Выездная проверка РКН: алгоритм действий

Выездная проверка РКН входит в плановый реестр или назначается внепланово по индикаторам риска — жалобе субъекта, публикации об утечке или несданному уведомлению по ст. 22 ФЗ-152. В обоих случаях алгоритм подготовки, поведения и постпроверочных действий одинаков. Эта статья — структурированный разбор каждого этапа с нормами, сроками и типовыми ошибками.

Чем выездная проверка отличается от документарной и профилактического визита?

Роскомнадзор использует три основных формата контроля операторов персональных данных. Понимание разницы между ними критично для юриста, которому нужно правильно оценить риски и выстроить тактику.

Профилактический визит проводится без принудительного характера — оператор вправе отказаться. Инспектор разъясняет требования, выдаёт рекомендации, но не составляет протокол и не выносит предписание. Отказ от профвизита фиксируется, однако не влечёт санкций. При этом отказ в 2025–2026 годах нередко становится косвенным индикатором риска для последующей плановой или внеплановой проверки.

Документарная проверка проводится дистанционно: РКН направляет запрос, оператор обязан предоставить запрошенные документы в установленный срок. Выезд инспектора на объект не предусмотрен.

Выездная проверка предполагает физическое присутствие инспекторов. Они вправе осматривать помещения, запрашивать документы в оригинале, проводить опросы сотрудников. Именно по итогам выездной проверки с наибольшей вероятностью возбуждается административное дело по ст. 13.11 КоАП.

Мораторий на проверки МСП, действовавший в 2022–2024 годах, не распространялся на проверки в сфере ПДн в полном объёме: РКН сохранял право на внеплановые проверки по жалобам субъектов и по индикаторам риска вне зависимости от размера бизнеса.

Какие индикаторы риска запускают внеплановую выездную проверку РКН?

Индикаторы риска — формализованные условия, при наступлении которых РКН вправе инициировать внеплановую проверку без включения оператора в плановый реестр. Для юриста это критически важный список: каждый пункт — потенциальный триггер.

• Поступление жалобы субъекта персональных данных на действия оператора — неответ на запрос по ст. 20 ФЗ-152 в течение 10 рабочих дней, отказ в уничтожении ПДн, непредоставление информации об обработке.
• Отсутствие оператора в реестре операторов на pd.rkn.gov.ru при фактической обработке ПДн (нарушение ст. 22 ФЗ-152).
• Публикация в СМИ или специализированных ресурсах сведений об утечке ПДн у конкретного оператора.
• Уведомление от НКЦКИ или ФСТЭК об инциденте в информационной системе оператора.
• Несоответствие между содержанием уведомления в реестре и фактической обработкой (расширенный состав ПДн, новые цели, новые получатели).
• Обращения органов власти — прокуратуры, ФСБ, следственных органов — с информацией о нарушениях.
• Необработанные результаты предыдущего профилактического визита: рекомендации выданы, срок истёк, оператор не подтвердил устранение.

Как работает алгоритм подготовки к выездной проверке?

Подготовка делится на три блока: документарный, процедурный и организационный. Отсутствие хотя бы одного из них влечёт нарушения, которые инспектор зафиксирует как самостоятельные составы.

Блок 1. Документарная готовность. Минимальный пакет, который инспектор запросит в первые два часа выездной проверки:

Блок 2. Процедурная готовность. Инспектор проверит не только наличие документов, но и реальность процессов. Типовые вопросы: кто принимает запросы субъектов, как фиксируется факт утечки, кто и в какой срок уведомляет РКН по Приказу №187. Если сотрудник, принимающий запросы субъектов, не знает о 10-рабочедневном сроке ответа по ст. 20 ФЗ-152, это создаёт риск протокола по ч. 4 ст. 13.11 КоАП.

Блок 3. Организационный. До приезда инспекторов назначить уполномоченного представителя — юриста или DPO, — который будет вести всё взаимодействие. Остальные сотрудники перенаправляют вопросы к нему. Это не уклонение от проверки, а стандартная практика управления коммуникацией.

Как вести себя во время выездной проверки?

Поведение во время проверки влияет на квалификацию нарушений и на итоговое постановление. Несколько правил, которые снижают риски.

Обеспечить доступ — обязанность, не усмотрение. Воспрепятствование проверке фиксируется как отдельное нарушение по ст. 19.4.1 КоАП (штраф до 500 тыс. ₽ для юрлица). Не путать с правом оспорить законность проверки — это делается параллельно, не препятствуя самому визиту.

