Требование Роскомнадзора к сайту: 4 настоящих письма и 2 подделки

Коротко о главном

Требование Роскомнадзора — это письмо территориального управления, в котором перечислены нарушения закона о персональных данных и сказано, что с ними сделать. Чаще всего его присылают после того, как инспектор сам посмотрел сайт, без визита и без звонка. На ответ закон даёт 10 рабочих дней с момента получения запроса, а точный срок обычно написан в самом письме. Если промолчать или ничего не исправить, дальше возможны протокол и штраф: например, за неподанное уведомление ИП платит от 100 000 до 300 000 ₽.

Нарушения в письмах повторяются: политика без сроков хранения, нет уведомления в Роскомнадзор, Яндекс.Метрика работает без согласия, согласие под формой собрано неправильно. Часто это следы шаблонных документов, которые поставили вместе с сайтом.

Как Роскомнадзор проверяет сайты и откуда берутся требования

Почти все письма, которые нам присылают, начинаются одинаково: управление Роскомнадзора провело «контрольное (надзорное) мероприятие без взаимодействия с контролируемым лицом». Так сейчас выглядит проверка сайта Роскомнадзором: к владельцу никто не приходит и ничего у него не запрашивает. Инспектор открыл сайт, посмотрел формы, политику, cookie-баннер, сверил ИНН с реестром операторов и написал письмо.

Основание у таких мероприятий одно — пункты 58–61 Положения о федеральном государственном контроле за обработкой персональных данных, утверждённого постановлением Правительства № 1046. Пункт 58 прямо разрешает проводить их «с использованием информационных систем» ведомства. По итогам управление либо присылает письмо с требованием прекратить обработку или уничтожить данные, либо требует уточнить, заблокировать или уничтожить данные в течение 10 рабочих дней (вместо этого можно дать мотивированные пояснения), либо объявляет предостережение. Мораторий на плановые проверки на такие мероприятия не распространяется.

Проверяют не всех подряд, а по категориям. В брянском письме прямо написано, в отношении кого шла проверка: «Организации, оказывающие услуги парикмахерских и салонов красоты». То есть управление брало целую отрасль своего региона и проходило по сайтам. В астраханском приложении к требованию на скриншотах сайта стоит штамп «Скриншот сделан с помощью АС ОББИ 03.06.2026». Что это за система, Роскомнадзор публично не расшифровывает, но по штампу видно, что скриншоты делала программа.

Масштаб виден по отчёту самого Роскомнадзора за 2025 год. Управления провели 4 296 мероприятий без взаимодействия, проанализировали 22 896 сайтов и нашли нарушения на 17 058 из них. Операторам направили 16 692 требования, 89 % исполнили, по неисполненным составили 384 протокола.

Поэтому довод «у меня маленький бизнес, кому я нужен» больше не работает. Письмо получает тот, у кого на сайте есть форма и нет документов, а размер бизнеса значения не имеет. Как устроен легальный сайт целиком, я разбирал в статье «Легальный сайт в 2026 году». Здесь — что происходит, когда письмо уже пришло.

Какие письма присылает Роскомнадзор

Не каждое письмо из Роскомнадзора означает одно и то же. От вида письма зависят срок и то, что нужно сделать.

Четыре настоящих письма ниже — это требования и одно уточнение уведомления.

Письмо 1. Брянск: проверяли салоны красоты

Реквизиты: Управление Роскомнадзора по Брянской области, требование об устранении выявленных нарушений от 02.03.2026. Мероприятие без взаимодействия шло с 20 по 24 февраля 2026 года. Получатель — ИП, сайт салона.

Открыть

Инспектор нашёл на сайте три нарушения.

1. В политике нет срока обработки персональных данных. Управление ссылается на ч. 4 ст. 21 закона № 152-ФЗ: когда цель обработки достигнута, данные нужно уничтожить в течение 30 дней, если договор с человеком не предусматривает другое. Если в политике не написано, сколько вы храните заявки и что с ними потом делаете, документ этой норме не соответствует.
2. Уведомление в Роскомнадзор не подано. «По состоянию на 02.03.2026 уведомление… не поступало». Оператор обязан уведомить Роскомнадзор до начала обработки (ч. 1 ст. 22 закона).
3. Яндекс.Метрика работает без согласия. Управление пишет, что Метрика позволяет определить уникального посетителя и собирать сведения о его поведении, и ссылается на условия самого Яндекса: все данные, которые собирает сервис, Яндекс рассматривает как персональные. Согласия на такую обработку на сайте нет, других оснований тоже.

Чего требуют: дать мотивированные пояснения, устранить нарушения и прислать подтверждающие документы. В конце — напоминание про ст. 19.7 КоАП (непредставление сведений) и ст. 13.11 КоАП (нарушения в области персональных данных).

Из практики

Этому же предпринимателю ещё и звонили «из Роскомнадзора» с предложением помочь. Такие звонки мы считаем мошенническими: настоящее требование — это письмо с номером, датой и ссылками на нормы, а не звонок.

