Регулярная проверка сайта на 152-ФЗ и оценка соответствия внутренних процессов регламентам Роскомнадзора перестали быть разовой формальностью. Утвержденный Роскомнадзором систематизированный перечень нормативных правовых актов в сфере персональных данных не вводит революционных обязанностей, однако выполняет другую прикладную задачу. Надзорное ведомство сформировало исчерпывающую матрицу контроля: собрало в единый реестр действующие законы, правительственные постановления и ведомственные приказы, по которым инспекторы выявляют правонарушения и привлекают бизнес к административной ответственности.
Команда бюро правовой архитектуры VERIS LEGAL подготовила детальный постатейный разбор нормативного перечня регулятора. Ниже проанализированы ключевые акты надзорного контура, составы ответственности по статье 13.11 КоАП РФ и пошаговый алгоритм технико-правовой самопроверки веб-ресурсов, интерфейсов и баз данных.
Нормативная база надзора: подробный анализ актов из перечня Роскомнадзора
Официальный перечень структурирует надзорные требования по уровням нормативного регулирования. Каждая позиция в нем соотнесена с кругом обязанных лиц: действие норм распространяется на физических лиц, индивидуальных предпринимателей и организации всех видов экономической деятельности.
1. Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»
Базовый закон формирует правовой каркас государственного контроля. В перечне регулятора выделены фундаментальные институты, нарушение которых влечет прямые санкции:
- Принципы и соразмерность обработки (ст. 5): сбор данных обязан строго ограничиваться заранее определенными, законными целями. Не допускается объединение информационных систем, созданных для несовместимых задач, а также избыточный сбор контактных или паспортных данных «на перспективу».
- Правовые основания (ст. 6): оператор должен четко разграничивать случаи, когда обработка требует отдельного волеизъявления субъекта, и ситуации, когда взаимодействие строится на исполнении заключенного договора или прямых обязанностях работодателя.
- Требования к согласию субъекта (ст. 9): согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. Запрещается прятать согласие на маркетинговые рассылки внутрь пользовательского соглашения или публичной оферты.
- Специальные категории и биометрия (ст. 10 и 11): обработка данных о здоровье, судимости, национальности или биометрических идентификаторов (фотоизображений для распознавания лица) требует строгого соблюдения исключительных оснований и квалифицированной письменной формы волеизъявления.
- Локализация баз данных в РФ (ч. 5 ст. 18): оператор обязан обеспечить первичную запись, систематизацию, накопление, хранение и извлечение персональных данных граждан Российской Федерации с использованием баз данных, расположенных на территории России. Использование сторонних зарубежных скриптов, метрик или облачных серверов, сохраняющих данные россиян напрямую за рубеж, признается нарушением правила локализации.
- Трансграничная передача данных (ст. 12): передача клиентских данных за границу требует предварительного уведомления Роскомнадзора и комплексной проверки правопорядка иностранного государства.
- Организационные меры и публикация политики (ст. 18.1): оператор обязан утвердить внутренние локальные акты и опубликовать Политику обработки персональных данных в открытом доступе на каждой веб-странице, где размещены формы сбора сведений.
- Уведомление уполномоченного органа (ст. 22): до начала обработки персональных данных организация обязана встать на учет в Реестре операторов РКН, а при изменении состава собираемых полей или адресов ЦОД — направить корректирующее уведомление.
2. Трудовой кодекс Российской Федерации (Глава 14, ст. 86–90)
В части кадровых процессов перечень Роскомнадзора делает акцент на защите сведений штатных сотрудников и кандидатов:
- Сведения соискателя могут запрашиваться исключительно в объеме, подтверждающем его деловые и профессиональные качества для конкретной вакансии.
- Передача персональных данных сотрудников в сторонние организации (банки для выпуска зарплатных карт, страховые компании по программам ДМС, аутсорсинговые бухгалтерии) требует отдельных письменных согласий по статье 88 ТК РФ.
