Когда к вам приходит Роскомнадзор, он проверяет соответствие 152-му федеральному закону — «О персональных данных». Раньше это была довольно поверхностная история. В 2026-м проверки стали глубже, а к РКН подключилась прокуратура. Расскажу, что именно теперь смотрят и как мы это прошли.

С этого начинается любая проверка, и это было ещё год назад:

Если этого нет — вопросы начнутся сразу. Но в 2026-м базой уже не ограничиваются.

Теперь проверка идёт дальше — вглубь того, как вы устроены как оператор персональных данных.

Реестр операторов ПДн. Вы как компания должны быть в нём зарегистрированы — это очевидно. Но теперь проверяют, чтобы запись соответствовала действительности: с какими типами данных вы реально работаете. Потенциальные клиенты, действующие клиенты, сотрудники (кадровый учёт вы ведёте так или иначе — это тоже должно быть отражено).

Защищённость информационной системы. Вот здесь начинается самое неочевидное. По 152-ФЗ система, где вы храните персональные данные (ИСПДн), должна быть защищённой. Постановлением Правительства Р Ф № 1119 установлено четыре уровня защищённости:

Нужный уровень зависит не только от «сколько данных», но и от их категории (специальные / биометрические / общедоступные / иные), типа актуальных угроз и того, чьи это данные и сколько субъектов (больше или меньше 100 000). У медицинских центров, где обрабатываются данные о здоровье, уровень выше. У фитнеса, как правило, ниже — это услуги населению. Но с оговоркой: если студия хранит данные о здоровье (медсправки, противопоказания), это уже специальные категории ПДн, и требования поднимаются.