Проверки Роскомнадзора в 2026 году: виды и как подготовиться

«Проверка Роскомнадзора» — не одно понятие, а несколько разных форматов со своими сроками, основаниями и степенью обязательности. Разница между ними практическая: от неё зависит, сколько времени есть на подготовку и можно ли вообще отказаться от участия.

Плановые и внеплановые проверки

Плановые проверки проводятся по заранее опубликованному графику. Для большинства малых и средних предприятий действует мораторий на такие проверки — но не для компаний, которым присвоена высокая категория риска: для них плановая проверка всё равно возможна, несмотря на общий мораторий.

Внеплановые проверки назначаются по конкретным основаниям: жалоба гражданина, информация об утечке данных, нарушения, выявленные в ходе профилактического визита, или неисполнение ранее выданного предписания. О внеплановой проверке уведомляют не менее чем за 24 часа — заметно короче, чем при плановых мероприятиях.

Документарная и выездная проверка — в чём разница

Документарная проверка не предполагает визита инспектора: регулятор запрашивает документы, и на ответ у компании есть 10 рабочих дней. Выездная проверка — это уже реальное присутствие инспектора в офисе, срок которой составляет до 10 рабочих дней, а в исключительных случаях может быть продлён до 20 рабочих дней. О выездной проверке, как и о внеплановой, уведомляют за 24 часа.

Профилактический визит — обязательная новая практика

Отдельный формат, который не является проверкой в строгом смысле, но по содержанию к ней очень близок, — профилактический визит. Он проводится по перечню, утверждённому приказом Роскомнадзора от 19.12.2025 № 390, в который вошло более 1700 операторов. Важная деталь: отказаться от обязательного профилактического визита теперь нельзя.

Визит может проходить по месту нахождения организации, по видео-конференц-связи или через мобильное приложение «Инспектор». Срок — не более 10 рабочих дней, о проведении уведомляют за 5 рабочих дней. По итогам инспектор даёт рекомендации, но если нарушение выявлено и не устранено до конца визита, выдаётся предписание — а за ним может последовать уже полноценная внеплановая проверка со всеми её последствиями.

Автоматический мониторинг — работает всегда, независимо от графика

Отдельно от всех перечисленных форматов работает автоматический мониторинг сайтов. С 2025 года Роскомнадзор применяет специального бота для автоматизированного сбора данных о нарушениях — алгоритмы круглосуточно анализируют миллионы сайтов: код, скрипты, cookie, формы сбора данных, внешние подключения. При обнаружении несоответствия материалы передаются сотруднику для ручной проверки, и при подтверждении нарушения выдаётся предписание со сроком устранения 10 дней. На развитие этих ИИ-систем в 2026 году выделено 2,27 млрд рублей — это не временная мера, а направление, в которое продолжают инвестировать.

Проведем бесплатный аудит вашей организации или ИП на предмет соблюдения новых требований закона «О персональных данных»

Сделаем заключение на соблюдение требований Роскомнадзора

Запишитесь на бесплатный аудит

Заполните форму и мы свяжемся с вами

Нажимая кнопку "Отправить", я даю свое Согласие на обработку моих персональных данных в соответствии с Федеральным законом от 27.07.2006 года № 152-ФЗ «О персональных данных» на условиях и для целей, определенных Политикой конфиденциальности

Нажимая кнопку "Отправить", я даю свое согласие на получение сообщений информационного (рекламного) характера в соответствии с Федеральным законом от 13.03.2006 г № 38-ФЗ «О рекламе» на условиях и для целей, определенных Политикой конфиденциальности, Согласием на осуществление рекламной рассылки

Отправить

Кого проверят первым — новая система риск-категорий с января 2026 года

С января 2026 года действуют новые критерии риск-ориентированного контроля. Каждой компании присваивается категория риска, которая складывается из двух параметров.

Группа тяжести зависит от того, какие данные и в каком объёме обрабатывает бизнес: А — высокая тяжесть (биометрия или специальные категории данных, базы более 100 тысяч человек, сбор через иностранные системы, передача в страны вне «безопасного» списка, избыточные согласия); Б — повышенная тяжесть (данные несовершеннолетних, базы от 10 до 100 тысяч человек, трансграничная передача без уведомления); В — средняя тяжесть (базы от 1 до 10 тысяч человек, распространение данных с согласия, передача в безопасные страны); Г — низкая тяжесть (базы менее 1 тысячи человек или только общедоступные данные).

Группа вероятности определяет, насколько часто компания допускала нарушения за последние 2–3 года: от критической группы (штрафы за хранение данных на зарубежных серверах, утечки от 1 тысячи записей, повторные нарушения любого масштаба, отказ удалить данные после отзыва согласия) до благонадёжной (отсутствие любых зафиксированных нарушений за этот период). Именно сочетание двух этих параметров определяет итоговую периодичность и количество проверок для конкретной компании — а не общее ощущение «нас, наверное, не тронут».

Как готовиться — короткая отсылка

Этот материал объясняет формат и срочность той проверки, с которой компания может столкнуться. А вот подробный чек-лист самопроверки — что именно смотрят инспекторы в документах, согласиях, журналах и технических мерах — мы уже собрали в отдельной статье блога про самостоятельный аудит персональных данных.

Если нужна помощь

Подготовиться к любому формату проверки — от профилактического визита до полноценной выездной проверки — помогают специалисты сервиса «Роском Онлайн».

Частые вопросы

Можно ли отказаться от профилактического визита Роскомнадзора?

Нет, если компания включена в утверждённый перечень, отказаться от обязательного профилактического визита нельзя.

За сколько уведомляют о внеплановой проверке?

Не менее чем за 24 часа.

Сколько длится выездная проверка?

До 10 рабочих дней, в исключительных случаях — до 20 рабочих дней.

Проверяет ли Роскомнадзор сайты автоматически, без визита инспектора?

Да, с 2025 года работают ИИ-сканеры, круглосуточно анализирующие сайты на типичные нарушения.

От чего зависит, как часто будут проверять конкретную компанию? От категории риска, которая складывается из группы тяжести обрабатываемых данных и группы вероятности нарушений за последние 2–3 года.