Все запросы инспектора — в письменном виде. Устная просьба «показать базу» или «продемонстрировать систему» фиксируется представителем компании в листе наблюдений с пометкой «устный запрос». Если запрос выходит за рамки предмета проверки, указанного в распоряжении о проведении, — вежливо указать на это со ссылкой на ст. 15 ФЗ-248.

Журнал проверки. Оператор вправе вести параллельный журнал всех действий инспектора — время прибытия, перечень запрошенных документов, задаваемые вопросы. Этот журнал потребуется при обжаловании, если инспектор выйдет за пределы предмета или нарушит процедуру.

Несогласие с актом. По итогам проверки составляется акт. Оператор вправе подписать акт с оговоркой «с нарушениями не согласен» и направить письменные возражения в течение 15 рабочих дней. Это не отменяет протокол, но создаёт позицию для обжалования.

Типовые сценарии выездной проверки и их последствия

Сценарий 1. Внеплановая проверка по жалобе субъекта. Субъект направил обращение в РКН: оператор не ответил на запрос об уничтожении ПДн в установленный срок. РКН инициирует внеплановую выездную проверку. Инспектор запрашивает журнал обращений — в журнале запись отсутствует, подтвердить факт ответа нечем. Результат: протокол по ч. 5 ст. 13.11 КоАП (штраф 50–90 тыс. ₽) плюс предписание об устранении нарушения. При повторности — ч. 5.1 (300–500 тыс. ₽). Стратегия: до начала проверки восстановить документооборот, подтвердить факт получения запроса альтернативными источниками (входящая почта, электронные письма), направить возражения к акту.

Сценарий 2. Плановая проверка — выявлена расширенная обработка. Оператор уведомил РКН о обработке контактных данных клиентов, но фактически обрабатывает биометрию в СКУД и передаёт данные иностранному SaaS-сервису без уведомления о трансграничной передаче. Инспектор фиксирует несоответствие реестровой записи фактической обработке. Результат: протокол по ч. 1 ст. 13.11 (150–300 тыс. ₽) и предписание об обновлении уведомления в реестре + устранении трансгранички. Стратегия: перед плановой проверкой проводить сверку реестровой записи с фактическими потоками данных — это первое, что проверяет инспектор.

Сценарий 3. Внеплановая проверка после утечки — документы в порядке, реагирование задокументировано. Компания (Уральский ФО, осень 2025) зафиксировала инцидент, уведомила РКН в течение 22 часов по Приказу №187, направила отчёт через 68 часов. Выездная проверка выявила отсутствие формы согласия на распространение ПДн по ст. 10.1 ФЗ-152 для одного из сервисов. Штраф по ч. 2 ст. 13.11 (300–700 тыс. ₽), но оперативность реагирования учтена как смягчающее обстоятельство при определении суммы внутри диапазона. Стратегия: выездная проверка после утечки — не только про инцидент. Инспектор проверяет весь комплаенс. Наличие отлаженного процесса реагирования снижает риск максимального штрафа.

Что происходит после выездной проверки?

После составления акта проверки возможны три сценария развития: вынесение предписания без протокола, возбуждение административного дела, передача материалов в прокуратуру или следственные органы.

Предписание об устранении нарушений — документ с конкретным перечнем нарушений и сроком их устранения. Невыполнение предписания образует отдельный состав по ч. 1 ст. 19.5 КоАП: для юрлица — штраф до 500 тыс. ₽, для должностного лица — до 50 тыс. ₽. Срок исполнения предписания указывается в его тексте; типовой — 30–90 дней.

Протокол об административном правонарушении составляется по ст. 13.11 КоАП при выявлении конкретных нарушений. С 28.12.2025 (ФЗ-508) дела рассматривают мировые судьи. Юрист компании вправе участвовать в рассмотрении, представлять возражения, ходатайствовать о применении ст. 4.1.1 КоАП (замена штрафа предупреждением для первичных нарушений микропредприятий и СМП).

Обжалование постановления. С 28.12.2025 постановления мировых судей по ст. 13.11 обжалуются в районный суд, затем в региональный. При наличии договора с DATUM — юристы готовят жалобу, представляют интересы в заседании, ходатайствуют о снижении штрафа по ст. 4.1 КоАП (обстоятельства, смягчающие ответственность) и об инвестиционном вычете по ст. 4.1 примечание 3.4-2 (вложения в ИБ ≥ 0,1% выручки за 3 года снижают оборотный штраф до 1/10 минимума).

