Подача уведомления и включение в реестр операторов персональных данных Роскомнадзора — это лишь начальный формальный шаг соблюдения законодательства о персональных данных. В 2026 году требования Федерального закона № 152-ФЗ «О персональных данных» и надзорная практика Роскомнадзора требуют от каждой организации и индивидуального предпринимателя выстраивания постоянной, документально подтвержденной системы защиты информации.
1. Обязательный комплект локальных нормативных актов (ЛНА)
После внесения в реестр РКН организация обязана разработать, утвердить и внедрить пакет внутренних документов:
- Политика в отношении обработки персональных данных: Должна быть размещена в свободном доступе на сайте компании (в подвале сайта и под каждой формой сбора данных) в соответствии с ч. 2 ст. 18.1 152-ФЗ.
- Положение об обработке и защите персональных данных: Внутренний регламент, определяющий цели обработки, категории субъектов (сотрудники, клиенты, контрагенты), сроки хранения и порядок уничтожения ПДн.
- Приказы руководства: О назначении лица, ответственного за организацию обработки ПДн, об утверждении перечня лиц, имеющих доступ к ПДн, и мест хранения материальных носителей.
- Согласия на обработку персональных данных: Раздельные согласия на обработку ПДн, на распространение (публикацию на сайте/в соцсетях) и на трансграничную передачу. Запрещено использовать предустановленные «галочки»!
2. Технические меры и локализация баз данных в РФ (ч. 5 ст. 18 152-ФЗ)
Роскомнадзор уделяет первостепенное внимание фактическому размещению серверов:
- Локализация: Запись, систематизация, накопление и хранение персональных данных граждан РФ должны осуществляться с использованием баз данных, находящихся на территории РФ. Штрафы за несоблюдение достигают 18 млн рублей (ч. 8, 9 ст. 13.11 КоАП РФ).
- Модель угроз и оценка вреда: Определение уровня защищенности информационных систем персональных данных (ИСПДн по Постановлению Правительства РФ № 1119) и утверждение Модели угроз безопасности информации (по методикам ФСТЭК России).
3. Регламент реагирования на инциденты и утечки данных (24/72 часа)
Оператор персональных данных обязан строго соблюдать процедуру уведомления об утечках:
- В течение 24 часов: Направить первичное уведомление в Роскомнадзор через портал Госуслуг о факте неправомерной передачи (утечки) ПДн с указанием предполагаемых причин и объема скомпрометированных данных.
- В течение 72 часов: Направить результаты внутреннего расследования инцидента с указанием виновных лиц и принятых мер по устранению последствий.
Резюме для руководителей
Нахождение в реестре Роскомнадзора делает компанию объектом постоянного мониторинга. Отсутствие полного комплекта ЛНА, антивирусной защиты и разграничения прав доступа грозит внеплановыми проверками и оборотными штрафами.
Автор: Эксперт FindCert
Специалист в области сертификации товаров и услуг
Более 10 лет опыта в сфере сертификации, декларирования и получения разрешительных документов. Помогает бизнесу легально работать на российском рынке.
