Проверка сайта Роскомнадзором на персональные данные: как устроен контроль в 2026 году

Кто и по каким правилам контролирует сайты

Надзор за обработкой персональных данных ведёт Роскомнадзор. Порядок его работы задают три уровня норм:

Сами обязательные требования — в 152-ФЗ, а ответственность за их несоблюдение — в ст. 13.11 КоАП. Роскомнадзор, кроме того, рассматривает обращения граждан о том, соответствуют ли данные и способы их обработки заявленным целям (ч. 2 ст. 23 152-ФЗ).

Положение № 1046 распределяет деятельность операторов по пяти категориям риска: высокий, значительный, средний, умеренный и низкий. Категория зависит от «тяжести» обработки (объём базы, специальные категории данных, иностранные сервисы) и от истории нарушений.

Плановые проверки и мораторий: что действует в 2026 году

Ограничения на плановые проверки ввело постановление № 336 в 2022 году, и в 2026 году они продолжают действовать. Пункт 11(3) постановления в действующей редакции устанавливает: до 1 января 2030 года в планы включаются только мероприятия в отношении объектов контроля, отнесённых к категориям чрезвычайно высокого и высокого риска.

Для операторов персональных данных это означает простую вещь. Если ваш сайт не отнесён к высокой категории риска, в годовой план проверок он не попадёт. Для объектов низкого риска положение № 1046 плановые мероприятия вообще не предусматривает.

Проверить, включена ли организация в план или есть ли по ней мероприятия, можно в Едином реестре контрольных (надзорных) мероприятий на proverki.gov.ru по ИНН.

Отсутствие плановой проверки не означает отсутствие контроля. Большая часть работы по сайтам идёт другими инструментами — о них ниже.

Контроль без взаимодействия: как Роскомнадзор смотрит на сайт со стороны

248-ФЗ выделяет два вида контрольных мероприятий без взаимодействия с проверяемым: наблюдение за соблюдением обязательных требований и выездное обследование (ч. 3 ст. 56). Для сайтов главное — первое.

Что такое наблюдение за соблюдением обязательных требований

По ч. 1 ст. 74 248-ФЗ наблюдение — это сбор и анализ данных об объекте контроля, в том числе данных из сети «Интернет» и иных общедоступных источников. Положение № 1046 (п. 59) называет две формы: наблюдение при размещении информации в интернете и анализ информации о деятельности контролируемого лица.

На практике это значит, что инспектору не нужно приезжать в офис, чтобы увидеть форму без согласия, отсутствие политики или счётчик, который стартует до выбора в баннере. Всё это видно любому посетителю. Владелец сайта о таком наблюдении может не узнать, пока не получит его результат.

Чем заканчивается наблюдение

Если в ходе наблюдения найдены признаки нарушений, ч. 3 ст. 74 248-ФЗ допускает несколько решений:

1. провести внеплановое контрольное мероприятие;
2. объявить предостережение;
3. выдать предписание — только если такую возможность прямо предусматривает закон о виде контроля.

Чаще всего владелец сайта сталкивается с первыми двумя вариантами.

Индикатор риска: расхождение уведомления и сайта

Отдельный повод для внимания — индикаторы риска, утверждённые Минцифры. С ноября 2023 года (приказ от 17.08.2023 № 720) в перечень входит установление трёх и более фактов несоответствия между сведениями в уведомлении оператора и информацией на его сайте. Выявление индикатора риска — самостоятельное основание для внепланового мероприятия (п. 7 ч. 1 ст. 57 248-ФЗ).

Проще говоря: если в уведомлении указаны одни цели и данные, а в политике на сайте — другие, это заметно без всякого запроса документов.

Внеплановые проверки: жалобы и другие поводы

Основания для контрольных мероприятий перечислены в ч. 1 ст. 57 248-ФЗ. Для владельца сайта практическое значение имеют:

• сведения о причинении вреда или угрозе вреда — сюда относятся и жалобы граждан;
• выявление индикатора риска;
• поручение Президента или Правительства;
• требование прокурора;
• истечение срока исполнения ранее выданного решения об устранении нарушения.

Внеплановые мероприятия с взаимодействием по общему правилу проводятся после согласования с органами прокуратуры (ст. 66 248-ФЗ). Для контроля за персональными данными положение № 1046 (п. 42) предусматривает три таких мероприятия: инспекционный визит, документарную проверку и выездную проверку.

Как жалоба превращается в проверку

Типичная цепочка выглядит так. Посетитель получил рекламную рассылку, на которую не подписывался, или не смог отозвать согласие, и написал в Роскомнадзор. Ведомство рассматривает обращение, сопоставляет его с тем, что видно на сайте, и решает, достаточно ли предостережения или нужна проверка.

Поэтому самые чувствительные для жалоб места сайта — рассылки, отзыв согласия и ответы на запросы людей. По 152-ФЗ на запрос субъекта оператор отвечает в течение 10 рабочих дней (с возможным продлением на 5), а отозванное согласие означает прекращение обработки и уничтожение данных не позднее 30 дней.

Профилактика и предостережение

Положение № 1046 (п. 13) предусматривает пять профилактических мероприятий: информирование, обобщение правоприменительной практики, объявление предостережения, консультирование и профилактический визит. Профилактика не заканчивается штрафом — её цель предупредить нарушение.

Что содержит предостережение

Предостережение объявляют, когда у ведомства есть сведения о готовящихся нарушениях или признаках нарушений, но нет подтверждения причинённого вреда (ч. 1 ст. 49 248-ФЗ). В нём указывают, какие обязательные требования затронуты и какие действия могут к нарушению привести.

