Как проходит проверка Роскомнадзора: плановая и внеплановая

Как проходит проверка Роскомнадзора и какие требования Роскомнадзора к сайту она проверяет

Прежде чем разбираться, как проходит проверка Роскомнадзора на практике, стоит понять, откуда вообще берутся её правила. Сам 152-ФЗ процедуру проверки не описывает: он лишь называет Роскомнадзор уполномоченным органом и отсылает к общему закону о государственном контроле — 248-ФЗ. Детальные правила — виды проверок, категории риска, периодичность, сроки — прописаны не в 152-ФЗ и не в самом 248-ФЗ напрямую, а в отдельном Положении, утверждённом Правительством (Постановление № 1046 от 29.06.2021). Это и есть документ, по которому строится вся дальнейшая логика проверок.

Как уполномоченный орган РКН вправе запрашивать у оператора информацию, проверять сведения из уведомления об обработке персональных данных, требовать уточнить, заблокировать или уничтожить недостоверные данные и привлекать к административной ответственности. Иначе говоря, проверить сайт на Роскомнадзор по закону можно только в рамках чёткой процедуры — произвольного «зайти и оштрафовать» не бывает.

Что именно должно быть готово на сайте к моменту визита — тема отдельной большой статьи о требованиях Роскомнадзора к сайту. Здесь разбираем только сам механизм: кто, когда и как придёт с проверкой.

Плановая проверка: кому и как часто она реально грозит

Каждому оператору персональных данных для целей контроля присваивают два параметра: группу тяжести потенциального вреда — от А (максимум) до Г (минимум) — и группу вероятности нарушения, которая считается по истории компании за последние 2–3 года. Комбинация этих двух параметров даёт итоговую категорию риска: высокий, значительный, средний, умеренный или низкий.

В группу «А» попадает обработка специальных категорий и биометрических данных, базы свыше 100 тыс. субъектов, трансграничная передача в страны без адекватной защиты и работа на иностранном ПО. В группу «Б» — например, обработка персональных данных несовершеннолетних: порог после обновления критериев снизился с 20 тыс. до 10 тыс. субъектов.

Практический вывод для типового сайта: если у вас нет спецданных или биометрии, нет базы 100 тыс.+ записей и нет трансграничной передачи в «недружественные» юрисдикции, вы, скорее всего, не в группе высокого риска. Но сама эта таблица — норма без поправки на мораторий (о нём — в следующем разделе). Пока он действует, до 2030 года, цифры из таблицы реально работают только для категории высокого риска: это единственное исключение из моратория, и проверка раз в 2 года для неё возможна уже сейчас. А для значительного, среднего и умеренного риска плановых проверок сейчас нет вовсе — не «редко, раз в 4–6 лет», а ни одной, пока мораторий не закончится (или пока вы сами не попадёте в группу высокого риска).

Мораторий не спасает: 5 путей попасть на проверку без всякого плана

С 2022 года в России действует мораторий на плановые проверки бизнеса — сейчас он продлён до 1 января 2030 года. Казалось бы, можно выдохнуть. Но мораторий распространяется только на плановые проверки. Внеплановые проверки и мероприятия без взаимодействия — например, автоматический бот-мониторинг сайтов — он не затрагивает. Они работают в 2026 году в полном объёме, независимо от категории риска.

• Жалоба субъекта персональных данных — человек обратился в РКН с тем, что его данные обработали без согласия или использовали не по назначению.
• Факт утечки — оператор обязан уведомить РКН о ней в течение 24 часов, и это уведомление само по себе становится поводом для внимания регулятора.
• Требование прокуратуры — в рамках общего надзора за исполнением законов.
• Невыполненное прошлое предписание — срок устранения истёк, а нарушение осталось.
• Автоматический бот-мониторинг — отдельный механизм мероприятий без взаимодействия, о нём подробно в следующем разделе.

По сути, каждый из этих пяти путей — просто разный повод для одной и той же проверки сайта на соответствие законодательству РФ. Формального «плана» может не быть, а внимание регулятора — быть.

