Внеплановая по поручению Президента

С момента введения мораториев на плановые проверки малого и среднего бизнеса внеплановые проверки Роскомнадзора по поручению Президента и Правительства стали основным инструментом контроля крупных операторов персональных данных. Юрист, получивший уведомление о такой проверке, сталкивается с несколькими задачами одновременно: оценить основание, собрать документы, выстроить позицию и организовать взаимодействие с инспектором — всё это в сжатые сроки. В этом материале — правовая природа таких проверок, их отличие от плановых и профвизита, типичные нарушения по 152-ФЗ, которые выявляет РКН, и алгоритм подготовки.

Чем внеплановая проверка по поручению Президента отличается от плановой?

Плановые проверки РКН формируются на основании ежегодного плана, который утверждается до 1 декабря предыдущего года и публикуется на сайте регулятора. Мораторий, введённый Правительством в 2022 году и продлённый в последующие годы, существенно ограничил количество плановых проверок — в первую очередь для субъектов малого и среднего предпринимательства.

Внеплановые проверки по поручению Президента или Правительства относятся к отдельному основанию, прямо предусмотренному законодательством о государственном контроле. На них мораторий не распространяется. Оператор, включённый в реестр РКН по ст. 22 152-ФЗ или обрабатывающий ПДн без регистрации, может стать объектом такой проверки вне зависимости от размера и отрасли.

Профилактический визит — ещё одна форма надзора, при которой инспектор вправе давать рекомендации, но не составлять протокол. Внеплановая проверка по поручению Президента — полноценное контрольное мероприятие с правом выдавать предписания и составлять протоколы об административных правонарушениях.

Индикаторы риска, утверждённые РКН, определяют, какие компании попадают в приоритетный контроль: крупные утечки ПДн, жалобы субъектов, отсутствие в реестре операторов при фактической обработке ПДн. Поручение Президента или Правительства добавляет ещё одно отдельное основание, не зависящее от индикаторов.

Что проверяет РКН и какие нарушения выявляет чаще всего?

Предмет проверки по 152-ФЗ охватывает весь цикл обработки персональных данных: наличие оснований для обработки, полноту и актуальность уведомления в реестре операторов, соответствие политики конфиденциальности требованиям ч. 2 ст. 18.1 152-ФЗ, наличие согласий субъектов в формате, соответствующем требованиям ст. 9 152-ФЗ (с 01.09.2025 — только отдельный документ по ФЗ-156), а также технические и организационные меры защиты по ст. 19 152-ФЗ.

По данным РКН, в 2024 году зафиксировано более 135 случаев компрометации баз данных с числом записей свыше 710 млн. Среди типичных нарушений, которые инспекторы фиксируют при проверках, — отсутствие актуального уведомления в реестре, несоответствие реального объёма обработки заявленным целям, использование устаревших форм согласий, отсутствие приказа о назначении ответственного по ст. 22.1 152-ФЗ, и — особенно актуально с 2025 года — необеспечение локализации по ч. 5 ст. 18 152-ФЗ.

Отдельный блок вопросов касается трансграничной передачи. Компании, использующие зарубежные CRM, аналитические системы или облачные хранилища, нередко не подавали уведомление о трансграничной передаче в РКН — это нарушение ст. 12 152-ФЗ. Инспектор проверяет не только наличие уведомления, но и соответствие страны-получателя перечню государств с адекватным уровнем защиты.

Как работает мораторий и когда он не действует?

Мораторий на проведение плановых проверок для субъектов МСП был введён в 2022 году и продлён Правительством на последующие периоды. РКН в рамках этого моратория сократил количество плановых проверок, перейдя к профилактическим визитам и работе с индикаторами риска.

Мораторий не распространяется на четыре категории проверок: по поручению Президента или Правительства; при угрозе жизни и здоровью граждан; по обращениям о фактах причинения вреда; при наличии выданного ранее предписания, исполнение которого не подтверждено. Таким образом, даже субъект МСП, формально защищённый мораторием, не защищён от внеплановой проверки, если поступило соответствующее поручение.

Профилактический визит, введённый как альтернатива плановой проверке, не предполагает права выдавать предписания и составлять протоколы. Компании, прошедшие профвизит с замечаниями, но не устранившие их, рискуют: неустранённые замечания могут стать основанием для перехода к полноценному контрольному мероприятию.