При этом предостережение не может содержать требование представить документы или сроки устранения (ч. 2 ст. 49). Это рекомендация, а не приказ. Но объявленные предостережения ведомство учитывает при планировании дальнейших мероприятий (ч. 5 ст. 49), так что игнорировать его не стоит.

Возражение на предостережение

Если вы не согласны с предостережением, возражение можно подать в течение 10 рабочих дней со дня получения (п. 20 положения № 1046). Возражение имеет смысл, когда в предостережении ошибка по существу: например, указана форма, которой на сайте уже нет, или сервис, который вы не используете.

Проверка сайта Роскомнадзором на персональные данные: что видно первым

Всё, что проверяющий может увидеть без запроса документов, логично привести в порядок в первую очередь. Это те же пункты, которые видит любой посетитель:

Все суммы — возможные штрафы по ст. 13.11 КоАП в действующей редакции. Конкретная часть статьи и размер зависят от обстоятельств и решает их не автоматическая проверка, а уполномоченный орган и суд.

Понять, какие из этих признаков риска есть у вас, можно бесплатной проверкой сайта — она смотрит на страницы так же, как посетитель из России, в трёх сценариях работы баннера.

Какие документы запрашивает Роскомнадзор

Роскомнадзор вправе запрашивать у операторов информацию, необходимую для своих полномочий, и проверять сведения из уведомления (п. 1–2 ч. 3 ст. 23 152-ФЗ). На запрос ведомства оператор отвечает в течение 10 рабочих дней с даты получения; срок можно продлить максимум на 5 рабочих дней, направив мотивированное уведомление (ч. 4 ст. 20).

Десять рабочих дней — мало, если документы придётся писать с нуля. Лучше держать готовыми:

• уведомление об обработке и его актуальные изменения;
• политику обработки ПДн и локальные акты по ст. 18.1;
• приказ о назначении ответственного за организацию обработки;
• тексты согласий по каждой форме и выгрузку журнала согласий;
• договоры с подрядчиками, которым поручена обработка (CRM, рассылка, колл-центр);
• оценку вреда по приказу Роскомнадзора № 178 и определение уровня защищённости по ПП № 1119;
• акты уничтожения данных по приказу № 179;
• описание мер защиты по ст. 19 152-ФЗ.

Пошаговый порядок подготовки этих документов и настройки сайта описан в руководстве как привести сайт в соответствие с 152-ФЗ.

Как подготовиться к проверке Роскомнадзора

Подготовка сводится к тому, чтобы сайт, уведомление и внутренние документы рассказывали одну и ту же историю. План на один-две недели:

1. Сверьте уведомление с сайтом. Цели, перечень данных, сервисы и адрес в реестре на pd.rkn.gov.ru должны совпадать с политикой. Если что-то изменилось, подайте информационное письмо — не позднее 15-го числа следующего месяца. Черновик поможет подготовить мастер уведомления.
2. Уберите внешние признаки риска. Согласие в формах, баннер с равноценным отказом, счётчики только после согласия, российский хостинг.
3. Соберите папку документов из списка выше и проверьте даты: устаревший приказ об ответственном вызывает вопросы.
4. Назначьте, кто отвечает на запросы. Письмо Роскомнадзора может прийти на юридический адрес или по электронным каналам — важно не пропустить срок.
5. Проверьте процессы для людей. Отзыв согласия, отписка от рассылки и ответ на запрос должны работать на деле, а не только в тексте политики.

Если документов нет совсем, быстрее заказать пакет документов с юристом, чем собирать его под давлением срока.

Что делать, если пришло предостережение или запрос

Порядок действий зависит от того, что именно вы получили.

Предостережение. Прочитайте, какие требования в нём указаны, и сверьте с сайтом. Если признак риска подтвердился — устраните его и сохраните доказательства: скриншоты, даты публикации документов, выгрузку журнала согласий. Если предостережение основано на ошибке — подайте возражение в течение 10 рабочих дней.

Запрос информации. Отметьте дату получения: от неё отсчитываются 10 рабочих дней. Отвечайте по существу вопросов и прикладывайте документы, которые действительно описывают вашу обработку. Если не успеваете — до истечения срока направьте мотивированное уведомление о продлении.

Требование уточнить, заблокировать или уничтожить данные. Такое право у Роскомнадзора есть (п. 3 ч. 3 ст. 23 152-ФЗ). Невыполнение законного требования — признак риска по ч. 5 ст. 13.11 КоАП (для юрлиц 50–90 тыс. рублей).

Уведомление о проверке. Изучите решение о проведении мероприятия: вид, срок, перечень требований. Подготовьте ответственного, который знает, где лежат документы и как устроен сайт.

В любом из случаев первым делом посмотрите на сайт глазами проверяющего. Пример того, как выглядит внешний отчёт с признаками риска по страницам, есть в демо-отчёте.

Источники

• Федеральный закон от 31.07.2020 № 248-ФЗ «О государственном контроле (надзоре) и муниципальном контроле в Российской Федерации»
• 248-ФЗ, ст. 74 «Наблюдение за соблюдением обязательных требований»
• 248-ФЗ, ст. 49 «Объявление предостережения»
• Постановление Правительства РФ от 29.06.2021 № 1046 «О федеральном государственном контроле (надзоре) за обработкой персональных данных»
• Постановление Правительства РФ от 10.03.2022 № 336 «Об особенностях организации и осуществления государственного контроля (надзора), муниципального контроля»
• Приказ Минцифры России от 17.08.2023 № 720 (индикатор риска)
• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»
• Кодекс РФ об административных правонарушениях, ст. 13.11
• Портал персональных данных Роскомнадзора
• Роскомнадзор: раздел «Персональные данные»