10 лет приводим организации по всей России в соответствие с Федеральным законом № 152-ФЗ «О персональных данных»
Какие документы просит Роскомнадзор перед профилактическим визитом
От обязательного профилактического визита отказаться нельзя. Разобрали настоящее уведомление Роскомнадзора: какие документы в нём просят до беседы с инспектором, по какой норме и как собрать ответ.
АвторАлександр Келлерманн Рубрикакасается ли это меня? Опубликовано28 октября 2026 Время чтения4 минуты Просмотры СвереноНормы этой статьи сверены по тексту закона, а не по обзорам. Сверял А. М. Келлерманн Что такое обязательный профилактический визит
Профилактический визит проводят в форме беседы с инспектором. Беседа идёт на месте, по видеосвязи или через мобильное приложение «Инспектор» (ч. 1 ст. 52 248-ФЗ). Визит бывает по инициативе самой организации, а бывает обязательным, по инициативе Роскомнадзора (ч. 3 ст. 52).
От обязательного визита отказаться нельзя, а сообщить о нём должны не позднее чем за 24 часа до начала (ч. 3 ст. 52.1). Длится визит не больше десяти рабочих дней (ч. 8 ст. 52.1). Инспектор вправе запросить документы (ч. 4 ст. 52.1).
По итогам составляют акт. Если найденные нарушения не устранены до конца визита, выдают предписание (ч. 9 и 13 ст. 52.1).
Тон у регулятора спокойный. На дне открытых дверей 14 августа 2026 года заместитель руководителя Роскомнадзора, по конспектам выступления, назвал профилактический визит для малого бизнеса мини-проверкой и бесплатной консультацией. По его словам, предписания выдают лишь по 12 % обязательных визитов, а плановые проверки до 2030 года ограничены мораторием.
Что пришло: разбор настоящего уведомления
Осенью 2026 года одно из управлений Роскомнадзора направило организации уведомление о проведении обязательного профилактического визита. В основаниях указаны ст. 45 и 52.1 248-ФЗ и п. 30 Положения о федеральном государственном контроле (надзоре) за обработкой персональных данных. Положение утверждено постановлением Правительства от 29.06.2021 № 1046. Визит назначен на две недели, беседа пройдёт по видеосвязи через приложение «Инспектор» в указанный день и час.
Вот само уведомление. Организация, ИНН, ссылка на визит и сотрудник скрыты. Нажмите на него, чтобы открыть все пять страниц.
До беседы управление просит копии документов. Их нужно заверить у законного представителя организации и направить и почтой, и на электронную почту управления не позднее дня беседы. В списке девять групп и около сорока отдельных пунктов. Шесть групп из девяти повторяют ч. 1 ст. 18.1 152-ФЗ, то есть меры, которые оператор обязан принять. Ещё три касаются того, на каком основании и зачем организация обрабатывает данные:
| № | Что просят | Норма |
|---|---|---|
| 1 | Документ о назначении ответственного за обработку персональных данных | п. 1 ч. 1 ст. 18.1, ст. 22.1 |
| 2 | Политику и локальные акты по каждой цели: какие данные, чьи, как и сколько хранятся, как уничтожаются; акты уничтожения; перечень допущенных к данным | п. 2 ч. 1 ст. 18.1 |
| 3 | Документы о защите данных: модель угроз, доступ, пароли, антивирус, учёт носителей и средств защиты | п. 3 ч. 1 ст. 18.1, ст. 19 |
| 4 | Порядок внутреннего контроля и акт о его проведении | п. 4 ч. 1 ст. 18.1 |
| 5 | Оценку вреда, который может быть причинён людям | п. 5 ч. 1 ст. 18.1, приказ Роскомнадзора № 178 |
| 6 | Подтверждение, что работников ознакомили с документами или обучили | п. 6 ч. 1 ст. 18.1 |
| 7 | Правовые основания: формы согласий, договоры, нормы закона | ст. 6, ст. 9 |
| 8 | Договоры о передаче данных и поручения на обработку | ч. 3 ст. 6 |
| 9 | Пояснение по целям обработки | ч. 2 ст. 5 |
Отдельно обратите внимание на три пункта. Оценку вреда просят оформить по требованиям приказа Роскомнадзора от 27.10.2022 № 178. Ознакомление работников подтверждают журналами или листами ознакомления с подписями. А в группе 7 отдельно названы формы согласия родственников работников и согласия на передачу данных третьему лицу.
Где у малого бизнеса обычно сложнее всего
Мы считали вопросы в пяти профильных чатах Telegram, где обсуждают персональные данные: около 111 тысяч сообщений. Три самые частые темы совпали с группами из уведомления:
| Тема вопросов в чатах | Вопросов | Группа в уведомлении |
|---|---|---|
| Кому отдаём данные: бухгалтер на аутсорсе, подрядчик 1С, маркетолог | 369 | 8 |
| Политика: что писать, где разместить, как обновить | 245 | 2 |
| Согласие работника и передача его данных | 230 | 7 |
Передача подрядчику оформляется поручением, и закон перечисляет, что в нём должно быть: какие данные, какие действия, цели, обязанность хранить конфиденциальность и защищать данные (ч. 3 ст. 6 152-ФЗ). Договор с бухгалтером или подрядчиком 1С без этих условий требованиям к поручению не отвечает, и для группы 8 показать нечего.
С согласиями ошибаются в обе стороны. Если данные нужны для договора с самим человеком, согласие не нужно, основание уже есть (п. 5 ч. 1 ст. 6). А данные родственников работника сверх того, что требует закон, по словам Роскомнадзора на том же дне открытых дверей, обрабатывают только с согласия самих родственников.
Что сделать, если пришло такое уведомление
Начать сверку можно со своего уведомления в реестре операторов: в предыдущей статье мы показали, за что Роскомнадзор возвращает уведомления.
Разбор эксперта
Профилактический визит проходит спокойнее проверки, но формальностью его не назовёшь: если найденные нарушения не исправить до конца визита, выдают предписание. Зато до конца визита есть время всё исправить.
Поэтому мы разбираем уведомление по пунктам и сверяем, какие документы у организации есть на самом деле и описывают ли они её реальную работу. Каждое заключение я подписываю лично.
Александр КеллерманнГенеральный директор, ведущий аудитор ISO/IEC 27001, Комитет по информационной и правовой безопасностиПодробнее об эксперте
TelegramЧастые вопросы
Нет. Обязательный профилактический визит не предусматривает отказа контролируемого лица (ч. 3 ст. 52.1 248-ФЗ). Если провести визит не удалось, составляют акт о невозможности его проведения, и в течение трёх месяцев могут назначить визит повторно (ч. 11 и 12 ст. 52.1).
Составляют акт (ч. 9 ст. 52.1 248-ФЗ). Если найденные нарушения не устранены до окончания визита, организации выдают предписание об их устранении (ч. 13 ст. 52.1).
Не больше десяти рабочих дней, срок продлевают только на время экспертиз и испытаний (ч. 8 ст. 52.1 248-ФЗ). В уведомлении из статьи визит назначен на две недели, а беседа с инспектором по видеосвязи на один день и час внутри этого срока.
ООО «Комитет по информационной и правовой безопасности», ИНН 7805672696, в реестре операторов персональных данных под № 78-23-058913, работаем с 2016 года. Документы руководителя об образовании выложены на странице «О Комитете». Мы не являемся государственным контролирующим органом и не аффилированы с Роскомнадзором. Если вам пришло наше извещение, как его проверить, рассказываем на странице «Вам пришло извещение».
Спасибо, ответ учли.