Вопрос контроля за соблюдением законодательства о персональных данных (ПДн) острее чем когда-либо. С вступлением в силу новых правил оформления согласия с 1 сентября 2025 года (согласно поправкам к 152-ФЗ), требования к форме, содержанию и процедуре получения согласия стали существенно строже. Нарушения грозят не только административными штрафами, но и оборотными санкциями за повторные утечки данных.
В этой статье подробно разберем, кто именно имеет полномочия проверять согласие на обработку ПДн, как проходят проверки, на что обращают внимание инспекторы и как подготовиться к визиту контролирующих органов.
Главный регулятор: Роскомнадзор (РКН)
Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) является основным органом государственного контроля за соблюдением законодательства о персональных данных (ст. 22 152-ФЗ).
Формы контроля Роскомнадзора:
- Плановые проверки — проводятся на основании утвержденного графика. Важно: с 2021 года введен мораторий на плановые проверки МСБ (малых и средних предприятий), однако он не распространяется на все категории операторов и не запрещает внеплановые меры.
- Внеплановые проверки — инициируются по основаниям: обращения субъектов ПДн (жалоб граждан), сообщения СМИ, результаты предыдущих проверок, поручения вышестоящих органов.
- Камеральные проверки (мониторинг) — удаленный анализ информации из открытых источников, реестра операторов ПДн, сайтов компаний, публичных оферт и политик конфиденциальности. Это наиболее частый формат взаимодействия на текущий момент.
- Профилактические визиты — не являются проверкой, но позволяют инспекторам оценить состояние документации и дать рекомендации.
Что проверяет Роскомнадзор в согласии (чек-лист инспектора):
- Наличие согласия там, где оно обязательно (отсутствие иных оснований ст. 6, 11 152-ФЗ).
- Форму согласия: письменная форма (документ или электронный документ с ЭЦП/ЭДО) — обязательное требование с сентября 2025 г. Устное согласие или действия (галочка на сайте без идентификации) больше не являются достаточными для большинства случаев.
- Содержание согласия (ст. 9 152-ФЗ): конкретность целей, перечень данных, срок действия/условия отзыва, сведения об операторе, лицах, получающих данные.
- Добровольность и осознанность: отсутствие принуждения, предварительного отметки галочки (pre-ticked boxes), привязки согласия к заключению договора, если обработка не необходима для исполнения договора.
- Уведомление субъекта о правах (доступ, исправление, удаление, отзыв согласия).
- Ведение журнала учетных согласий и хранение самих согласий в течение срока обработки + 3 года (или иного срока, установленного законом).
Прокуратура РФ: надзор за законностью
Прокуратура осуществляет надзор за исполнением законов (ст. 22 152-ФЗ, ФЗ «О прокуратуре РФ»). Прокуратура не проверяет «качество бизнеса», она проверяет законность действий оператора.
Основания для вмешательства Прокуратуры:
- Массовые нарушения прав неопределенного круга лиц (утечки баз данных, спам-рассылки без согласия).
- Обжалование решений Роскомнадзора в суде (прокуратура выступает в защиту публичных интересов).
- Выявление фактов неисполнения предписаний Роскомнадзора.
- Проверка законности нормативных правовых актов оператора (локальных актов), регулирующих обработку ПДн.
Инструменты: представление (устранение нарушения), protesta (противоправный нормативный акт), возбуждение дела об административном правонарушении (КоАП РФ ст. 13.11), обращение в суд с иском о защите неопределенного круга лиц.
Федеральная антимонопольная служба (ФАС)
ФАС вступает в игру, когда обработка ПДн перекликается с рекламным законодательством и защитой прав потребителей.
Сценарии проверок ФАС:
- Рекламные рассылки (E-mail, SMS, Push, мессенджеры) без предварительного согласия получателя (ФЗ «О рекламе» ст. 18, п. 1). ФАС проверяет: было ли согласие, соответствует ли оно требованиям 152-ФЗ (в т.ч. новой форме с 2025 г.), есть ли возможность бесплатного отказа.
- Недобросовестная конкуренция, сбор и использование клиентских баз конкурентов без оснований.
- Навязывание услуг — условие договора о обязательном согласии на маркетинг для получения основной услуги.
Суды: гражданско-правовая и административная защита
Суды проверяют согласие в рамках разрешения конкретного спора. Это может быть:
- Иск субъекта ПДн (гражданина) к оператору: требование удаления данных, возмещения морального вреда, признания согласия недействительным (принуждение, обман, несоответствие форме).
- Административные дела по протоколам Роскомнадзора/ФАС (обжалование штрафов).
- Банкротство/корпоративные споры — проверка легальности передачи баз ПДн при сделках M&A.
Судебная практика 2024–2026 гг. показывает тренд: суды все чаще признают недействительными согласия, оформленные «в общем виде» без конкретизации целей, а также согласия, полученные через предварительно установленные галочки (opt-out вместо opt-in).
Банк России (ЦБ РФ) — для финансового сектора
Если оператором является кредитная организация, МФО, страховщик, НПФ или иной участник финансового рынка, контроль за соблюдением 152-ФЗ осуществляет Банк России (в рамках банковского надзора).
- Проверяется соответствие внутренних документов (Политики, Положений) требованиям 152-ФЗ и рекомендациям ЦБ (например, Рекомендации по обеспечению защиты ПДн).
- Особое внимание — передача данных в БКИ (бюро кредитных историй), скоринг, антифрод-системы.
- Штрафы и предписания ЦБ часто носят системный характер (направлены на устранение причин нарушений во всей организации).
