Политика обработки персональных данных и согласия, размещенные на вашем сайте, поданное уведомление в РКН еще не означают, что система работы с ПДн выстроена правильно.
В реальной проверке контролирующие органы сопоставляют процессы в компании с договорами, используемыми ИТ-системами, сроками хранения и фактическими потоками данных. Именно поэтому все больше компаний привлекают IT-юриста для комплексного аудита — специалиста, который понимает как юридические требования, так и технические реалии работы с данными.
В 2026 году участились случаи проверок работы с ПДн со стороны прокуратуры. Эти проверки не сводятся к вопросам, опубликована ли политика на сайте.
Нужна помощь IT-юриста?
Проведем аудит обработки персональных данных и подготовим вашу компанию к проверке
Получить консультацию Узнать об услугеЧто проверяет прокуратура при проверке персональных данных
Запросы прокуратуры в рамках проверки касаются:
- согласий пользователей и работников;
- состава баз данных;
- используемых ИТ-систем и решений и объёма ПДн, которые там хранятся;
- случаев трансграничной передачи данных;
- договоров с контрагентами и условий о передаче им ПДн;
- внутренних локальных актов, которые регулируют вопросы работы с ПДн.
Далее прокуратура последовательно сопоставляет локальные акты, формы согласий, уведомления, договоры с подрядчиками и другие полученные сведения и документы друг с другом.
Именно на стыке этих элементов обнаруживаются нарушения. Почему:
- часто никто не смотрел на документы и процессы как на единую архитектуру и сведения не совпадают;
- документы составлялись разными людьми в разный период;
- документы составлялись без учета фактических процессов (то есть предварительный аудит не проводился);
- изменения фактических процессов не влекли за собой изменений в документах.
Что именно проверяют при проверке персональных данных
Условно такую проверку можно представить как одну цепочку:
Цепочка обработки персональных данных
Если документы описывают одну модель, а реальный процесс устроен иначе, у прокуратуры и Роскомнадзора возникают вопросы. Ниже — пять типичных ошибок, которые особенно хорошо видны на примере реальной проверки.
Ошибка № 1. Трансграничная передача
Важно помнить, что трансграничная передача данных возможна с разрешения РКН. Особенно внимательно стоит проверять зарубежные CRM, HR-системы, сервисы технической поддержки, корпоративные платформы группы, системы аналитики и иные облачные решения.
Но чаще всего бизнес либо не оценивает насколько использование ИТ-систем приводит к трансграничной передаче, либо верит, что никто такую передачу не заметит. IT-юрист поможет выявить все скрытые каналы передачи данных за рубеж.
Что проверить бизнесу:
- есть ли в компании фактическая трансграничная передача персональных данных;
- совпадает ли реальный перечень стран и получателей с уведомлениями и внутренними документами;
- какие категории субъектов и данных передаются за рубеж;
- не появился ли новый зарубежный сервис после последнего аудита ПДн.
Ошибка № 2. Сроки хранения персональных данных установлены «одной цифрой для всего»
Так в одном из случаев прокуратура отдельно проанализировала сроки хранения персональных данных работников. В локальных документах был установлен длительный единый срок хранения определенных сведений, при этом для части массивов сроки не были определены вовсе.
Контролирующий орган сопоставил внутренние правила компании с требованиями к хранению отдельных видов документов и указал на несоответствия.
Проблема здесь шире одного конкретного срока. В компании редко существует один универсальный период хранения для всех персональных данных. Срок зависит от цели обработки, категории документа, требований закона и момента достижения цели.
Резюме кандидата, документы работника, клиентская заявка, запись разговора, договор, маркетинговое согласие и данные в CRM — это разные массивы и не должны автоматически храниться одинаковый срок.
Что проверить бизнесу:
- есть ли матрица сроков хранения по целям и категориям данных;
- совпадают ли сроки в политике, положении, согласиях и внутренних регламентах;
- предусмотрено ли уничтожение или обезличивание после достижения цели;
- реально ли ИТ-системы позволяют выполнить заявленные сроки удаления.
Ошибка № 3. Согласие на обработку персональных данных есть, но юридически неполно
Еще один важный эпизод проверки касался форм согласий. Документы у компании были, однако прокуратура проанализировала их содержание и установила, что отдельные обязательные элементы отсутствуют.
