Профилактический визит Роскомнадзора: что это и стоит ли соглашаться

Письмо или звонок из Роскомнадзора с предложением профилактического визита пугает многих операторов персональных данных: кажется, что за вежливой формулировкой скрывается обычная проверка, только под другим названием. На деле профилактический визит Роскомнадзора - отдельный инструмент из 248-ФЗ, который не заканчивается ни штрафом, ни предписанием, даже если инспектор находит нарушения. Разобраться в этом стоит заранее, а не в тот момент, когда письмо уже лежит на столе.

Профилактический визит по 248-ФЗ бывает обязательным и необязательным, и от этого зависит, можно ли отказаться от встречи с инспектором. Дальше - что говорит закон, чем визит отличается от плановой и внеплановой проверки, что спрашивает инспектор применительно к обработке персональных данных и как оформить отказ от профилактического визита, если решите, что встреча компании не нужна.

Что такое профилактический визит и на каком законе он основан

Профилактический визит - один из видов профилактических мероприятий, которые государственные органы проводят в рамках контрольно-надзорной деятельности. Правила для него устанавливает статья 52 Федерального закона от 31.07.2020 N 248-ФЗ «О государственном контроле (надзоре) и муниципальном контроле в Российской Федерации» - общий закон, по которому работают все контролирующие ведомства, включая Роскомнадзор.

По этому закону визит проводится в форме профилактической беседы - по месту деятельности оператора персональных данных либо по видеосвязи. Инспектор рассказывает, какие требования закона распространяются на конкретный бизнес, отвечает на вопросы и обращает внимание на слабые места, которые заметил заранее - например, при мониторинге сайта. Итог визита - не акт о нарушении, а рекомендации: что стоит поправить и в какие сроки, без обязательной силы предписания.

Ключевое отличие от проверки: во время профилактического визита оштрафовать нельзя. Закон выводит профилактические мероприятия из числа контрольных (надзорных) - то есть тех, по итогам которых применяются меры принуждения. Даже если инспектор увидит явное нарушение - скажем, отсутствие политики обработки персональных данных на сайте, - он ограничится рекомендацией ее разместить, а не составит протокол по статье 13.11 КоАП РФ.

Профилактический визит - не единственный инструмент из этой главы 248-ФЗ. Рядом с ним закон описывает информирование, консультирование и предостережение о недопустимости нарушения - более легкие меры, которые орган применяет, если сигнал совсем слабый. Визит - следующая по серьезности ступень: личный контакт с инспектором, но еще до того, как дело доходит до полноценной проверки с актом и предписанием.

Обязательный профилактический визит - когда он положен по умолчанию

Обязательный профилактический визит Роскомнадзор назначает не выборочно, а по формальному критерию: чаще всего это бизнес, который только начал деятельность, попадающую под контроль в сфере персональных данных, или оператор, которого впервые включили в план проверок с высоким или значительным риском. Логика простая: прежде чем прийти с проверкой, ведомство один раз объясняет требования тем, кто мог о них не знать.

Для нового оператора персональных данных - интернет-магазина, который только запустил сайт со сбором заявок, или компании, которая впервые наняла сотрудников и завела кадровые документы, - обязательный визит нередко становится первым контактом с Роскомнадзором вообще. Само по себе это не повод для тревоги: ведомство не ищет повод оштрафовать, а закрывает пробел в собственной статистике - кто и как обрабатывает данные на подконтрольной территории.

Обязательный профилактический визит Роскомнадзора не означает автоматически, что в организации уже нашли нарушения. Критерий для назначения формальный - новый оператор, категория риска, - а не результат предварительной жалобы или сигнала со стороны.

Похожая логика работает и для интернет-сервисов с большой аудиторией: если сайт с первого дня собирает данные тысяч пользователей - подписчиков онлайн-курса, участников акции, зарегистрированных в приложении, - масштаб обработки сам по себе повышает внимание к оператору, даже если бизнес существует без нареканий и жалоб.

На практике формальный критерий работает не всегда безупречно: небольшая клиника, которая только открылась и завела электронную запись пациентов, попадает в категорию с повышенным риском почти автоматически, потому что обрабатывает специальные категории персональных данных - сведения о здоровье. То же касается образовательных студий и секций, где среди учеников есть несовершеннолетние: наличие детей в базе данных само по себе поднимает категорию риска, а вместе с ней - вероятность обязательного визита в первый год работы.

