Введение
При действующем моратории на плановые проверки до 2030 года риски проведения внеплановых проверок Роскомнадзора для операторов персональных данных не исчезли. Помимо внеплановых проверок, Роскомнадзор имеет право проводить административные расследования (ч.1 ст. 28.7 КоАП РФ). Рассмотрим подробнее, что представляет собой эта процедура и какие риски она несет для юридических лиц и индивидуальных предпринимателей.
Что такое административное расследование в области персональных данных?
Административное расследование представляет собой комплекс процессуальных действий, которые требуют значительных временных затрат, которые направлены на выяснение всех обстоятельств выявленного административного правонарушения, их фиксирование, юридическую квалификацию и процессуальное оформление (п. 3 Постановления Пленума Верховного Суда РФ от 24.03.2005 № 5).
Административное расследование проводится согласно КоАП РФ, при этом законы, регулирующие внеплановые проверки, не применяются к данной процедуре. Отличается процесс вынесения определения должностным лицом, сроки проведения, продления и применяемые санкции.
Некоторые особенности административного расследования
Основное отличие административного расследования от стандартной проверки заключается в необходимости проведения экспертиз, сложных исследований или иных процессуальных действий.
Основания для проведения административного расследования Роскомнадзором
Роскомнадзор может инициировать административное расследование на основании следующих источников информации:
Самостоятельно выявленные нарушения в ходе мониторинга;
Информация от физических лиц (жалобы субъектов персональных данных);
Сообщения от юридических лиц и СМИ;
Межведомственный обмен информацией;
Обязательное уведомление от оператора о произошедшей «утечке» (ч. 3.1 ст. 21 152-ФЗ).
В связи с поступившей информацией инспектор Роскомнадзора выносит определение о возбуждении дела об административном правонарушении (ч. 3.5 ст. 28.1 КоАП РФ), одновременно с которым может быть вынесено определение о проведении административного расследования и истребовании данных.
По окончании расследования составляется протокол об административном правонарушении с привлечением к административной ответственности или дело прекращается при отсутствии нарушения.
Составы правонарушений для административного расследования
Административные правонарушения в области персональных данных, по которым может быть проведено административное расследование Роскомнадзором
Обработка персональных данных без законных оснований либо нецелевая обработка; обработка персональных данных без письменного согласия, когда оно обязательно (ч. 1 - 2.1 ст. 13.11 КоАП РФ)
Неправомерная передача персональных данных:
ч.1 ст. 13.11 КоАП РФ до одной тысячи субъектов персональных данных и до десяти тысяч идентификаторов
ч.12 ст. 13.11 КоАП РФ от одной тысячи до десяти тысяч субъектов персональных данных и (или) от десяти тысяч до ста тысяч идентификаторов
ч.13 ст. 13.11 КоАП РФ от десяти тысяч до ста тысяч субъектов персональных данных и (или) от ста тысяч до одного миллиона идентификаторов
ч.14 ст. 13.11 КоАП РФ более ста тысяч субъектов персональных данных и (или) более одного миллиона идентификаторов
ч.15 ст. 13.11 КоАП РФ повторное правонарушение по ч.12-15 ст.13.11 КоАП РФ
Неправомерная передача специальных или биометрических персональных данных (ч. 16 - 18 ст. 13.11 КоАП РФ)
Стадии административного расследования в области персональных данных
Процедура административного расследования включает в себя несколько последовательных этапов:
Возбуждение дела
Возбуждение дела об административном правонарушении и принятие решения о проведении административного расследования уполномоченным должностным лицом Роскомнадзора.
Сбор доказательств
Проведение процессуальных действий, направленных на сбор и фиксацию доказательств нарушения требований законодательства о персональных данных.
Составление протокола
Составление должностным лицом Роскомнадзора протокола об административном правонарушении при установлении вины или вынесение постановления о прекращении производства по делу.
Порядок и сроки административного расследования
Принятие решения
Решение о возбуждении дела об административном правонарушении и проведении административного расследования принимается уполномоченным должностным лицом Роскомнадзора в виде определения немедленно (ч.2 ст.28.7 КоАП РФ) после выявления факта совершения административного правонарушения.