В одной форме не были определены конкретный состав обрабатываемых данных, сведения о третьих лицах и срок действия или хранения согласия. В другой форме также возникли вопросы к третьим лицам и срокам.
Это хорошо показывает одну из самых распространенных ошибок: бизнес проверяет наличие согласия, а не то, соответствует ли оно конкретному процессу обработки.
Особенно быстро согласия устаревают в цифровом продукте. Например, изначально маршрут выглядел как «сайт → компания», а через год к нему добавились CRM, сервис рассылок, колл-центр, аналитика и новый подрядчик. Если форма согласия осталась прежней, документы уже не отражают реальный поток данных.
Что проверить бизнесу:
- для каких целей действительно требуется согласие и нет ли другого законного основания;
- совпадает ли перечень данных в согласии с фактическими полями формы и информационной системой;
- указаны ли необходимые получатели или лица, которым поручается обработка, если это требуется для конкретной модели;
- понятны ли срок действия согласия и порядок его отзыва;
- не собирает ли интерфейс данные до получения необходимого волеизъявления пользователя.
Ошибка № 4. Подрядчик уже получил персональные данные, а поручение на обработку оформляют потом
В каждой проверке прокуратура исследует договоры компании с технологическими сервисами и подрядчиками: маркетинговыми платформами, call-центром, ИТ-подрядчиками, CRM и другими системами.
Ключевой вопрос не в том, существует ли основной договор на услуги. Проверяется, какие персональные данные фактически получает контрагент и оформлена ли правовая конструкция такой обработки.
В отдельных эпизодах документы, регулирующие поручение обработки персональных данных, появились уже после того, как подрядчик фактически получил доступ к массиву данных.
Для бизнеса это очень узнаваемая ситуация: отдел продаж подключает SaaS, HR — новый сервис, маркетинг — рассылку, бухгалтерия передает базу подрядчику. Юристы узнают об этом позже, когда сервис уже работает и в нем накопились персональные данные. Здесь особенно важна роль юриста в IT, который понимает процессы подключения сервисов и может выстроить правильную процедуру.
В процессе проверки прокуратура сделает запрос и вашему контрагенту, чтобы узнать какие ПДн он от вас получил, где и как они хранятся и какой фактический доступ к ПДн он имеет.
Практическое правило: новый подрядчик получает доступ к ПДн только после определения его роли, правового основания передачи и проверки договора.
Что проверить бизнесу:
- полный список внешних сервисов и подрядчиков, которые получают ПДн;
- роль каждого участника: самостоятельный оператор, лицо по поручению оператора или иной участник обработки;
- соответствует ли договор фактическому составу и целям обработки;
- есть ли требования к конфиденциальности, защите данных, инцидентам и прекращению обработки;
- что происходит с данными после расторжения договора.
Ошибка № 5. Компания сама не знает, в каких системах находятся персональные данные
Наиболее показательная часть проверки — анализ информационных систем. Прокуратура выявляла, какие персональные данные работников и других субъектов фактически содержатся в отдельных корпоративных и облачных сервисах, и сопоставляла это с внутренним перечнем систем компании.
В одной системе находился значительный массив данных работников: идентификационные, паспортные, кадровые, контактные и иные сведения. В другой системе — ФИО, должность и корпоративная электронная почта. При этом внутренние документы не полностью отражали фактический ИТ-ландшафт.
Это, пожалуй, самая системная проблема. Политика может быть подготовлена качественно, но если никто не может показать, где именно находятся данные и как они двигаются между системами, документы быстро перестают соответствовать реальности.
Что проверить бизнесу:
- CRM и ERP;
- 1С и кадровые системы;
- облачные диски и корпоративные хранилища;
- HR-сервисы и сервисы подбора;
- call-центры и системы записи разговоров;
- рассылки и маркетинговую аналитику;
- SaaS-продукты отдельных подразделений;
- таблицы, выгрузки и базы у внешних подрядчиков.
Нашли у себя эти ошибки?
IT-юристы ЮК «Зарцын и партнеры» помогут исправить нарушения до проверки
Заказать аудит ПДн Бесплатная консультацияПочему прокуратура находит нарушения, которые сама компания не видит
Причина обычно не в отсутствии документов. Наоборот, у крупного бизнеса их может быть много: политика, положения, согласия, приказы, регламенты, договоры, поручения, перечни информационных систем.
