Проверка РКН после 420-ФЗ: какие документы подготовить и как собрать пакет доказательств

30 мая 2025 года вступил в силу Федеральный закон от 30.11.2024 № 420-ФЗ. Для юрлиц штраф по общему составу (ч. 1 ст. 13.11 КоАП) вырос с 60–100 тыс. до 150–300 тыс. ₽, появились отдельные составы за неуведомление РКН о намерении обрабатывать ПДн, за утечки и за повторные утечки. Статья 272.1 УК РФ введена отдельным законом — № 421-ФЗ — и действует с 11 декабря 2024 года.

По данным Роскомнадзора, в 2025 году зафиксировано 118 утечек, в Сеть попали более 52 млн записей, а за 2025 год и I квартал 2026 года в ведомство поступили 101 004 жалобы на операторов ПДн. Среди самых распространённых нарушений ведомство называет сбор и обработку ПДн через интернет без правовых оснований и неразмещение документов, определяющих политику обработки.

Как проходит проверка

Предмет федерального контроля — соблюдение операторами обязательных требований 152-ФЗ и принятых в соответствии с ним актов (ч. 2 ст. 23.1 152-ФЗ). При документарной проверке контролируемое лицо обязано направить документы в течение 10 рабочих дней со дня получения требования (ч. 4 ст. 72 248-ФЗ). Поэтому документы готовят заранее, а не после получения требования.

Какие документы понадобятся

• Уведомление в РКН: О намерении обрабатывать ПДн — до начала обработки (ч. 1 ст. 22 152-ФЗ), форма утверждена приказом РКН № 180. Об изменениях сведений — не позднее 15-го числа месяца, следующего за месяцем изменений (ч. 7 ст. 22).
• Политика обработки ПДн: Опубликована или доступна без ограничений; при сборе ПДн через сайт — на страницах сбора вместе со сведениями о реализуемых требованиях к защите (ч. 2 ст. 18.1).
• Локальные акты: Для каждой цели обработки определены категории и перечень ПДн, категории субъектов, способы, сроки обработки и хранения, порядок уничтожения (п. 2 ч. 1 ст. 18.1).
• Приказ о назначении ответственного: Юрлицо назначает лицо, ответственное за организацию обработки ПДн (ч. 1 ст. 22.1).
• Согласия: Если основание обработки — согласие, оно оформлено отдельно от иных информации и документов, которые подтверждает или подписывает субъект (ч. 1 ст. 9).
• Поручения обработки: В поручении определены перечень ПДн, перечень действий с ними и цели обработки (ч. 3 ст. 6).
• Меры защиты: Определение угроз, правила доступа, регистрация и учёт действий с ПДн в информационной системе (п. 1, 8 ч. 2 ст. 19).
• Реагирование на инциденты: Уведомление РКН об инциденте — в течение 24 часов, о результатах внутреннего расследования — в течение 72 часов (ч. 3.1 ст. 21; порядок взаимодействия — приказ РКН № 187).
• Ответы на запросы субъектов: Сведения об обработке — в течение 10 рабочих дней, продление — не более чем на 5 рабочих дней (ч. 3 ст. 14).

Что входит в пакет доказательств AXIOMA

В кабинете AXIOMA пакет доказательств собирается в один ZIP-архив за выбранный период:

• 00-index.md: оглавление пакета
• 01-policies: политика обработки ПДн и форма согласия
• 02-ropa: реестр операций обработки (CSV и JSON)
• 03-dsar: запросы субъектов ПДн за период
• 04-incidents: журнал инцидентов
• 05-audit-trail: журнал действий в кабинете с цепочкой хешей SHA-256 и скрипт проверки verify.sh
• 06-scans: сводка последних 12 сканов сайта за период
• 99-manifest.json: хеш SHA-256 и размер каждого файла архива

Кроме того, в архиве есть разделы для квитанций согласий и подтверждения расходов на ИБ. Скрипт verify.sh пересчитывает SHA-256 каждого файла и сверяет с манифестом: если файл изменён или отсутствует, проверка покажет FAIL. Так получатель может убедиться, что файлы не менялись после сборки пакета.

Снижение штрафа за повторную утечку: ч. 3.4-2 ст. 4.1 КоАП

Штраф по ч. 15 и 18 ст. 13.11 КоАП может быть назначен в размере одной десятой минимального размера, но не менее 15 млн и не более 50 млн ₽. Для этого до вынесения постановления должны одновременно выполняться три условия: ежегодные расходы на мероприятия по информационной безопасности, проведённые организациями с лицензией (или самим оператором при наличии лицензии), в течение трёх календарных лет до года выявления — не менее 0,1% годовой выручки; соблюдение требований к защите ПДн в информационных системах, подтверждённое документально в течение 12 месяцев до выявления; отсутствие отягчающих обстоятельств из примечания 5 к ст. 13.11 КоАП, в том числе наказаний по ч. 1–11 ст. 13.11.

Журнал расходов на ИБ помогает подтвердить первое условие. Второе и третье от журнала не зависят: нужны документальное подтверждение мер защиты и отсутствие отягчающих обстоятельств.

Статья 272.1 УК РФ

Статья введена Федеральным законом от 30.11.2024 № 421-ФЗ и действует с 11.12.2024. Она устанавливает ответственность за незаконные использование, передачу, сбор и хранение компьютерной информации, содержащей ПДн и полученной путём неправомерного доступа или иным незаконным путём: до 4 лет лишения свободы (ч. 1), до 8 лет со штрафом до 2 млн ₽ — при трансграничной передаче (ч. 4), до 10 лет со штрафом до 3 млн ₽ — если деяние повлекло тяжкие последствия или совершено организованной группой (ч. 5).

С чего начать

1. 1.Проверьте сайт: бесплатный экспресс-скан на axioma-ai.ru/152fz-check — 6 модулей проверки, обычно до 5 минут
2. 2.Изучите отчёт: у проверок указаны нормы и рассчитан штраф по ст. 13.11 КоАП
3. 3.Подключите кабинет: о подключении кабинета и пакета доказательств — info@axioma-ai.ru

Итог

После 420-ФЗ цена ошибки выросла: отдельные составы за утечки и неуведомление РКН, оборотные штрафы за повторную утечку. Готовность к проверке — это документы по ст. 18.1, 19, 21 и 22 152-ФЗ, журналы и подтверждения мер защиты, собранные заранее.