Профилактический визит по инициативе Роскомнадзора и отказ от него

Кроме обязательных визитов закон предусматривает профилактические визиты, которые контрольный орган назначает по своей инициативе - например, увидев на сайте компании признаки нарушений при плановом мониторинге, но не настолько явные, чтобы сразу открывать внеплановую проверку. Это скорее мягкий сигнал: обратите внимание, пока дело не дошло до санкций.

Чаще всего толчком для такого визита служит автоматический мониторинг сайтов, который Роскомнадзор ведет постоянно: отсутствующая или недоступная страница с политикой обработки персональных данных, форма заявки без чекбокса согласия, истекший сертификат безопасности сайта. Ни один из этих признаков не доказывает нарушение сам по себе - страница могла временно упасть из-за технической ошибки, - но именно такие сигналы чаще всего запускают предложение о профилактической встрече, а не сразу внеплановую проверку.

Именно от такого, необязательного визита закон разрешает отказаться. Для этого нужно уведомить контрольный орган в письменном виде заранее - на практике ориентируются на срок около трех рабочих дней до даты визита, указанной в уведомлении. Обязательный визит устроен строже: формальных оснований для отказа от него закон не дает, и разумнее один раз потратить время на разговор с инспектором, чем спорить о процедуре.

Отказ от профилактического визита не портит отношения с ведомством и не увеличивает риск внеплановой проверки сам по себе - это предусмотренное законом право, а не демонстрация того, что оператору есть что скрывать. Другое дело, что если сайт или документы компании действительно в беспорядке, визит - более комфортный способ узнать об этом первым, чем проверка с протоколом.

Уведомление об отказе оформляется в свободной форме - как правило, письмом на имя территориального управления Роскомнадзора, куда пришло приглашение на визит, с указанием даты и номера письма, от которого отказывается компания. Хранить копию такого уведомления стоит так же, как любую другую переписку с контролирующим органом - пригодится, если возникнет вопрос, почему запланированный визит не состоялся.

Как проходит визит - очно или по видеосвязи

Формат встречи предлагает контрольный орган, но по общему правилу выбор между личным визитом и видеосвязью можно обсудить с ним заранее - особенно если офис находится в другом регионе, а инспектор ведет прием дистанционно. Само мероприятие обычно укладывается в один рабочий день и не требует присутствия всего штата - достаточно одного-двух представителей, которые в курсе того, как в компании устроена работа с персональными данными.

По продолжительности встреча редко превышает полтора-два часа даже при личном визите: инспектор не разворачивает полноценную ревизию документооборота, а идет по ключевым точкам. Для компании с одним сайтом и небольшим штатом этого времени достаточно, чтобы обсудить все существенные вопросы; для организации с несколькими юридическими лицами, филиалами или отдельным мобильным приложением встреча может занять больше времени просто из-за объема информации, которую нужно свести воедино.

Готовиться к визиту стоит так же, как к обычной проверке, только без стресса от возможного штрафа: поднять политику обработки персональных данных, проверить, актуально ли уведомление в реестре операторов, вспомнить, кто в компании отвечает за эти вопросы. Если ответственного нет или его роль нигде не закреплена документом, это ровно то, о чем инспектор, скорее всего, спросит в первую очередь - подробнее о том, как оформить такую инструкцию для сотрудников, в отдельном материале об инструкции по обработке персональных данных.

Разговор обычно строится вокруг практики, а не теории закона: как собираются данные клиентов на сайте, куда они передаются дальше - в CRM, бухгалтерию, курьерскую службу, - и есть ли для этого документальное основание. Инспектор не проверяет техническую защиту серверов так же глубоко, как при плановой проверке, но обязательно спросит про базовые вещи: согласия, политику и уведомление.

С точки зрения читателя без юридического образования - маркетолога, кадровика или владельца небольшого бизнеса - на этом этапе стоит понять одно: профилактический визит не требует подготовки уровня выездной налоговой проверки. Речь идет о разговоре, а не о ревизии, и от компании ждут не безупречного досье, а разумного понимания, что и зачем она делает с данными клиентов и сотрудников.

О чем спрашивает инспектор и что подготовить заранее

Список тем, которые поднимает инспектор при профилактическом визите по обработке персональных данных, за пару лет практики почти не меняется. Ниже - то, что стоит иметь под рукой в бумажном или электронном виде, чтобы не искать нужный файл прямо во время разговора.

