Проверки Роскомнадзора - тема, вокруг которой скопилось много домыслов и обрывочных советов. Одни владельцы сайтов считают, что проверка грозит только крупному бизнесу, другие уверены, что достаточно разместить любую политику конфиденциальности "для галочки". Собрали ответы на вопросы, которые чаще всего задают операторы персональных данных - от небольших интернет-магазинов до сайтов услуг.
Коротко
- Роскомнадзор проверяет операторов персональных данных на соответствие 152-ФЗ, включая обработку данных на сайте.
- Формальное наличие политики конфиденциальности не защищает от претензий, если содержание документа не соответствует требованиям.
- Основные точки риска - согласие на обработку, куки-баннеры, формы захвата заявок и передача данных подрядчикам.
- С 30.05.2025 действуют оборотные штрафы за повторные и отдельные категории нарушений по ст. 13.11 КоАП.
- Часть вопросов можно снять самостоятельно, если заранее свести документы и настройки сайта к требованиям закона.
Кто и почему становится объектом внимания
Оператором персональных данных признаётся практически любой владелец сайта, который собирает имя, телефон, e-mail или иные данные посетителей - через форму обратной связи, заказ, регистрацию или подписку. Понятие оператора закреплено в 152-ФЗ, и оно не зависит от масштаба бизнеса или количества обращений.
Внимание к сайту может возникнуть по разным причинам: обращение субъекта персональных данных, плановая проверка, реакция на утечку у контрагента или отраслевой мониторинг. Наличие обращения не означает автоматического нарушения - но означает, что документы и настройки сайта должны быть готовы подтвердить законность обработки.
Что чаще всего запрашивают и проверяют
Как правило, внимание уделяется базовому набору: наличию и содержанию согласия на обработку персональных данных, политике конфиденциальности, целям и правовым основаниям обработки, а также фактической реализации этих документов на сайте - работают ли формы так, как описано в политике.
| Что проверяется | На что обращают внимание |
|---|---|
| Согласие на обработку | Конкретность, информированность, отсутствие отметки по умолчанию |
| Политика конфиденциальности | Соответствие целям обработки и фактическим формам на сайте |
| Правовые основания (ст. 6) | Указано ли основание для каждой цели обработки |
| Трансграничная передача (ст. 12) | Уведомление Роскомнадзора при передаче данных за рубеж |
| Права субъектов (ст. 20-22.1) | Есть ли реальный механизм ответа на запросы пользователей |
Отдельно стоит помнить про уведомление об обработке персональных данных - его подача и актуализация сведений в реестре операторов регулируется ст. 22 и 22.1 152-ФЗ.
Типичные нарушения и последствия
Большинство претензий связано не с злым умыслом, а с тем, что сайт менялся быстрее, чем документы. Форма получила новое поле, подключился новый сервис аналитики или рассылки, а согласие и политика остались прежними.
| Нарушение | Норма КоАП |
|---|---|
| Обработка без законных оснований или без согласия | ч. 1 ст. 13.11 |
| Невыполнение обязанности по опубликованию политики | ч. 2 ст. 13.11 |
| Отсутствие уведомления об обработке (реестр операторов) | ч. 2.1 ст. 13.11 |
| Отдельные нарушения при трансграничной передаче | ч. 3.2 ст. 13.11 |
| Повторные и квалифицированные нарушения | ч. 8, ч. 9 ст. 13.11 |
С 30.05.2025 для ряда составов действуют оборотные штрафы, которые рассчитываются от выручки компании, а не фиксированной суммой. Это заметно повышает цену ошибки для организаций с существенным оборотом, даже если само нарушение выглядит технически незначительным.
Как обычно строится взаимодействие
Порядок и сроки конкретных проверочных мероприятий определяются законодательством о государственном контроле и могут отличаться в зависимости от вида проверки, поэтому здесь мы намеренно не приводим детальные процессуальные сроки - их стоит уточнять применительно к конкретной ситуации. В общих чертах оператору направляется запрос сведений и документов, по итогам анализа может быть выдано предписание об устранении нарушений либо составлен протокол об административном правонарушении.