- Хранение копий паспортов, военных билетов и свидетельств об образовании уволенных сотрудников запрещено: после закрытия трудовых отношений документы подлежат безотлагательному уничтожению.
3. Постановление Правительства РФ от 01.11.2012 № 1119
Постановление устанавливает технические требования к защите персональных данных при их автоматизированной обработке в информационных системах (ИСПДн):
- Обязанность компании утвердить акт классификации ИСПДн и установить один из четырех уровней защищенности (УЗ-1 – УЗ-4).
- Определение актуальных угроз безопасности данных и формирование Модели угроз.
- Разграничение прав программного доступа к базам данных, журналирование событий входа, шифрование каналов связи и физическая охрана серверного оборудования.
4. Постановление Правительства РФ от 15.09.2008 № 687
Регламентирует порядок неавтоматизированной обработки персональных данных (на бумажных носителях):
- Раздельное хранение бумажных документов, собранных для разных, не связанных между собой целей.
- Использование типовых форм документов, где для каждой цели предусмотрены обособленные графы с отметками об ознакомлении.
- Установление перечня лиц, имеющих доступ к бумажным архивам, сейфам и закрываемым шкафам.
5. Постановление Правительства РФ от 29.06.2021 № 1046
Определяет регламент проведения федерального государственного контроля (надзора) со стороны Роскомнадзора:
- Мониторинг без взаимодействия: проведение скрытых цифровых проверок сайтов, лендингов и мобильных приложений автоматическими программными комплексами ведомства.
- Инспекционные визиты и проверки: порядок запроса подтверждающих логов, актов, согласий и вынесения предписаний об устранении нарушений.
6. Профильные приказы Роскомнадзора
- Приказ РКН от 24.02.2021 № 18: устанавливает обязательные требования к согласию на распространение персональных данных. Публикация на сайте фотографий команды, видеоотзывов клиентов или кейсов требует отдельного юридического согласия с предоставлением гражданину права установить запреты на передачу сведений неограниченному кругу лиц.
- Приказ РКН от 28.10.2022 № 179: закрепляет стандарты подтверждения факта уничтожения персональных данных. Удаление данных в ИСПДн подтверждается только связкой из утвержденного комиссионного Акта об уничтожении и электронной выгрузки из журнала регистрации событий (лог-файла сервера или СУБД).
- Приказ РКН от 28.10.2022 № 180: устанавливает алгоритм взаимодействия с государственной системой ГосСОПКА и правила уведомления регулятора о фактах компрометации (утечек) баз данных в течение 24 и 72 часов с момента инцидента.
- Приказ РКН от 19.06.2025 № 140: утверждает обязательные правила и методики обезличивания массивов данных при их обработке в аналитических системах и контурах машинного обучения.
Таблица штрафов: ответственность оператора по статье 13.11 КоАП РФ
Несоблюдение требований нормативного перечня Роскомнадзора квалифицируется по специальным составам статьи 13.11 Кодекса РФ об административных правонарушениях:
| Состав правонарушения | Норма КоАП РФ | Штраф для должностных лиц и ИП | Штраф для юридических лиц |
| Обработка данных в несовместимых целях или сбор избыточных полей | ч. 1 ст. 13.11 | 10 000 – 20 000 ₽ | 60 000 – 100 000 ₽ (повторно: 100 000 – 300 000 ₽) |
| Отсутствие письменного согласия либо дефекты в формулировках | ч. 2 ст. 13.11 | 100 000 – 300 000 ₽ | 300 000 – 700 000 ₽ (повторно: 1 000 000 – 1 500 000 ₽) |
| Отсутствие Политики обработки ПДн на сайте или в формах сбора | ч. 3 ст. 13.11 | 6 000 – 12 000 ₽ (ИП: 10 000 – 20 000 ₽) | 30 000 – 60 000 ₽ |
| Невыполнение требования субъекта или РКН об уточнении или удалении | ч. 5 ст. 13.11 | 20 000 – 40 000 ₽ | 50 000 – 90 000 ₽ |
| Нарушение требований локализации баз данных на серверах в РФ | ч. 8 ст. 13.11 | 100 000 – 200 000 ₽ | 1 000 000 – 6 000 000 ₽ (повторно: 6 000 000 – 18 000 000 ₽) |
Как использовать перечень: чек-лист самопроверки сайта и процессов
Сам факт публикации перечня не налагает обязанности подавать дополнительные отчеты. Однако документ дает бизнесу четкий надзорный сценарий: проверить собственные цифровые продукты по тем же маркерам, по которым их оценивают алгоритмы и инспекторы Роскомнадзора.