Типичные сценарии при внеплановой проверке: как это происходит на практике

Сценарий 1. Компания не в реестре операторов, а проверка уже назначена. Ситуация: крупный ритейлер Центрального ФО обрабатывал ПДн клиентов через программу лояльности, но не подавал уведомление по ст. 22 152-ФЗ. По итогам внеплановой проверки инспектор составил протокол по ч. 10 ст. 13.11 КоАП (неуведомление о намерении обрабатывать) и по ч. 1 ст. 13.11 (обработка за пределами заявленных целей — поскольку цели не были заявлены вовсе). Доказательства: распечатки страниц сайта с формой сбора ПДн, сведения из баз ФНС о деятельности. Исход: совокупный штраф в диапазоне нескольких сотен тысяч рублей. Стратегия: при обнаружении отсутствия регистрации до проверки — немедленно подать уведомление, оформить политику, подготовить согласия; минимизировать период «безрегистрационной» обработки как отягчающего фактора.

Сценарий 2. Обработка ПДн шире, чем заявлено в реестре. Ситуация: производственная компания Уральского ФО подала уведомление в реестр в 2021 году, но за четыре года расширила обработку ПДн: добавила биометрический контроль СКУД, запустила мобильное приложение для клиентов, подключила зарубежную CRM. Ни одно из этих изменений не было отражено в реестре и не сопровождалось уведомлением о трансграничной передаче. Инспектор зафиксировал расхождение между реестровыми данными и фактической обработкой по ст. 22 152-ФЗ, а также нарушение ст. 12 152-ФЗ. Исход: предписание об устранении, протоколы по нескольким частям ст. 13.11. Стратегия: до прихода инспектора провести инвентаризацию всех систем с ПДн, привести реестровые данные в соответствие, подать уведомления о трансграничной передаче.

Сценарий 3. Согласия работников не соответствуют требованиям с 01.09.2025. Ситуация: крупная торговая сеть Северо-Западного ФО включала согласие на обработку ПДн в текст трудового договора. После 01.09.2025 (ФЗ-156 от 24.06.2025) такой порядок не соответствует требованию об отдельном документе. При внеплановой проверке инспектор запросил образцы согласий работников. Нарушение квалифицировано по ч. 2 ст. 13.11 КоАП (обработка без надлежащего согласия) — штраф для юрлица 300 000–700 000 ₽. Исход: протокол, предписание о переоформлении согласий. Стратегия: заменить согласия в трудовых договорах отдельными документами установленной формы до плановых проверок и профвизитов.

Что грозит за нарушения, выявленные при проверке?

По итогам внеплановой проверки РКН вправе выдать предписание об устранении нарушений, составить протокол об административном правонарушении по ст. 13.11 КоАП, а при наличии признаков уголовного деяния — направить материалы в правоохранительные органы.

Невыполнение предписания РКН в установленный срок образует отдельный состав административного правонарушения по ч. 1 ст. 19.5 КоАП — штраф для юрлица до 500 000 ₽ и возможное возбуждение нового дела по существу нарушения. Систематическое неисполнение предписаний может повлечь обращение РКН в суд с иском о прекращении обработки ПДн.

Ст. 272.1 УК РФ (введена ФЗ-421 от 30.11.2024, действует с 11.12.2024) криминализировала незаконные использование, передачу, сбор и хранение компьютерной информации, содержащей ПДн. Максимальное наказание по ч. 5 — лишение свободы до 10 лет при тяжких последствиях. Материалы о возможных нарушениях РКН вправе передавать следователям.

Обжалование постановления РКН производится в судебном порядке. С 28.12.2025 (ФЗ-508) дела по ст. 13.11 КоАП возвращены в подсудность мировых судей. До этого (с 30.05.2025 по 27.12.2025) они рассматривались арбитражными судами. При обжаловании суд вправе применить ст. 4.1 КоАП (смягчающие обстоятельства) и ст. 4.1.1 КоАП (замена штрафа на предупреждение для микропредприятий при первичном нарушении без вреда) — последнее неприменимо к ч. 15 и ч. 18 ст. 13.11.

