Ниже — совпадения формулировок в тексте документа. Это не вывод Роскомнадзора: фрагмент стоит проверить, и только потом смотреть норму и вилку штрафа.
-
высокий риск
Нет порядка реакции на утечку
При инциденте оператор обязан уведомить Роскомнадзор: 24 часа на первичное сообщение и 72 часа на результаты расследования, плюс взаимодействие с субъектами, если их права нарушены.
Если формулировка подтвердится
- Норма
- ч. 3.1 ст. 21 152-ФЗ
- Санкция
- ч. 11 ст. 13.11 КоАП РФ — не уведомили об инциденте; отдельно ч. 12–18 за саму утечку
- Штраф для юрлица
- неуведомление — 1 000 000–3 000 000 ₽; утечка — от 3 000 000 до 15 000 000 ₽, биометрия — до 20 000 000 ₽, повтор — 1–3% выручки (20–500 млн ₽)
- Что сделать
- Описать внутренний порядок: фиксация, 24/72 часа, уведомление РКН, информирование субъектов, устранение причины.
-
высокий риск
Нет локализации ПДн граждан РФ
При сборе ПДн граждан РФ запись, систематизация, накопление, хранение, уточнение и извлечение должны идти с использованием баз на территории России. С 1 июля 2025 года первичная запись за рубеж прямо запрещена.
Если формулировка подтвердится
- Норма
- ч. 5 ст. 18 152-ФЗ (в ред., действующей с 01.07.2025)
- Санкция
- ч. 8 ст. 13.11 КоАП РФ; повторно — ч. 9
- Штраф для юрлица
- 1 000 000–6 000 000 ₽; повторно — 6 000 000–18 000 000 ₽
- Что сделать
- Зафиксировать, что первичная база граждан РФ находится в России. Иностранные облака — только после записи в РФ и с оговоркой о трансграничной передаче.
-
высокий риск
Специальные категории данных без отдельного основания
…и место рождения, адрес, сведения о семейном, социальном, имущественном положении, сведения об образовании, профессии, доходах, сведения о состоянии здоровья, а также другую информацию, позволяющую по совокупности определить, идентифицировать субъекта персональных данных. - 2.2. **Обработка пер…
Фрагмент, который стоит проверить
Здоровье, раса, национальность, политические взгляды, религия, интимная жизнь обрабатываются только в случаях ст. 10 152-ФЗ — как правило, по отдельному согласию.
Если формулировка подтвердится
- Норма
- ст. 10 152-ФЗ
- Санкция
- ч. 1 ст. 13.11 КоАП РФ за саму обработку; при утечке специальных категорий — ч. 16 ст. 13.11
- Штраф для юрлица
- 150 000–300 000 ₽ за незаконную обработку; утечка — 10 000 000–15 000 000 ₽
- Что сделать
- Либо не собирать такие сведения, либо вынести отдельное согласие по ст. 10 и описать цель, срок и защиту.
-
средний риск
Нет даты, версии или реквизитов оператора
У политики и оферты должны быть дата редакции и реквизиты оператора. Без даты нельзя доказать, что документ обновляли после 01.09.2025 и 01.07.2025.
Если формулировка подтвердится
- Норма
- ч. 2 ст. 18.1 152-ФЗ (идентификация оператора и опубликование политики); для оферты — ст. 435, 437 ГК РФ
- Санкция
- ч. 3 ст. 13.11 КоАП РФ — если нельзя понять, чья это политика и актуальна ли она
- Штраф для юрлица
- 30 000–60 000 ₽, плюс составы по содержанию, если редакция старая
- Что сделать
- Дата утверждения/вступления в силу, ИНН/ОГРН, наименование, адрес, контакты для запросов субъектов.
-
средний риск
Не описана передача обработчикам и подрядчикам
Хостинг, рассылки, облако, поддержка, эквайринг обрабатывают ПДн по поручению. Нужны поручение по ч. 3 ст. 6 152-ФЗ и упоминание таких лиц в политике.
Если формулировка подтвердится
- Норма
- ч. 3 ст. 6, ч. 2 ст. 18.1 152-ФЗ
- Санкция
- ч. 1 ст. 13.11 КоАП РФ; при утечке у подрядчика оператор тоже отвечает
- Штраф для юрлица
- 150 000–300 000 ₽ плюс составы об утечке (ч. 12–18 ст. 13.11)
- Что сделать
- Перечислить категории подрядчиков, страны, цели поручения и наличие договора поручения обработки.
-
к сверке
Политику нужно сверить с фактической системой
РКН проверяет не красивый PDF, а то, совпадает ли текст с реальной обработкой: какие формы есть на сайте, какие cookie ставятся, куда уходят данные.
Если формулировка подтвердится
- Норма
- ст. 5, ч. 2 ст. 18.1 152-ФЗ
- Санкция
- ч. 1 и ч. 3 ст. 13.11 КоАП РФ, плюс составы, которые вскроет осмотр сайта
- Штраф для юрлица
- от 30 000 ₽ за политику до 300 000–700 000 ₽ за согласия и цели
- Что сделать
- Сверить политику с формами, cookie, кабинетом, CRM, подрядчиками. Отдельный контур: ИИ-агент по фактическому сайту.