• Политика обработки персональных данных, размещенная на сайте, и дата ее последнего обновления
• Подтверждение, что уведомление об обработке персональных данных подано в реестр операторов и сведения в нем актуальны
• Формы согласий на сайте - в заявках, при подписке на рассылку, в форме обратного звонка
• Приказ о назначении ответственного за организацию обработки персональных данных
• Договоры с подрядчиками, которые получают доступ к данным клиентов - CRM, службы рассылок, аналитика
• Локальные документы для сотрудников - согласия на обработку кадровых данных, инструкция по работе с персональными данными

Пример из практики: небольшой фитнес-клуб получил письмо с предложением обязательного профилактического визита через полгода после открытия. На встрече инспектор попросил показать форму записи на сайте, уточнил, куда уходят данные о посещениях - в мобильное приложение партнера или только во внутреннюю CRM, - и спросил, подписывали ли тренеры документ о неразглашении персональных данных клиентов. Ни один из вопросов не касался технической защиты серверов - разговор целиком строился вокруг того, что клуб делает с данными в повседневной работе.

Отдельная тема - персональные данные, которые пересекаются с другим режимом защиты информации, например коммерческой тайной. Если компания хранит вместе с данными клиентов сведения, составляющие коммерческую тайну, инспектор может уточнить, как разграничен доступ к этим массивам - разбор пересечения режимов есть в материале о персональных данных и коммерческой тайне.

Если у компании нет ни одного из перечисленных документов, паниковать не стоит: цель визита не в том, чтобы собрать доказательства для протокола, а в том, чтобы обозначить, что нужно сделать. Рекомендации инспектора стоит записать и выполнить в реальный, а не формальный срок - следующая проверка, если она случится, будет смотреть на то же самое, но уже строже.

Плюсы профилактического визита для бизнеса

Главное преимущество - возможность узнать о претензиях контролирующего органа без последствий. Штраф по статье 13.11 КоАП РФ за формальные недочеты - отсутствие политики, устаревшее уведомление - начинается от заметной суммы даже для индивидуального предпринимателя, и профилактический визит дает шанс закрыть эти пробелы бесплатно и без спешки. Подробнее о размерах таких штрафов - в материале о штрафах для ИП за нарушение 152-ФЗ.

Разница в деньгах ощутима: базовый штраф по статье 13.11 КоАП РФ за отсутствие политики или устаревшее уведомление для индивидуального предпринимателя начинается от нескольких десятков тысяч рублей, а для организации - от ста тысяч и выше. Профилактический визит по тем же основаниям не стоит компании ничего, кроме часа-двух рабочего времени сотрудника, который отвечает на вопросы инспектора.

Второй плюс - визит помогает разложить требования закона на понятные шаги применительно к конкретному бизнесу, а не к абстрактному оператору из методички. Инспектор видит реальный сайт, реальную форму заявки и реальный список подрядчиков, поэтому его рекомендации точнее общих статей в интернете.

Третий момент, о котором часто забывают: сам факт профилактического визита фиксируется в системе контрольного органа. Если компания через полгода или год попадет в план проверок, отработанный визит с исправленными замечаниями - аргумент в пользу того, что оператор реагирует на требования, а не игнорирует их.

Минусы и подводные камни

Главный риск - расслабиться и решить, что раз визит прошел без штрафа, тема закрыта. Рекомендации инспектора не имеют силы предписания, поэтому формальной ответственности за их невыполнение нет - но это не значит, что нарушение исчезло. Если через год придет уже проверка, а не визит, те же самые недочеты обернутся штрафом, причем ссылка на то, что о них уже говорили при визите, скорее сыграет против компании, чем в ее пользу.

Есть и более жесткий сценарий: если компания получила рекомендации во время визита, никак их не выполнила, а затем те же нарушения зафиксировала уже полноценная проверка, инспектор фиксирует это как длящееся нарушение, а не как новое. На повторность нарушения закон реагирует жестче базовой вилки штрафов - суммы вырастают заметно, а не на символическую величину.

Второй нюанс - во время беседы инспектор ориентируется на то, что видит и слышит, и не обязан пересказывать оператору весь перечень требований закона. Если разговор ушел в сторону сайта, а кадровые документы остались за скобками, ошибочно считать, что с этой частью все в порядке только потому, что вопросов не задавали.

Есть и практический нюанс, который редко обсуждают: подготовка к визиту отнимает время не потому, что закон требует объемного досье, а потому что во многих компаниях документы просто разбросаны - политика лежит у одного сотрудника, согласия собирает другой сервис, а про уведомление в реестре никто не вспоминал с момента регистрации бизнеса. Свести это воедино быстрее, чем кажется, но откладывать сбор документов до последнего дня перед визитом не стоит.

Третье: не стоит путать профилактический визит с полной иммунизацией от контроля. Мораторий на проверки, о котором рассказано в отдельном материале про мораторий на проверки в 2026 году, распространяется на плановые проверки, но не отменяет ни профилактические визиты, ни внеплановые проверки по жалобе или по сигналу о явном нарушении.

