Уведомление РКН от Прокуратуры

С 2024 года взаимодействие прокуратуры и Роскомнадзора в сфере ПДн стало заметно активнее. Прокуроры направляют в РКН представления по итогам проверок работодателей, медицинских организаций, банков и интернет-сервисов — а РКН трансформирует эти сигналы в уведомления и внеплановые проверки операторов. Для юриста компании это означает две параллельные процедуры: сначала ответ на уведомление РКН, затем — возможное административное дело. В этом материале разбираем правовую природу таких уведомлений, сроки реагирования, типовые составы нарушений и стратегию защиты.

Что такое уведомление РКН по обращению прокуратуры и чем оно отличается от плановой проверки?

Роскомнадзор взаимодействует с прокуратурой в рамках нескольких механизмов. Первый — это прокурорское представление об устранении нарушений закона, которое прокурор направляет непосредственно в компанию: оператор обязан рассмотреть его в течение 30 дней и сообщить о принятых мерах. Второй — обращение прокурора в РКН с требованием провести проверку или принять меры реагирования. Именно второй механизм порождает «уведомление РКН от прокуратуры» в том смысле, который интересует юриста компании.

По существу, такое уведомление является основанием для внеплановой проверки в порядке, установленном Федеральным законом о государственном контроле (надзоре) и ФЗ-152. Важное отличие от плановой проверки: мораторий на плановые проверки, действовавший в 2022–2024 годах, не распространялся на внеплановые проверки по обращениям прокуратуры. То есть даже в период моратория РКН имел право провести внеплановую проверку по прокурорскому сигналу.

Профилактический визит (профвизит) — отдельная форма: РКН вправе предложить его оператору без составления протокола. Отказ от профвизита не влечёт санкций, однако на практике отказавшаяся компания попадает в зону повышенного внимания при следующем цикле планирования проверок. После реформы контрольно-надзорной деятельности РКН активнее использует профвизит как инструмент досудебного урегулирования до составления протокола.

Какие индикаторы риска РКН запускают проверку по прокурорскому сигналу?

Роскомнадзор применяет риск-ориентированный подход: операторы распределяются по категориям риска, и именно эта категория определяет частоту плановых проверок. Внеплановые проверки по сигналу прокуратуры не зависят от категории риска, однако прокуратура, как правило, направляет обращения в РКН, когда её собственная проверка выявила индикаторы нарушений ФЗ-152.

Типичные индикаторы, на которые обращает внимание прокуратура:

• Оператор не включён в реестр операторов ПДн, хотя фактически обрабатывает данные сотрудников, клиентов или пользователей.
• На сайте отсутствует политика конфиденциальности или она не соответствует требованиям ч. 2 ст. 18.1 ФЗ-152.
• Согласия субъектов оформлены с нарушением реквизитов ст. 9 ФЗ-152 — в том числе включены в текст трудового договора или оферты без выделения в отдельный документ (требование действует с 01.09.2025 по ФЗ-156).
• Данные граждан РФ хранятся на зарубежных серверах без выполнения требований локализации по ч. 5 ст. 18 ФЗ-152.
• Оператор не уведомил РКН об утечке в течение 24 часов по ч. 3.1 ст. 21 ФЗ-152.
• Выявлена утечка ПДн, ставшая публично известной (даркнет, СМИ, жалобы субъектов).

Прокуратура чаще всего проводит проверки по жалобам граждан (уволенных работников, клиентов, пользователей), по публикациям в СМИ об утечках, а также в ходе плановых проверок хозяйствующих субъектов по смежным основаниям — трудовому законодательству, защите прав потребителей. Выявив нарушения ФЗ-152, прокурор направляет представление или обращение в РКН — и цепочка запускается.

Как реагировать на уведомление РКН и какие сроки критичны?

Уведомление РКН — не протокол, но и не просьба. Оно обязывает оператора к конкретным действиям в установленный срок. Пропуск срока или формальный ответ без подтверждающих документов превращает уведомление в основание для внеплановой проверки с выходом инспектора на место.

