каждому оператору персональных данных категорию риска по правилам риск-ориентированного контроля. Чем выше категория — тем больше внеплановых проверок, профилактических визитов и запросов. Снижение категории через комплаенс-работу — практически реализуемая задача: регулятор учитывает наличие уведомления в реестре, пакета ОРД, назначенного ответственного и отсутствие ранее выявленных нарушений.

Кому подходит эта услуга?

Услуга ориентирована на операторов, которые уже получили плановое уведомление о проверке либо обнаружили себя в реестре с высокой или значительной категорией риска. Также актуальна для компаний после предписания РКН, компаний с незакрытыми индикаторами риска и организаций, планирующих расширение обработки ПДн.

Типичные клиенты — юрист компании, которому поручено сопровождение проверки, или директор по правовым вопросам, отвечающий за комплаенс перед советом директоров. В обоих случаях задача одна: до прихода инспектора устранить основания для повышенной категории.

Как РКН рассчитывает категорию риска?

Методика риск-ориентированного контроля строится на индикаторах, которые Роскомнадзор проверяет по открытым и закрытым источникам. К повышающим факторам относятся: отсутствие уведомления о намерении обрабатывать ПДн по ст. 22 ФЗ-152, отсутствие политики конфиденциальности на сайте по ст. 18.1 ФЗ-152, наличие жалоб субъектов, ранее выявленные нарушения по ст. 13.11 КоАП, признаки трансграничной передачи без уведомления по ст. 12 ФЗ-152.

Индикаторы риска также включают сигналы от смежных регуляторов (ФСБ, ФСТЭК), публикации об утечках в СМИ и отраслевую специфику. Медицина, финансы и телеком по умолчанию относятся к повышенной категории из-за обработки специальных категорий ПДн по ст. 10 ФЗ-152.

Пошаговый алгоритм снижения категории риска

Шаг 1. Аудит текущего статуса. Проверьте наличие записи в реестре операторов ПДн на pd.rkn.gov.ru и действующую категорию риска. Если запись отсутствует или устарела — это первый и наиболее весомый индикатор риска.

Шаг 2. Актуализация уведомления. Подайте уведомление об изменении сведений по Приказу РКН № 180 через pd.rkn.gov.ru с использованием УКЭП или через ЕСИА. Срок включения в реестр — 30 дней. Уведомление должно охватывать фактические цели, категории ПДн и системы обработки.

Шаг 3. Комплект ОРД. Разработайте или обновите политику обработки ПДн, приказ о назначении ответственного по ст. 22.1 ФЗ-152, регламент реагирования на запросы субъектов, инструкции для сотрудников и журнал учёта обращений. Отсутствие любого из этих документов — самостоятельное основание для протокола по ст. 13.11 КоАП.

Шаг 4. Закрытие технических индикаторов. Разместите ссылку на политику конфиденциальности на каждой странице сайта, добавьте баннер согласия на cookies, проверьте наличие согласий субъектов по ст. 9 ФЗ-152 в редакции ФЗ-156 (с 01.09.2025 — только отдельным документом). Трансграничные сервисы (аналитика, CRM) — уведомите РКН по ст. 12 ФЗ-152.

Шаг 5. Документирование готовности. Сформируйте папку комплаенс-доказательств: скриншоты записей в реестре, дата-версии ОРД, журнал обращений субъектов за последние 12 месяцев, сведения о назначенном ответственном. Это материал для инспектора при профилактическом визите или плановой проверке.

Практика: как это работает

Кейс 1. Юрист промышленного холдинга (Уральский ФО, осень 2025) обнаружил, что компания не подавала уведомление в РКН с 2018 года. Категория риска — высокая. DATUM за 3 недели подал обновлённое уведомление, собрал пакет ОРД из 12 приоритетных документов и закрыл технические индикаторы на сайте. По итогам профилактического визита РКН зафиксировал устранение оснований для повышенной категории; плановая проверка сдвинута на более поздний срок.

Кейс 2. Торговая компания (Центральный ФО, весна 2026) получила предписание РКН об устранении нарушений по ст. 18.1 ФЗ-152. DATUM обжаловал предписание в части сроков исполнения и одновременно подготовил актуализированную политику и пересобранный комплект согласий по ФЗ-156. Категория риска снижена с высокой до средней; штраф по ч. 3 ст. 13.11 КоАП не был назначен благодаря документированному устранению нарушения до вынесения постановления.

Услуги DATUM по теме

• Сопровождение проверок РКН — представление интересов при визите инспектора и обжалование предписания
• Аудит соответствия 152-ФЗ — проверка по 38 пунктам с приоритизированным планом устранения нарушений
• Защита при штрафе в арбитраже — оспаривание протокола и постановления, применение ст. 4.1 и 4.1.1 КоАП

Частые вопросы

1. Как подготовиться к проверке РКН?

Подготовка включает пять действий: проверить актуальность записи в реестре операторов, убедиться в наличии политики конфиденциальности на сайте, сформировать пакет ОРД (политика, приказы, согласия, журналы), назначить ответственного по ст. 22.1 ФЗ-152 и собрать папку доказательств устранения ранее выявленных нарушений. Чем раньше начата подготовка — тем меньше оснований у инспектора для протокола.

2. Какие индикаторы риска применяет РКН?

РКН использует открытые индикаторы: отсутствие уведомления по ст. 22 ФЗ-152, отсутствие политики конфиденциальности, жалобы субъектов, ранее назначенные санкции по ст. 13.11 КоАП, признаки трансграничной передачи без уведомления по ст. 12 ФЗ-152 и отраслевую принадлежность (медицина, финансы, телеком — повышенная категория по умолчанию). Закрытые индикаторы регулятор не раскрывает.

3. Можно ли отказаться отвечать на запрос РКН?

Нет. Оператор обязан предоставить запрошенные сведения в установленные РКН сроки. Уклонение или неполный ответ могут стать основанием для внеплановой проверки и протокола. Допустимо запросить продление срока в письменной форме с обоснованием; правовую позицию по ответу рекомендуется согласовать с юристом до отправки.

4. Что грозит за невыполнение предписания РКН?

Невыполнение предписания — основание для внеплановой проверки и самостоятельного состава нарушения. По ст. 13.11 КоАП в редакции с 30.05.2025 совокупность нарушений приводит к штрафам в диапазоне от 150 000 до 15 000 000 ₽ в зависимости от состава. Повторность переводит нарушение в оборотный штраф по ч. 15 ст. 13.11 — не менее 20 млн ₽.

5. Куда обжаловать постановление РКН?

С 28.12.2025 (ФЗ-508) дела по ст. 13.11 КоАП снова рассматривают мировые судьи. Постановление мирового суда обжалуется в районный суд в течение 10 суток с момента вручения. Если дело рассматривалось в период с 30.05.2025 по 27.12.2025 — в арбитражный суд субъекта. При наличии оснований применяется ст. 4.1.1 КоАП для замены штрафа предупреждением (кроме оборотных составов по ч. 15 и ч. 18).

Итог

Снижение категории риска РКН — измеримая задача. Четыре из пяти типичных индикаторов риска устраняются документарно: уведомление в реестре, политика на сайте, пакет ОРД, назначенный ответственный. Пятый — отсутствие жалоб субъектов — результат системной работы с согласиями и запросами.

DATUM сопровождает операторов на всех стадиях взаимодействия с РКН — от актуализации уведомления до обжалования предписания в суде. Практика по ст. 13.11 КоАП и взаимодействию с Роскомнадзором ведётся с 2014 года.

3 февраля 2027 года