Проблема возникает, когда каждый документ создавался отдельно и в разное время. Компания развивалась, подключала новые системы и подрядчиков, меняла бизнес-процессы, а юридическая модель обновлялась фрагментарно.
Проверяющий орган действует иначе: он сопоставляет документы с фактом. Поэтому обнаруживается несоответствие между тем, что написано в политике, что происходит в ИТ-системе и что закреплено в договоре с подрядчиком.
Как провести внутренний аудит ПДн до проверки прокуратуры или Роскомнадзора
Мы бы не начинали такой аудит с переписывания политики. Сначала необходимо восстановить фактическую архитектуру обработки данных. Опытный юрист-IT знает, что техническая карта данных важнее юридических формулировок.
Составить карту данных
Определить, какие категории субъектов есть у компании: сотрудники, кандидаты, клиенты, пользователи, представители контрагентов, посетители сайта и другие группы. Затем зафиксировать, какие сведения компания получает от каждой категории.
Нарисовать data flow
Для каждого массива показать путь: откуда данные появляются, в какую систему попадают, кто имеет доступ, каким подрядчикам передаются, есть ли трансграничная передача и где данные заканчивают жизненный цикл.
Проверить правовые основания
По каждой цели определить применимое основание обработки и проверить, действительно ли согласие необходимо либо обработка может строиться на другом законном основании.
Сопоставить подрядчиков и договоры
Проверить, все ли сервисы и контрагенты юридически квалифицированы и совпадает ли договорная конструкция с тем, что подрядчик реально делает с персональными данными.
Проверить сроки хранения и удаление
Сформировать матрицу сроков хранения и убедиться, что заявленные сроки технически исполнимы в используемых информационных системах.
Обновить документы
Только после этого обновлять документы. Политика, положения, согласия, поручения, уведомления и регламенты должны быть итогом анализа реальных процессов, а не отправной точкой.
Сложно провести аудит самостоятельно?
Доверьте это профессионалам — IT-юристам с опытом работы с крупными компаниями
Узнать стоимость аудитаЧто может запросить прокуратура или Роскомнадзор при проверке ПДн
Конкретный состав документов зависит от предмета проверки, но бизнесу полезно заранее понимать, насколько быстро он сможет собрать и объяснить свою модель.
- политику и локальные акты по обработке персональных данных;
- формы согласий и иные основания обработки;
- уведомление об обработке персональных данных и сведения об их актуальности;
- документы по трансграничной передаче, если она осуществляется;
- договоры и поручения с подрядчиками;
- перечень информационных систем и сведения о фактических данных в них;
- документы о назначении ответственных лиц;
- сведения о сроках хранения, уничтожении и мерах защиты персональных данных.
Главный вывод: аудит ПДн — это уже не аудит документов
Самая опасная ошибка — считать, что требования по персональным данным можно закрыть один раз комплектом документов.
Бизнес меняется быстрее локальных актов. Подключение CRM, нового HR-сервиса, call-центра, облачного хранилища, маркетинговой платформы или иностранного сервиса меняет фактическую архитектуру обработки данных.
Поэтому современный аудит персональных данных должен отвечать не только на вопрос «какие документы есть у компании?», но и на более важный вопрос: «совпадают ли документы, договоры, ИТ-системы и реальные бизнес-процессы?»
Именно это несоответствие чаще всего становится заметным при глубокой проверке.
FAQ: проверки персональных данных прокуратурой и Роскомнадзором
Когда стоит провести аудит ПДн
Проверка особенно полезна, если компания активно использует SaaS и облачные сервисы, передает данные большому количеству подрядчиков, работает в группе компаний, использует иностранную инфраструктуру, запускает новые цифровые продукты или давно не обновляла документы по персональным данным.
ЮК «Зарцын и партнеры»
Проводим аудит обработки персональных данных: от карты потоков ПДн и квалификации ролей до проверки договоров, согласий, уведомлений, трансграничных передач и подготовки системы к проверкам Роскомнадзора и прокуратуры
Оставить заявку Подробнее об услуге