Внутренняя проверка сайта на 152-ФЗ строится на трех последовательных вопросах:
Вопрос 1. Как именно бизнес выполняет конкретное требование закона?
Необходимо описать не абстрактный регламент («у нас разработано Положение»), а фактический маршрут движения информации:
- Откуда поступают данные: лид-форма на посадочной странице, виджет обратного звонка, квиз, авторизация через личный кабинет, Telegram-бот.
- На каком сервере и в какой базе сохраняется входящий запрос.
- Кто из сотрудников получает доступ к строке в CRM-системе.
Вопрос 2. Какими артефактами компания подтвердит соблюдение нормы?
По закону бремя доказывания лежит на операторе. При проверке скриншота переписки недостаточно — потребуются документальные свидетельства:
- Для согласий на сайте: серверный лог с фиксацией
user_id, времени отметки по стандарту UTC, IP-адреса посетителя и хеш-суммы редакции текста, под которой поставлена отметка. - Для файлов cookie: журнал согласий сервиса Consent Management Platform, подтверждающий, что скрипты аналитики не передавали идентификаторы до момента нажатия кнопки «Принять».
- Для уничтожения сведений: электронная выгрузка из лога СУБД с фиксацией операции
DELETEв связке с утвержденным бумажным актом комиссии по Приказу РКН № 179.
Вопрос 3. Соответствует ли зафиксированный порядок реальной архитектуре?
Частая зона риска — разрыв между локальными актами и кодом веб-ресурса. Документы юристы нередко утверждают один раз, а продуктовая команда за это время подключает новые маркетинговые пиксели, меняет интеграции и добавляет дополнительные поля в форму заказа.
Чтобы устранить риски, необходимо:
- Провести аудит веб-форм: снять предустановленные галочки по умолчанию (
checked = false), разделить согласия на сервисное обслуживание и рекламные рассылки, разместить прямые ссылки на текст Политики конфиденциальности. - Проверить скрипты веб-аналитики: убедиться, что метрические сервисы не отправляют технические параметры сессий и IP-адреса на зарубежные серверы до получения согласия через двухуровневый cookie-баннер.
- Сверить реестровую запись РКН: проверить соответствие видов деятельности, категорий собираемых данных и фактических адресов расположения ЦОД тем сведениям, которые указаны в открытом Реестре операторов.
Своевременная инженерно-правовая ревизия позволяет устранить разногласия между интерфейсом сайта, базами данных и юридическими документами до того, как они привлекут внимание автоматизированных систем мониторинга Роскомнадзора.
Архитектурный IT-комплаенс от VERIS LEGAL
Шаблонные документы из интернета не защищают бизнес от автоматизированных проверок прокуратуры и Роскомнадзора. Надежная правовая защита строится на стыке юриспруденции, UX-интерфейсов и кода.
Команда VERIS LEGAL проектирует цифровой правовой контур для EdTech, SaaS-платформ и digital-бизнеса:
- Комплексный аудит пользовательского пути (сайт, формы, личные кабинеты, мобильные приложения, боты).
- Разработка сквозного пакета документов (Политика конфиденциальности, адресные согласия, публичная оферта) с внедрением стандартов Legal Design.
- Актуализация сведений в реестре операторов Роскомнадзора под реальные процессы компании.
Защитите свой продукт до визита проверяющих органов: оставьте заявку на правовой аудит на verislegal.ru или напишите в Telegram-канал бюро: @verislegal.