Как это применяется на практике

Кейс 1. Юридический департамент торговой сети (Сибирский ФО, начало 2026) получил уведомление о внеплановой выездной проверке за 5 рабочих дней. За этот срок юристы DATUM провели экспресс-аудит документации, выявили отсутствие отдельных согласий работников по ст. 9 ФЗ-152 (требование ФЗ-156 с 01.09.2025) и несоответствие реестровой записи в части трансграничной передачи данных в CRM-систему. Нарушения устранены до начала проверки: согласия переоформлены, реестр обновлён. Инспектор зафиксировал незначительное нарушение по оформлению журнала обращений субъектов — вынесено предписание без протокола.

Кейс 2 (на основе публичных данных). В деле РЭШ (АС Москвы, дело № А40-351064/2025) суд рассмотрел нарушение по ч. 14 ст. 13.11 КоАП за утечку более 100 000 субъектов. Несмотря на то что диапазон штрафа составляет 10–15 млн ₽, суд применил ч. 1 ст. 4.1.2 КоАП и рассчитал штраф по правилам для микропредприятий — 400 000 ₽. Кейс подтверждает: правовой статус организации и своевременное документирование смягчающих обстоятельств существенно влияют на итоговую сумму.

Услуги DATUM по теме

• Сопровождение проверок РКН — подготовка, представление интересов, обжалование предписания.
• Аудит соответствия 152-ФЗ — проверка документов и процессов до выхода инспектора.
• Защита при штрафе в арбитраже — оспаривание протокола и постановления по ст. 13.11 КоАП.

Частые вопросы

1. Как подготовиться к проверке РКН?

Подготовка включает три направления: документарное, процедурное и организационное. Проверьте актуальность записи в реестре операторов на pd.rkn.gov.ru, наличие политики обработки ПДн по ч. 2 ст. 18.1 ФЗ-152, отдельных согласий по ст. 9 ФЗ-152 в редакции ФЗ-156 (для оформленных после 01.09.2025), приказ о назначении ответственного по ст. 22.1 и журнал обращений субъектов. Назначьте уполномоченного представителя для взаимодействия с инспектором.

2. Какие индикаторы риска у РКН?

Приказ РКН устанавливает формализованные индикаторы: жалоба субъекта на нарушение его прав, отсутствие оператора в реестре при фактической обработке, публикация об утечке, уведомление НКЦКИ или ФСТЭК об инциденте, несоответствие реестровой записи фактической обработке. Каждый индикатор — самостоятельное основание для внеплановой проверки без включения в плановый реестр.

3. Можно ли отказаться отвечать на запрос РКН?

Уклонение от предоставления документов и воспрепятствование проверке — отдельные составы по ст. 19.4.1 КоАП со штрафом до 500 тыс. ₽ для юрлица. Оспорить законность самой проверки можно параллельно через прокуратуру или суд, не прекращая взаимодействие с инспектором. Если запрос выходит за рамки предмета проверки — зафиксировать это письменно со ссылкой на ст. 15 ФЗ-248 и предоставить документы, входящие в предмет.

4. Что грозит за невыполнение предписания РКН?

Невыполнение предписания в установленный срок образует состав по ч. 1 ст. 19.5 КоАП: для юридического лица — штраф до 500 тыс. ₽, для должностного лица — до 50 тыс. ₽. Предписание не то же самое, что постановление о штрафе: его исполнение обязательно даже при обжаловании самого постановления по ст. 13.11.

5. Куда обжаловать постановление РКН?

С 28.12.2025 дела по ст. 13.11 КоАП рассматривают мировые судьи (ФЗ-508 от 28.12.2025). Постановление мирового судьи обжалуется в районный суд, затем в региональный. При обжаловании используйте ст. 4.1 КоАП (смягчающие обстоятельства), ст. 4.1.1 (замена штрафа предупреждением для МСП при первичном нарушении), а также примечание 3.4-2 к ст. 4.1 при наличии инвестиций в ИБ.

Итог

Выездная проверка РКН — управляемый процесс при условии, что документация актуальна, процессы задокументированы, а уполномоченный представитель знает предмет и пределы полномочий инспектора. Ошибки на каждом из трёх этапов — подготовка, поведение, постпроверочные действия — конвертируются в самостоятельные составы по ст. 13.11 КоАП в редакции с 30.05.2025.

DATUM сопровождает операторов на всех этапах взаимодействия с РКН: от экспресс-аудита перед выездом инспектора до обжалования постановлений в арбитраже. Практика по 152-ФЗ ведётся с 2014 года.