Стратегия реагирования строится по следующему алгоритму. Первое — установить точный предмет уведомления: что именно запрашивает РКН и какое нарушение предполагается. Второе — провести экспресс-аудит документов по указанному предмету: уведомление в реестре, политика, согласия, приказ о назначении ответственного, журналы. Третье — подготовить ответ с приложением копий документов и описанием принятых мер. Четвёртое — если нарушение реально существует, устранить его до ответа и приложить доказательства устранения.

Срок ответа на уведомление РКН определяется самим документом. Как правило, регулятор устанавливает 10–30 календарных дней. Срок ответа субъекту на его запрос по ст. 20 ФЗ-152 — 10 рабочих дней с возможностью продления ещё на 5 рабочих дней при уведомлении субъекта. Если уведомление РКН касается утечки — параллельно идёт отдельный контур: 24 часа на первичное уведомление и 72 часа на отчёт о расследовании по Приказу РКН №187 от 14.11.2022.

Какие составы нарушений чаще всего выявляются по прокурорским сигналам?

Административная ответственность по ст. 13.11 КоАП в редакции с 30.05.2025 охватывает 18 составов. Проверки, инициированные по прокурорским сигналам, чаще всего завершаются протоколами по следующим частям.

Часть 1 ст. 13.11 КоАП — обработка ПДн в случаях, не предусмотренных законом, или несовместимая с целями. Штраф для юрлица: 150 000–300 000 ₽. При повторности (ч. 1.1) — 300 000–500 000 ₽.

Часть 2 ст. 13.11 КоАП — обработка ПДн без письменного согласия или с нарушением его состава. Штраф: 300 000–700 000 ₽. При повторности (ч. 2.1) — 1 000 000–1 500 000 ₽. Наиболее частый состав при прокурорских проверках работодателей.

Часть 3 ст. 13.11 КоАП — невыполнение обязанности опубликовать политику обработки ПДн. Штраф: 30 000–60 000 ₽. Для интернет-сервисов и сайтов без политики конфиденциальности.

Часть 10 ст. 13.11 КоАП — неуведомление или несвоевременное уведомление РКН о намерении обрабатывать ПДн по ст. 22 ФЗ-152. Штраф: 100 000–300 000 ₽.

Часть 11 ст. 13.11 КоАП — неуведомление РКН об утечке в 24 часа. Штраф: 1 000 000–3 000 000 ₽.

С 11.12.2024 действует ст. 272.1 УК РФ (введена ФЗ-421 от 30.11.2024): незаконные использование, передача, сбор или хранение компьютерной информации, содержащей ПДн. Максимальное наказание по ч. 5 — лишение свободы до 10 лет при тяжких последствиях. Прокуратура, выявив утечку с признаками умысла, вправе направить материалы в следственный орган параллельно с обращением в РКН.

Как применяется на практике: два сценария для юриста компании

Сценарий 1. Уведомление РКН по жалобе уволенного работника. Бывший сотрудник подал жалобу в прокуратуру: работодатель собирал биометрические данные для СКУД без письменного согласия и передавал ПДн в зарплатный проект без отдельного поручения. Прокурор направил представление компании и одновременно обращение в РКН. РКН выслал уведомление с требованием представить документы в течение 20 дней. Юрист компании подготовил ответ с приложением актуальной политики и образцов согласий. Однако согласия на передачу в банк отсутствовали — состав по ч. 2 ст. 13.11 КоАП был очевиден. Стратегия: признать нарушение, устранить, представить доказательства устранения до составления протокола. По итогам внеплановой проверки составлен протокол по ч. 2 ст. 13.11; в ходе рассмотрения дела штраф снижен до нижней границы диапазона с учётом устранения нарушения и первичности.

Сценарий 2. Уведомление РКН после публичной утечки данных клиентов. В региональном СМИ появилась публикация об утечке контактных данных клиентов торговой сети (Сибирский ФО, осень 2025). Прокуратура направила обращение в РКН. Компания не уведомила РКН об инциденте в 24-часовой срок по ч. 3.1 ст. 21 ФЗ-152 — о факте утечки узнала из публикации, а не из собственного мониторинга. Уведомление РКН поступило одновременно с возбуждением дела по ч. 11 ст. 13.11 КоАП (неуведомление об утечке, штраф 1–3 млн ₽) и ч. 12 ст. 13.11 (утечка от 1 000 до 10 000 субъектов, штраф 3–5 млн ₽). Доказательства: данные появились в открытом источнике, источник утечки установлен — подрядчик по рассылке. Стратегия: доказать, что оператор принял все разумные меры (договор с подрядчиком, инструкции), направить ретроспективное уведомление с объяснением причин просрочки, применить ст. 4.1 КоАП для снижения штрафа.

