Взаимодействие с надзорным органом: что должен знать бизнес
Взаимодействие с надзорным органом в сфере защиты данных часто начинается неожиданно — с заявления субъекта или по собственной инициативе органа. На этой странице мы разъясняем, как идёт процесс и какие сроки являются решающими. Сначала одно важное обстоятельство: по действующей редакции закона «О защите персональных данных», изменённой законом от 17 декабря 2025 года, надзор в сфере защиты данных осуществляет Государственная служба аудита — поэтому заявления, проверки и меры происходят от имени этого органа.
Рассмотрение заявления и его сроки
Государственная служба аудита обязана рассмотреть заявление субъекта данных по вопросам обработки и применить предусмотренные законодательством меры. В течение 10 дней с получения заявления Служба принимает решение о применяемых мерах и уведомляет заявителя. Общий срок рассмотрения не должен превышать 2 месяцев и может обоснованным решением продлеваться не более чем на 1 месяц. Служба вправе приостановить рассмотрение на основании истребования дополнительных материалов — период приостановления в срок не засчитывается. До завершения рассмотрения Служба может принять решение о блокировке данных, хотя обработка может продолжаться для защиты жизненно важных интересов, целей государственной безопасности и обороны.
Проверка: чего ожидать организации
Государственная служба аудита вправе по собственной инициативе либо на основании заявления заинтересованного лица провести проверку ответственного за обработку лица; решение о проведении проверки принимает генеральный аудитор. Проверка предполагает установление соблюдения принципов обработки и наличия законных оснований; проверку соответствия мер и процедур безопасности установленным требованиям; проверку законности передачи другому государству или международной организации; и проверку соблюдения правил, установленных законом и иными актами. Служба вправе истребовать документ или информацию у любого учреждения, физического и юридического лица — в том числе содержащую государственную, налоговую, банковскую, коммерческую и профессиональную тайну — и войти в любое учреждение для ознакомления. Материалы представляются незамедлительно; при необходимости поиска в другой структуре или обработки значительного объёма срок увеличивается до 10 рабочих дней и обоснованным обращением продлевается ещё на 10 рабочих дней.
Меры, применяемые органом
При выявлении нарушения Служба применяет одну или несколько мер: требует устранить нарушение и недостатки в указанной форме и срок; требует временно или постоянно прекратить обработку, если меры безопасности не соответствуют требованиям; требует прекратить обработку и заблокировать, удалить, уничтожить или деперсонализировать данные, если обработка ведётся с нарушением законодательства; требует прекратить передачу другому государству; даёт письменные советы при незначительном нарушении; либо привлекает к административной ответственности. Исполнение мер в указанный срок обязательно; при неисполнении Служба обращается в суд, правоохранительный орган или соответствующее регулирующее учреждение.
Обжалование решения
Решение генерального аудитора, принятое по результатам производства, может быть обжаловано в суд в порядке Кодекса об административных правонарушениях — лицом, в отношении которого оно вынесено, в течение 1 месяца с официального вручения. При обжаловании решение исполняется с момента вступления в законную силу решения суда. Вместе с тем решение Службы в сфере защиты данных обязательно к исполнению и может быть обжаловано только в суде.
Чем мы можем помочь
Мы представляем ваши интересы на всех этапах взаимодействия с надзорным органом: подготовка правовой позиции по заявлению, представление материалов проверки и контроль сроков, формулирование ответа на применённые меры, обжалование решения. Обратитесь — мы оценим ваше положение.
В практическом смысле подготовка к проверке идёт по трём направлениям. Первое — документальная готовность: проверка принципов, оснований, мер безопасности и законности передач опирается именно на те документы, которые организация должна заранее иметь в порядке. Второе — управление сроками: сроки представления материалов зависят от содержания требования, и оценка необходимости продления должна быть сделана сразу при получении, чтобы потребность в нём была обоснована вовремя. Третье — единство позиции: на всех трёх этапах — заявлении, проверке и мерах — должен представляться один и тот же круг фактов, поскольку противоречивые объяснения часто вредят позиции больше, чем само нарушение.
Ещё одно замечание для субъектов: закон устанавливает три пути жалобы — Государственную службу аудита, суд и вышестоящий административный орган, а субъект может потребовать от Службы решения о блокировке данных до завершения рассмотрения заявления. Знание этих прав важно и для бизнеса: жалоба предсказуема, и её правовое измерение можно оценить заранее. Наша помощь охватывает обе стороны — защиту прав субъекта и подготовку позиции организации в надзорных процессах.
Следует отметить и то, что завершающий инструмент в отношении нарушителей также предусмотрен законом: если Служба выявляет административное правонарушение, она составляет протокол и налагает ответственность в порядке, установленном Кодексом об административных правонарушениях. Один спор, таким образом, разворачивается в трёх измерениях — надзора, административной ответственности и судебного контроля. Каждое из них устанавливает свои сроки и требования, и одновременное ведение всех трёх — вопрос именно профессионального сопровождения.