Роскомнадзор и реестр операторов ПДн: первичный фильтр
До любой проверки Роскомнадзор анализирует Реестр операторов персональных данных.
- Есть ли у вас уведомление о включении в реестр (или основание для исключения)?
- Соответствуют ли сведения в реестре реальности (ФИО ответственного лица, адрес, цели обработки)?
- С 2025 года в реестр заносятся сведения о переграничной передаче данных — это новый объект внимания инспекторов.
Отсутствие в реестре или недостоверные сведения — повод для внеплановой проверки и штрафа по ст. 19.7.5-2 КоАП РФ (до 500 тыс. руб. для юрлиц).
Новые риски 2025–2026 годов: на что обратить внимание
Оборотные штрафы за утечки (ст; 13.11 КоАП РФ в ред. от )
За повторную утечку персональных данных (в течение 3 лет после вступления в силу решения по первому делу) грозит штраф от 1% до 3% от выручки организации (мин. 15 млн руб., макс. 500 млн руб.). Наличие документированного, правомерного согласия является одним из ключевых обстоятельств, смягчающих ответственность или исключающих ее при передаче данных третьим лицам.
Расширение оснований обработки без согласия
Законодательство (в т.ч. инициативы Минцифры и Роскомнадзора осенью 2025 г.) движется в сторону расширения случаев обработки без согласия (исполнение законов, защита жизни, публичный интерес, исполнение договора). Однако для маркетинга, профилирования, передачи партнерам и HR-целей (часто) согласие остается обязательным и проверяется наиболее тщательно.
Практический алгоритм подготовки к проверке согласия
Чтобы успешно пройти проверку любого из вышеуказанных органов, рекомендуем провести внутренний аудит по следующему плану:
| Этап | Действие | Критерий соответствия (2025+) |
|---|---|---|
| Инвентаризация | Составить реестр всех бизнес-процессов, где собираются ПДн | Покрыто 100% точек сбора (сайт, приложение, офис, колл-центр, мероприятия, HR) |
| Квалификация оснований | Для каждого процесса определить: согласие ИЛИ иное основание (ст. 6, 11 152-ФЗ) | Нет процессов «по инерции» без правового основания |
| Аудит форм согласия | Проверить все тексты согласий (бумажные, веб-формы, SMS-коды, ЭДО) | Письменная форма. Конкретные цели. Отдельное согласие на маркетинг. Отсутствие pre-ticked галочек. Ссылка на Политику конфиденциальности. |
| Техническая реализация | Проверить сохранение логов согласий (кто, когда, какую версию, IP, User-Agent) | Неотрекаемость доказательств получения согласия. Версионирование текстов. |
| Процесс отзыва | Протестировать процедуру отзыва согласия субъектом | Простота (не сложнее дачи). Срок исполнения — 3 рабочих дня (рекомендация РКН) / 30 дней (закон). Остановка обработки по отозванному согласию. |
| Передача третьим лицам | Проверить договоры с подрядчиками (Операторами от имени) | Наличие договора поручения (ст. 8 152-ФЗ). Соответствие целей передачи целям в согласии субъекта. |
| Локальные акты | Обновить Политику конфиденциальности, Положение о защите ПДн, Инструкцию ответственного лица | Актуальность на дату проверки. Отражение новых прав субъектов (передача данных, автоматизированное принятие решений). |
Резюме: кто придет и чего ждет
| Орган | Вероятность визита | Фокус проверки согласия | Макс. санкция (юридические лица) |
|---|---|---|---|
| Роскомнадзор | Высокая (камерально / внепланово) | Полнота реквизитов согласия, форма (письменность), целевое назначение, хранение, реестр операторов | До 18 млн руб. (ст. 13.11 КоАП) + оборотные штрафы за утечки |
| ФАС | Средняя (при жалобах на спам) | Наличие согласия на рассылки, простота отписки, соответствие текста рекламы целям согласия | До 500 тыс. руб. (ст. 14.3, 14.33 КоАП) + оборотные за недобросовестную конкуренцию |
| Прокуратура | Низкая (системные нарушения) | Законность локальных актов, массовые нарушения прав граждан, исполнение предписаний РКН | Представление, протест, иск о защите неопределенного круга лиц |
| Банк России | Для фин. сектора — Регулярная | Системность процессов, передача в БКИ/скоринг, безопасность, отчетность | Предписания, ограничение деятельности, штрафы по банковскому законодательству |
| Суды | По факту спора | Добросовестность получения, понимание субъектом последствий, баланс интересов | Возмещение ущерба, морального вреда (до миллионов руб.), признание сделки недействительной |
На сегодняшний день Роскомнадзор остается главным «проверяющим» органом по части формы и содержания согласия на обработку ПДн. Однако риск привлечения ФАС (за маркетинг), Прокуратуры (за системные нарушения) и судов (за иски граждан) требует системного подхода.
Ключевой совет: не ждите проверки. Переход на новые формы согласия (с ) — это не просто замена текста на сайте. Это пересмотр бизнес-процессов сбора данных, внедрение технических средств фиксации воли субъекта (ЭДО, SMS-коды с идентификацией, подпись на планшете/бумаге) и настройка процессов отзыва. Инвестиции в комплаенс сейчас стоят в десятки раз дешевле возможных оборотных штрафов и репутационных потерь от утечки или признания согласий недействительными.
Данная статья носит информационный характер и не является правовой консультацией. Для оценки рисков вашей конкретной организации рекомендуеться обратиться к специализированному юристу по защите персональных данных.