Проверка сайта Роскомнадзором: как устроен контроль и что делать при запросе

Как устроен контроль за обработкой персональных данных

Роскомнадзор контролирует обработку персональных данных (ПДн) по Положению, утверждённому постановлением Правительства от 29.06.2021 № 1046. Положение делит операторов на пять категорий риска: высокий, значительный, средний, умеренный и низкий. По постановлению Правительства № 336 плановые мероприятия до 2030 года проводятся только в отношении объектов чрезвычайно высокого и высокого риска. Сайты малого бизнеса к ним обычно не относятся, поэтому плановой проверки ждать не стоит.

Остальные инструменты регулятора работают. Главный из них — наблюдение за соблюдением требований при размещении информации в интернете: инспектор открывает сайт, ничего вам не сообщая. Кроме того, действуют профилактические визиты, запросы и внеплановые мероприятия по жалобам и утечкам.

Что регулятор видит на сайте без визита

Большинство нарушений 152‑ФЗ заметны с первого взгляда на сайт. При наблюдении смотрят:

• политику обработки ПДн — опубликована ли и доступна ли со всех страниц, где собираются данные (ч. 2 ст. 18.1 152‑ФЗ); подробнее — где разместить политику;
• согласие — оформлено ли отдельно от политики и оферты, как требует ст. 9 с 1 сентября 2025 года, и не стоит ли галочка заранее; подробнее — чекбокс согласия в форме;
• cookie-уведомление и описание счётчиков в политике;
• иностранные сервисы — Google Analytics, Tag Manager, reCAPTCHA, Google Fonts, зарубежные чаты и формы;
• реквизиты оператора и способ связи по вопросам ПДн;
• запись в реестре операторов — есть ли она и совпадает ли с тем, что видно на сайте; подробнее — как проверить себя в реестре.

Пример такого мониторинга — письма о Google Analytics, которые с февраля 2025 года получали владельцы сайтов в нескольких регионах. Регулятор требовал убрать счётчик или оформить трансграничную передачу и давал на это 10 рабочих дней.

Откуда берутся претензии

Внимание регулятора к конкретному сайту обычно вызывает внешнее событие:

• жалоба клиента или посетителя — на рассылку без согласия, отказ удалить данные, навязчивые звонки; одного обращения достаточно, чтобы регулятор направил запрос;
• сообщение об утечке базы компании — оператор сам обязан уведомить о ней Роскомнадзор в течение 24 часов;
• результаты мониторинга сайтов по отрасли или по типу нарушений;
• обращения других ведомств и прокуратуры, публикации в СМИ.

Предостережение: исправить или возразить

Предостережение о недопустимости нарушения обязательных требований объявляют, когда у регулятора есть сведения о признаках нарушения, но нет подтверждённого вреда (п. 18 Положения № 1046). Ответственности оно не влечёт. Обычно в нём предлагают принять меры и сообщить о них. Дальше два варианта:

• Согласны — исправьте нарушение, сохраните подтверждения (скриншоты с датой, новую редакцию политики, отметку об удалении счётчика) и сообщите о принятых мерах в территориальное управление.
• Не согласны — подайте возражение в течение 10 рабочих дней со дня получения предостережения (п. 20 Положения). Его рассматривают до 20 рабочих дней и либо отменяют предостережение, либо отказывают.

Пример формулировки в возражении

«Политика обработки персональных данных опубликована 12.03.2026 по адресу https://example.ru/privacy. Ссылка на неё размещена под каждой формой сбора данных, включая форму заказа обратного звонка. Скриншоты страниц с датой фиксации прилагаем».

Возражение имеет смысл, когда есть факты: даты публикации, скриншоты, договор с хостингом в России. Если нарушение было и вы его уже устранили, полезнее сообщить об исправлении.