Как оформляются итоги визита

По результатам профилактического визита не составляется протокол об административном правонарушении и не выносится предписание - это принципиальное отличие от проверки. Инспектор фиксирует, что визит состоялся, и, если увидел недочеты, дает устные или письменные рекомендации по их устранению вместе с ориентировочными сроками.

Отказаться выполнять рекомендации формально можно - санкции за это не следуют, - но на практике это редко разумно: те же вопросы вернутся при следующем контакте с ведомством, только уже в другом статусе. Разумная тактика - зафиксировать у себя список рекомендаций письмом или протоколом внутреннего совещания и назначить ответственного за каждый пункт, как за обычную рабочую задачу.

Формально факт визита и его результат заносятся во внутреннюю систему учета профилактических мероприятий контрольного органа - это не документ, который вручают компании на руки, а внутренняя отметка о проведенной работе. Если оператору важно иметь письменное подтверждение самого факта визита - например, для внутренней отчетности перед учредителями, - разумно попросить об этом инспектора сразу на встрече, а не запрашивать задним числом.

Для самозанятого или предпринимателя без бухгалтера в штате самый практичный способ зафиксировать рекомендации - обычное письмо на свой же адрес электронной почты сразу после встречи: дата визита, кто присутствовал, что попросили исправить и к какому сроку. Этого достаточно, чтобы через несколько месяцев не гадать, что именно обещали сделать, и не выдумывать хронологию задним числом, если вопрос снова всплывет.

Если во время визита всплывает вопрос, который выходит за рамки беседы - например, официальный запрос субъекта персональных данных, на который компания не ответила вовремя, - это уже отдельная история со своими сроками и рисками, а не часть профилактического визита.

Профилактический визит, проверка и мораторий - в чем разница

Профилактический визит легко перепутать с плановой или внеплановой проверкой - по звонку или письму разница не всегда очевидна с первого взгляда. Таблица ниже собирает то, по чему проще всего сориентироваться.

Параметр	Профилактический визит	Проверка (плановая или внеплановая)
Правовая основа	Ст. 52 248-ФЗ, профилактическое мероприятие	248-ФЗ, контрольное (надзорное) мероприятие
Возможный итог	Рекомендации без силы предписания	Акт, предписание, протокол по ст. 13.11 КоАП РФ
Штраф по итогам	Не предусмотрен	Возможен, вплоть до оборотного при отягчающих обстоятельствах
Можно ли отказаться	От необязательного визита - да, уведомив орган заранее	От плановой - нет, от части внеплановых - в узких случаях
Формат	Беседа по месту или по видеосвязи, обычно один день	Может занимать больше времени, включает запрос документов

Мораторий на плановые проверки бизнеса не отменяет профилактические визиты и не исключает внеплановую проверку, если Роскомнадзор получит жалобу или заметит явное нарушение при мониторинге сайта. Это два независимых инструмента одного и того же закона, а не взаимоисключающие сценарии.

На стороне бизнеса иногда возникает соблазн воспринимать визит как формальность, которую можно пересидеть, отвечая инспектору общими фразами. Это не срабатывает: цель встречи - реальная картина того, как обрабатываются данные, и чем расплывчатее ответы, тем выше вероятность, что следующим шагом станет уже не визит, а внеплановая проверка с запросом документов в письменном виде.

С организационной точки зрения профилактический визит проще пройти, если в компании заранее закреплено, кто отвечает за персональные данные - на бумаге, а не только фактически. Тогда на встречу с инспектором идет конкретный человек, который может отвечать по существу, а не пересказывать содержание сайта или анкеты для клиентов на ходу.

Если письмо о профилактическом визите уже пришло, порядок действий простой: проверить тип визита - обязательный или нет, - собрать документы из списка выше, назначить представителя компании для разговора и, если решаете отказаться от необязательного визита, отправить уведомление в контрольный орган заранее, а не в последний момент. Если после отказа компания все же получит официальный запрос от ведомства с конкретными вопросами, порядок ответа и сроки описаны в материале об ответе на запрос Роскомнадзора. Итоговое решение - соглашаться на визит или нет - стоит принимать не из страха перед инспектором, а из трезвой оценки того, в каком состоянии сейчас документы и сайт компании.

Если по итогам визита или самостоятельной проверки видно, что политики обработки персональных данных, согласий или уведомления в реестре не хватает, привести документы в порядок проще заранее, чем в сжатые сроки после рекомендации инспектора - разработку и актуализацию таких документов можно заказать на 152fzpro.ru.