Автоматический бот-скан сайтов: тихий предвестник проверки в 2026 году

С осени 2025 года, а массово — в 2026-м, Роскомнадзор применяет автоматический бот-сканер сайтов в зонах .RU, .РФ и .SU. Это и есть тот самый пятый путь из списка выше — мероприятие «без взаимодействия», предусмотренное отдельно для контроля персональных данных (ст. 23.1 ч. 1 152-ФЗ). По независимым разборам юристов и отраслевых СМИ, бот круглосуточно сканирует сайты, имитируя поведение обычного посетителя: ищет формы сбора данных, проверяет корректность чекбоксов согласия, наличие политики обработки ПДн и счётчики аналитики, сверяет всё это с текстом уведомления оператора в реестре РКН. Официального пресс-релиза с точным алгоритмом РКН не публиковал — но практику подтверждают сразу несколько независимых источников.

• Некорректный чекбокс согласия — он должен быть пустым и ставиться пользователем вручную, отдельно по каждой цели обработки.
• Счётчики аналитики без согласия — Яндекс.Метрика или Google Analytics запускаются раньше, чем посетитель дал согласие.
• Расхождение с реестром РКН — уведомление об обработке данных не подано вовсе или не совпадает с тем, что реально происходит на сайте.

Если бот находит расхождение, дело передаётся сотруднику регионального РКН — он вручную сверяет документы и код сайта. Дальше это уже официальное требование или предписание.

Как проходит проверка по шагам: от уведомления до предписания

Если РКН всё же взялся за сайт — по плану, по жалобе или после находки бота, — процедура почти всегда идёт по одному сценарию.

1. Основание — план проверок, жалоба, требование прокурора или находка бота-сканера.
2. Уведомление — для плановой и большинства внеплановых проверок компанию уведомляют заранее; для мероприятий без взаимодействия (мониторинг) уведомления как такового нет.
3. Запрос — РКН запрашивает документы, доступ к сайту, пояснения по обработке данных.
4. Акт — фиксируются результаты: есть нарушения или нет.
5. Предписание — если нарушения найдены, выносится предписание с конкретной календарной датой устранения.
6. Проверка исполнения — РКН смотрит, устранено ли нарушение в срок.

Часто первый контакт с РКН — не проверка, а обязательный профилактический визит: он проводится с согласия проверяемого, уведомление приходит не позднее чем за 5 рабочих дней, сам визит занимает не более 5 рабочих дней. От визита можно отказаться, предупредив не позднее чем за 3 рабочих дня — это мягче полноценной проверки, но часто первый сигнал, что на компанию обратили внимание.

У проверяемого есть права (ст. 36 248-ФЗ):

• Присутствовать при проверке и давать пояснения.
• Получать информацию, относящуюся к предмету проверки.
• Узнать основания внеплановой проверки.
• Привлечь бизнес-омбудсмена или его представителя.

Что будет, если проигнорировать предписание

Мы разобрали, как проходит сама процедура. Дальше — самое неприятное: чем оборачивается проверка сайта под штрафы в 2026 году, если предписание проигнорировать. Невыполнение предписания в срок — отдельный, самостоятельный состав правонарушения, помимо штрафа за само найденное нарушение.

С 1 января 2026 года обжаловать штраф стало сложнее: дела по ст. 13.11 КоАП снова рассматривают мировые судьи, а не арбитражные суды (508-ФЗ). Бизнес лишился возможности обжаловать решение через экономколлегию Верховного Суда — теперь только районные суды общей юрисдикции. Ещё один повод регулярно проверять сайт на новые законы РФ: правила меняются быстрее, чем кажется.

Как это выглядит в реальности — кейс с сайтом юридического медиа: РКН нашёл нехватку политики, некорректное согласие на аналитику и неуведомление о начале обработки данных. Итог — три производства в Арбитражном суде Москвы и совокупный штраф 155 000 ₽.

Коротко о главном

• Мораторий на плановые проверки бизнеса действует до 2030 года — типовому сайту малого бизнеса плановая проверка почти не грозит.
• Мораторий не распространяется на внеплановые проверки и на бот-мониторинг, который работает постоянно, независимо от плана.
• Предписание — не конец истории: за его игнорирование положен отдельный штраф, сверх штрафа за само нарушение.
• С 2026 года обжаловать штраф стало сложнее — районные суды вместо экономколлегии Верховного Суда.

Раз бот РКН и так сканирует сайты в фоне — проверьте сайт на нарушения РКН заранее, бесплатно, прежде чем к вам придут.