Пришёл запрос: план на 10 рабочих дней

По ч. 4 ст. 20 152‑ФЗ оператор сообщает в Роскомнадзор запрошенную информацию в течение 10 рабочих дней с даты получения запроса. Срок можно продлить не более чем на 5 рабочих дней, направив мотивированное уведомление с причинами продления. Считайте рабочие дни от даты получения письма.

1. День 1. Зарегистрируйте запрос, отметьте дату получения и последний день срока, назначьте ответственного. Подключите юриста, если запрос связан с жалобой или утечкой.
2. Дни 1–2. Разберите запрос по пунктам: какие сведения и документы просят. Отвечайте ровно на заданные вопросы — лишние документы порождают новые.
3. Дни 2–5. Соберите документы: политику, приказ об ответственном, локальные акты, тексты согласий, уведомление в Роскомнадзор, договоры с обработчиками. Сверьте их с сайтом и фактической обработкой.
4. Дни 5–7. Исправьте очевидные расхождения: опубликуйте политику, уберите лишний счётчик, обновите сведения в реестре. Зафиксируйте, что и когда сделано.
5. Дни 7–9. Подготовьте ответ по пунктам запроса с перечнем приложений. Если не успеваете, отправьте мотивированное уведомление о продлении до истечения срока.
6. День 10. Отправьте ответ способом, указанным в запросе, и сохраните подтверждение отправки.

Если запрос вызван жалобой конкретного человека

Приложите к ответу переписку с заявителем и подтверждение, что его требование исполнено: данные удалены или уточнены, рассылка прекращена. Субъекту оператор тоже отвечает в течение 10 рабочих дней (ст. 14 и 20 152‑ФЗ), и опоздание с этим ответом само по себе становится нарушением.

Что будет, если не ответить

Непредставление сведений в госорган наказывается по ст. 19.7 Кодекса об административных правонарушениях (КоАП): для юрлиц штраф от 3 до 5 тыс. рублей. Опаснее последствия молчания: у регулятора остаётся только версия заявителя, растёт шанс внепланового мероприятия, по итогам которого возможны штрафы по ст. 13.11 КоАП.

Профилактический визит: как подготовиться

Профилактический визит — беседа инспектора с оператором о требованиях, которые к нему применяются. Он бывает обязательным, по инициативе Роскомнадзора, и по заявлению самого оператора. С 28 декабря 2024 года отказаться от обязательного визита нельзя. Визит часто проходит по видеосвязи и длится не дольше 10 рабочих дней. Штрафов по его итогам не назначают, но если инспектор выявит нарушение и оно не будет устранено до конца визита, может быть выдано предписание.

Какие документы держать наготове

• политика обработки ПДн, опубликованная на сайте, и её предыдущие редакции;
• приказ о назначении ответственного за организацию обработки;
• локальные акты: положение об обработке и защите ПДн, перечень обрабатываемых данных, порядок уничтожения;
• тексты согласий и примеры того, как они собираются на сайте;
• копии уведомлений в Роскомнадзор — об обработке и, если есть, о трансграничной передаче;
• договоры с обработчиками: хостингом, CRM, колл-центром, сервисом рассылок;
• журнал обращений субъектов и ответы на них.

Что грозит по итогам проверки

Остальные составы, включая обработку без согласия и утечки, разобраны в обзоре штрафов по ст. 13.11 КоАП. Заблокировать сайт за нарушения в области ПДн можно только по решению суда: его включают в реестр нарушителей прав субъектов персональных данных.

Как снизить шансы попасть в поле зрения

Посмотрите на сайт глазами регулятора. Бесплатная проверка сайта показывает внешние сигналы: иностранные сервисы, отсутствие политики или cookie-уведомления, формы без согласия.

Работайте с обращениями: отвечайте на запросы об удалении данных, отписывайте от рассылок по первой просьбе. Услышанный клиент редко пишет жалобу.

Держите уведомление в реестре актуальным и обновляйте его при каждом заметном изменении сайта. При любом официальном письме регулятора оцените ситуацию вместе со специалистом до отправки ответа.