Услуги DATUM по теме

• Сопровождение проверок РКН — подготовка, представительство, обжалование предписаний
• Аудит соответствия 152-ФЗ — экспресс-аудит документов и систем перед проверкой
• Защита при штрафе в арбитраже — оспаривание протокола и постановления, применение ст. 4.1 и 4.1.1 КоАП

Частые вопросы

1. Как подготовиться к проверке РКН?

Подготовка включает четыре шага. Первый — проверить актуальность записи в реестре операторов на pd.rkn.gov.ru: цели, категории ПДн, сроки хранения, перечень систем должны соответствовать реальной обработке. Второй — собрать комплект ОРД: политика по ч. 2 ст. 18.1 152-ФЗ, согласия в формате ст. 9 152-ФЗ (с 01.09.2025 — отдельный документ), приказ о назначении ответственного по ст. 22.1, журнал обращений субъектов. Третий — подтвердить техническую защиту: акт определения уровня защищённости по ПП РФ №1119, перечень мер по Приказу ФСТЭК №21. Четвёртый — при наличии зарубежных систем проверить уведомления о трансграничной передаче по ст. 12 152-ФЗ.

2. Какие индикаторы риска у РКН?

РКН использует утверждённые индикаторы риска для планирования надзорных мероприятий. К ним относятся: публичные сообщения об утечках ПДн, связанных с оператором; жалобы субъектов ПДн, поступившие в РКН за последние 12 месяцев сверх установленного порога; отсутствие оператора в реестре при наличии признаков фактической обработки ПДн; неисполнение ранее выданных предписаний. Наличие индикатора не означает автоматической проверки, но существенно повышает вероятность профвизита или внеплановой проверки по иным основаниям. Поручение Президента или Правительства — самостоятельное основание, не зависящее от индикаторов.

3. Можно ли отказаться отвечать на запрос РКН?

Отказ от предоставления документов по запросу РКН в рамках проверки — самостоятельное нарушение. Оператор обязан обеспечить доступ к документам и системам в объёме, предусмотренном распоряжением о проведении проверки. Непредоставление или предоставление заведомо недостоверных сведений образует состав по ч. 1 ст. 19.4 КоАП (воспрепятствование законной деятельности должностного лица). Юридически верная тактика — обеспечить предоставление запрошенного в срок, одновременно фиксируя все действия инспектора и подготавливая возражения по существу.

4. Что грозит за невыполнение предписания РКН?

Невыполнение предписания РКН в установленный срок квалифицируется по ч. 1 ст. 19.5 КоАП. Штраф для юридических лиц — до 500 000 ₽. Помимо этого, неисполнение предписания может стать основанием для внеплановой проверки по новому основанию — проверки исполнения предписания. При систематическом неисполнении РКН вправе обратиться в суд с требованием об ограничении или прекращении обработки ПДн, что для крупного оператора означает операционный риск, несопоставимый с размером штрафа.

5. Куда обжаловать постановление РКН?

С 28.12.2025 (ФЗ-508 от 28.12.2025) постановления РКН по ст. 13.11 КоАП обжалуются у мирового судьи по месту рассмотрения дела. В период с 30.05.2025 по 27.12.2025 дела рассматривались арбитражными судами. Срок на обжалование постановления — 10 суток с момента вручения или получения. При обжаловании суд оценивает: соблюдение процедуры проверки, правильность квалификации нарушения, наличие смягчающих обстоятельств по ст. 4.1 КоАП. Для микропредприятий при первичном нарушении без вреда применима ст. 4.1.1 КоАП (замена штрафа на предупреждение) — кроме ч. 15 и ч. 18 ст. 13.11.

Итог

Внеплановая проверка РКН по поручению Президента — контрольное мероприятие с полным набором полномочий регулятора: выдача предписаний, составление протоколов, передача материалов в следственные органы. Мораторий на неё не распространяется, срок подготовки — минимальный, а штрафная вилка с 30.05.2025 достигает 500 млн ₽ по оборотному составу ч. 15 ст. 13.11 КоАП.

DATUM сопровождает операторов ПДн при проверках РКН с 2014 года в рамках практики «Ветров и партнёры»: от экспресс-аудита документов до представительства при составлении протокола и последующего обжалования постановления. Контроль над процессом с первого дня существенно влияет на исход.