Если предписание получено, важно не игнорировать его и не откладывать исполнение - невыполнение предписания само по себе создаёт дополнительный риск, отдельный от исходного нарушения.
Что проверить у себя на сайте
- Есть ли на сайте согласие на обработку персональных данных, оформленное отдельным действием, а не автоматической галочкой.
- Соответствует ли текст политики конфиденциальности реальным целям и способам обработки данных.
- Указаны ли правовые основания обработки для каждой цели, а не общая формулировка "в соответствии с законом".
- Работает ли куки-баннер и описаны ли используемые счётчики и пиксели в политике.
- Актуальны ли сведения в уведомлении об обработке персональных данных, если оно подавалось.
- Есть ли механизм для обращений субъектов данных - отзыв согласия, запрос на удаление или уточнение данных.
- Проверены ли договоры с подрядчиками, которые имеют доступ к данным пользователей сайта (хостинг, CRM, рассылки, аналитика).
- Не хранятся ли данные дольше, чем это оправдано целью обработки.
Проверить часть этих пунктов удобно с помощью готового чек-листа документов, который собирает основные требования в одном месте - см. раздел с документами. Если нужен более предметный разбор конкретного сайта, можно пройти форму аудита и получить структурированный список замечаний.
Частые вопросы
Проверяют ли небольшие сайты и ИП?
Да. Статус оператора персональных данных не зависит от размера бизнеса или организационно-правовой формы. Если сайт собирает имя, телефон или e-mail хотя бы через одну форму, требования 152-ФЗ распространяются на него так же, как на крупную компанию.
Достаточно ли скопировать чужую политику конфиденциальности?
Формально документ появится на сайте, но содержательно он может не соответствовать реальным целям и способам обработки данных именно на вашем сайте. При расхождении между текстом политики и фактической работой форм это само по себе становится основанием для претензий.
Что будет, если просто игнорировать запрос Роскомнадзора?
Игнорирование запроса не устраняет исходный вопрос, а добавляет к нему процессуальный - непредставление сведений рассматривается отдельно от содержательного нарушения и увеличивает объём последующих разбирательств.
Нужно ли отдельное согласие на использование куки?
Куки, которые используются для сбора данных о пользователе (аналитика, реклама, персонализация), как правило, требуют информирования пользователя и получения согласия по тем же принципам, что и другие персональные данные, обрабатываемые через сайт.
Обязательно ли подавать уведомление об обработке персональных данных?
Обязанность подачи уведомления и порядок ведения реестра операторов установлены ст. 22 и 22.1 152-ФЗ. Есть отдельные случаи, когда уведомление не требуется, но по умолчанию стоит исходить из того, что сведения нужно подавать и поддерживать в актуальном состоянии.
Как штрафы изменились в 2025 году?
С 30.05.2025 для ряда составов ст. 13.11 КоАП введены оборотные штрафы, привязанные к выручке компании, а не к фиксированной сумме. Это касается прежде всего повторных нарушений и отдельных квалифицированных составов - подробности стоит смотреть по конкретной части статьи, применимой к вашей ситуации.
Можно ли исправить нарушения до того, как они станут проблемой?
Да, и это самый спокойный сценарий. Большинство типичных нарушений - устаревшая политика, некорректное согласие, отсутствие уведомления - можно устранить самостоятельно, если заранее свести документы сайта к требованиям закона, не дожидаясь внешнего запроса.
Кто отвечает, если данные обрабатывает подрядчик - хостинг или CRM-сервис?
Ответственность оператора персональных данных не снимается тем, что часть операций технически выполняет подрядчик. Важно, чтобы отношения с такими подрядчиками были оформлены договором, учитывающим требования 152-ФЗ, включая условия о трансграничной передаче, если сервер находится за рубежом.
Спокойнее всего проходят проверку те сайты, где документы и фактическая работа форм не расходятся между собой - без сложных формулировок и лишних процедур.
Если после чтения остались вопросы по конкретной ситуации на вашем сайте, можно спокойно свериться с чек-листом документов или пройти форму аудита - это не займёт много времени и поможет понять, на что стоит обратить внимание в первую очередь.