Акт о результатах проведения проверки обеспечения защиты персональных данных

На что обратить внимание

Юрист отметил в этом документе:

• Ответственность за нарушения в области персональных данных резко ужесточена. С 30 мая 2025 года действует новая редакция статьи 13.11 КоАП РФ (Федеральный закон от 30.11.2024 № 420-ФЗ): неправомерная передача (утечка) персональных данных 1 000–10 000 субъектов — штраф для юридического лица от 3 до 5 млн рублей, 10 000–100 000 субъектов — от 5 до 10 млн рублей, свыше 100 000 субъектов — от 10 до 15 млн рублей; утечка специальных категорий — от 10 до 15 млн рублей, биометрических данных — от 15 до 20 млн рублей. За повторную утечку предусмотрен оборотный штраф от 1 до 3 процентов совокупного размера выручки за предшествующий год, но не менее 20 млн и не более 500 млн рублей.
• Наряду с административной действует уголовная ответственность: статья 272.1 Уголовного кодекса Российской Федерации введена Федеральным законом от 30.11.2024 № 421-ФЗ и применяется с 11 декабря 2024 года. Она наказывает незаконные использование, передачу, сбор и хранение компьютерной информации, содержащей персональные данные, а также создание и обеспечение функционирования информационных ресурсов, предназначенных для их незаконного оборота; по квалифицированным составам предусмотрено лишение свободы на срок до десяти лет со штрафом. Обратите внимание: оборотные штрафы введены Федеральным законом № 420-ФЗ, а уголовная статья — Федеральным законом № 421-ФЗ; это два разных закона, принятых в один день.
• Если проверка выявила неправомерную обработку, оператор обязан прекратить её в срок не более трёх рабочих дней с даты выявления, а при невозможности обеспечить правомерность — уничтожить персональные данные в срок не более десяти рабочих дней (статья 21 Федерального закона № 152-ФЗ). Факт уничтожения подтверждается актом об уничтожении персональных данных, а при автоматизированной обработке — ещё и выгрузкой из журнала регистрации событий в информационной системе; оба документа хранятся три года (приказ Роскомнадзора от 28.10.2022 № 179).
• Единая форма акта внутренней проверки законодательством не установлена: оператор составляет его самостоятельно. Обязательна сама проверка — внутренний контроль и (или) аудит соответствия обработки персональных данных требованиям законодательства прямо назван в числе мер оператора (пункт 4 части 1 статьи 18.1 Федерального закона № 152-ФЗ), а контроль за выполнением требований к защите персональных данных в информационных системах проводится не реже одного раза в три года (пункт 17 Требований, утверждённых постановлением Правительства Российской Федерации от 01.11.2012 № 1119).
• Неуведомление Роскомнадзора об инциденте с персональными данными наказывается отдельно: для должностных лиц от 400 до 800 тыс. рублей, для юридических лиц от 1 до 3 млн рублей (часть 11 статьи 13.11 КоАП РФ). Уведомить нужно в течение двадцати четырёх часов о самом инциденте и в течение семидесяти двух часов о результатах внутреннего расследования (часть 3.1 статьи 21 Федерального закона № 152-ФЗ, приказ Роскомнадзора от 14.11.2022 № 187).
• Приказ ФСТЭК России от 18.02.2013 № 21 применяется в редакции от 14.05.2020. В июле 2026 года ФСТЭК России вынесла на общественное обсуждение проект приказа, полностью отменяющего приказ № 21 и меняющего логику выбора мер защиты. Перед применением проверьте действующую редакцию на официальном сайте ФСТЭК России: если приказ № 21 отменён, в акте следует сослаться на пришедший ему на смену нормативный правовой акт.
• Классы информационных систем К1–К4 и деление систем на автономные, локальные и распределённые не применяются с 2012 года: постановление Правительства Российской Федерации от 17.11.2007 № 781 и приказ ФСТЭК России, ФСБ России и Мининформсвязи России от 13.02.2008 № 55/86/20 утратили силу. Проверять нужно соблюдение уровня защищённости, определённого по постановлению № 1119, а не класса системы.