Услуги DATUM по теме

• Сопровождение проверок РКН — подготовка, представление интересов, обжалование предписания.
• Аудит соответствия 152-ФЗ — проверка по чек-листу из 38 пунктов до прихода проверяющих.
• Защита при штрафе в арбитраже — оспаривание протокола и постановления по ст. 13.11 КоАП.

Частые вопросы

1. Как подготовиться к проверке РКН?

Подготовка включает четыре обязательных направления. Первое — актуальное уведомление в реестре операторов ПДн с достоверным перечнем обрабатываемых категорий и целей. Второе — полный пакет ОРД: политика по ч. 2 ст. 18.1 ФЗ-152, приказ о назначении ответственного по ст. 22.1, согласия субъектов с реквизитами ст. 9, договоры-поручения с обработчиками. Третье — техническая документация: модель угроз, акт определения уровня защищённости по ПП РФ №1119, журналы. Четвёртое — регламент реагирования на утечки с маршрутом уведомления РКН за 24/72 часа по Приказу РКН №187. Экспресс-аудит по чек-листу из 38 пунктов позволяет закрыть большинство типовых нарушений до визита инспектора.

2. Какие индикаторы риска у РКН?

Роскомнадзор применяет риск-ориентированный подход: индикаторами служат жалобы субъектов, публичные утечки, отсутствие оператора в реестре, несоответствие политики конфиденциальности требованиям закона, а также отраслевая принадлежность (медицина, финансы, телеком — повышенная категория риска). Отдельный индикатор — неуведомление о трансграничной передаче в страны без адекватной защиты. Проверки по прокурорским обращениям не зависят от категории риска, но именно жалобы граждан в прокуратуру чаще всего становятся источником таких обращений.

3. Можно ли отказаться отвечать на запрос РКН?

Отказ от ответа на уведомление или запрос РКН не предусмотрен законом в качестве правомерного варианта поведения. Непредставление документов или информации в срок — самостоятельное основание для составления протокола об административном правонарушении. На практике молчание оператора расценивается как признание нарушения и ускоряет переход к внеплановой проверке с выходом инспектора. При наличии объективных причин задержки (форс-мажор, болезнь ответственного) следует направить в РКН мотивированное ходатайство о продлении срока.

4. Что грозит за невыполнение предписания РКН?

Предписание РКН об устранении нарушений обязательно к исполнению. Невыполнение предписания в установленный срок образует самостоятельный состав — неисполнение законного требования должностного лица органа государственного контроля. Параллельно РКН вправе обратиться в суд с требованием обязать оператора устранить нарушение. Если нарушение связано с локализацией ПДн (ч. 8 ст. 13.11), штраф за повторное нарушение — 6 000 000–18 000 000 ₽ по ч. 9 ст. 13.11 КоАП.

5. Куда обжаловать постановление РКН?

С 28.12.2025 (ФЗ-508 от 28.12.2025) дела по ст. 13.11 КоАП снова рассматривают мировые судьи. Постановление мирового суда обжалуется в районный суд, далее — в региональный суд в порядке КАС или главы 30 КоАП. Если оператор — юридическое лицо или ИП, постановление обжалуется в арбитражный суд субъекта РФ в течение 10 суток со дня его получения. При оспаривании можно заявить о применении ст. 4.1 КоАП (смягчающие обстоятельства) и ст. 4.1.1 КоАП (замена на предупреждение для микропредприятий при первичном нарушении, кроме ч. 15 и ч. 18).

Итог

Уведомление РКН по прокурорскому обращению — это сигнал двойной природы: административное производство уже фактически начато, а прокуратура продолжает собственный контроль. Юрист компании, получивший такое уведомление, действует в двух системах одновременно.

DATUM сопровождает операторов с момента получения уведомления РКН: готовит пакет документов для ответа, проводит экспресс-аудит, представляет интересы на проверке и в арбитраже при оспаривании протоколов по ст. 13.11 КоАП.

21 апреля 2027 года