Уведомление оператора
Копия определения о возбуждении дела и проведении административного расследования в течение суток вручается под расписку законному представителю юридического лица (генеральному директору или представителю по доверенности) либо высылается по юридическому адресу оператора.
Место проведения
Административное расследование Роскомнадзор проводит по месту совершения или выявления административного правонарушения.
Сроки расследования
Основной срок: 1 месяц с момента возбуждения дела об административном правонарушении.
Продление: в исключительных случаях по письменному ходатайству должностного лица Роскомнадзора + 1 месяц.
Ответственность за непредоставление сведений в ходе административного расследования
Непредоставление истребуемой информации в течение 3 календарных дней (прим.: «…если иное не установлено в КоАП РФ, сроки, предусмотренные в данном Кодексе и исчисляемые днями, включают как рабочие, так и нерабочие дни, то есть исчисляются в календарных днях» - Определение СК по экономическим спорам Верховного Суда РФ от 28 марта 2018 г. № 305-АД17-18495) (ч.1 ст. 26.10 КоАП РФ) с момента получения определения влечет ответственность по ст. 17.7 КоАП РФ.
Санкции по статье 17.7 КоАП РФ:
Дисквалификация директора на срок от 6 месяцев до 1 года;
Приостановление деятельности юридического лица на срок до 90 суток;
Штраф от 50 000 до 100 000 рублей.
Подсудность дел по административным расследованиям
Дела об административных правонарушениях по ст. 13.11 КоАП РФ, производство по которым осуществляется в форме административного расследования, рассматриваются:
С 1 января 2026 года:
Районный суд по месту нахождения территориального органа Роскомнадзора, проводившего расследование (абз.2 ч.3 ст.21.1 КоАП РФ; ч. 2 ст. 29.5 КоАП РФ).
Важно: Если должностное лицо Роскомнадзора возбудило административное расследование по одной части ст.13.11 КоАП РФ, а обнаружило доказательства нарушения по другой части, то возможна переквалификация на часть, доказательства нарушения которой обнаружены.
При переквалификации дело рассматривается мировым судьей (абз. 6 ч. 3 ст. 23.1 КоАП РФ).
Прим. С 1 июня 2025 г. по 31 декабря 2025 г. дела рассматривались арбитражными судами.
Процессуальные сроки и обжалование протокола
Передача материалов в суд: в течение 3-х суток после составления протокола (ч. 1 ст. 28.8 КоАП РФ).
Обжалование протокола: протокол не подлежит обжалованию, поскольку является процессуальным документом, фиксирующим факт правонарушения.
Особенности судебного представительства
Согласно ч.5 ст.25.5. КоАП РФ представителем по делу об административном правонарушении может быть адвокат или иное лицо (например, директор организации, работник по доверенности, привеченный консультант); высшее юридическое образование не требуется.
Ключевые особенности института административного расследования
Процессуальные особенности:
Установление обстоятельств правонарушения и выявление виновных лиц;
Проводится независимо от наличия моратория на плановые проверки;
Проводится без предварительного уведомления оператора;
Не требует согласования с органами прокуратуры.
Временные рамки:
Сроки проведения: в течение 1 календарного месяца с возможностью продления еще на 1 месяц.
Сроки истребования информации: в течение 3-х календарных дней.
Правовые последствия:
Итоговый результат — определение о расследовании (возможность обжалования не урегулирована КоАП РФ).
Риск дисквалификации руководителя организации или приостановления деятельности при несоблюдении сроков предоставления информации.
Основные проблемы для операторов:
Отсутствие предварительного уведомления;
Критически сжатые сроки для подготовки ответа;
Репутационные риски.
Заключение
Административное расследование Роскомнадзора не является новым институтом с точки зрения административного процессуального законодательства, однако Роскомнадзор получил полномочия по его проведению только с 30 мая 2025 года.
Чтобы минимизировать риски и возможные последствия, рекомендуем:
проводить регулярный внутренний контроль/ аудит соответствия обработки персональных данных;
привлекать консультантов с опытом для помощи во взаимодействии с Роскомнадзором на ранних стадиях (с момента выявления правонарушения, что позволит подготовить более крепкую позицию защиты).