Все три пункта — классика шаблонной политики. Она не знает, сколько вы храните заявки, не знает про вашу Метрику и часто прямо пишет, что уведомлять Роскомнадзор не нужно.

Письмо 2. Астрахань: «нет правовых оснований» и чужой адрес сайта

Реквизиты: Управление Роскомнадзора по Астраханской области, требование от 08.06.2026 по итогам мероприятия без взаимодействия. Получатель — ИП, тату-студия.

Само требование клиентка прислала нам до того, как переписка начала сохраняться в нашей системе, поэтому здесь только фрагмент приложения. В нём тип нарушения — «ч. 1 ст. 6 152-ФЗ — обработка ПДн в отсутствие правовых оснований» и два скриншота сайта: блок контактов и всплывающая форма «Получить бесплатную консультацию».

Открыть

В этом письме меня удивили две вещи.

Первая — в требовании был указан чужой адрес сайта. Письмо явно делали по шаблону. Но отвечать на него всё равно пришлось: требование вручено, срок идёт, и спорить с ним молчанием нельзя.

Вторая — что было дальше. Мы подготовили ответ по существу, а клиентка ещё дважды сама сходила в управление. Ей устно перечислили, что поправить:

• поставить под формой чекбокс согласия со ссылкой на текст согласия;
• убрать из договора формулировку про «посетителей сайта»;
• цель обработки назвать «продвижение услуг, товаров»;
• срок обработки определить достижением целей, для которых собраны данные, и отзывом согласия в любой момент.

Через три дня мы внесли изменения и в уведомление в реестре.

Вывод

Даже если требование составлено небрежно, отвечать нужно по существу. Чужой адрес в собственном письме управление не смутил: его интересовало одно — есть ли у формы на сайте законное основание собирать данные.

Письмо 3. Сахалин: «прекратить обработку» за 10 рабочих дней

Реквизиты: Управление Роскомнадзора по Хабаровскому краю, Сахалинской области и Еврейской автономной области, письмо «О направлении требования» от 11.09.2026. Мероприятие без взаимодействия — с 8 по 10 сентября 2026 года. Получатель — ИП, Сахалинская область.

Открыть

Это самое жёсткое письмо из всех. Брянское управление просило пояснений, а здесь требуют сразу: «прекратить обработку персональных данных, осуществляемую с нарушением требований законодательства». Нарушений три:

1. Избыточный срок обработки в договоре, который пользователь сайта принимает, отправляя заявку. На приложенном скриншоте согласия выделено, что оно действует «всё время до момента» отзыва. Управление считает это несоответствием ч. 4 ст. 21 и принципам ст. 5 закона.
2. Политика без категорий субъектов. Не сказано, чьи данные обрабатываются: клиентов, посетителей сайта, соискателей. Это нарушение п. 2 ч. 1 ст. 18.1.
3. Уведомление неполное. В поданном уведомлении нет для каждой цели категорий данных, категорий субъектов, правового основания, перечня действий и способов обработки. Изменения в уведомление не поданы (ч. 7 ст. 22).

Срок указан прямо: информацию о прекращении нарушений и принятых мерах нужно направить в течение 10 рабочих дней с момента получения требования. Ответ — по электронной почте отдела и обязательно оригиналом по почте. И отдельной строкой: невыполнение требования в срок образует состав по ч. 5 ст. 13.11 КоАП. Строго говоря, ч. 5 говорит о требованиях уточнить, заблокировать или уничтожить данные, а не «прекратить обработку». Но спорить об этом лучше не на стадии протокола.

Из практики

Это требование нам принёс не владелец сайта, а его разработчик. Письмо пришло владелице на почту, и на вопрос «когда?» ответа мы так и не получили. А от даты получения считаются те самые 10 рабочих дней. Если письмо пролежало в почте неделю, половины срока уже нет.

Письмо 4. Хабаровск: уведомление вернули на уточнение

Реквизиты: то же Управление Роскомнадзора по Хабаровскому краю, Сахалинской области и ЕАО, письмо «Об уточнении сведений» от 10.09.2026. Получатель — ИП, уведомление подавали мы.

Открыть

По сути это просьба уточнить уведомление: закон позволяет управлению потребовать уточнения сведений до того, как оператора внесут в реестр (ч. 6 ст. 22). Управление пишет, что в уведомлении не все сведения, которые требует ст. 22 закона: для каждой цели обработки нужно указать категории персональных данных, категории субъектов, правовое основание, перечень действий и способ обработки. Цели нужно перечислять по всем видам деятельности: клиенты, соискатели, контрагенты, их представители. Отдельно попросили поправить описание мер защиты по ст. 18.1 и 19 и подать уведомление заново через портал персональных данных.

Срока и статей КоАП в этом письме нет.

Из практики

Мы подали больше 2 000 таких уведомлений, и это был первый возврат. На следующий день мы переделали уведомление, клиентка подала его повторно. Вывод для тех, кто заполняет уведомление сам: форма на портале примет и пустые поля, а управление потом вернёт.

Ещё одно письмо, августовское, я не показываю: самого документа у нас нет, только пересказ клиентки. Но он очень типичный: «В августе мы получили уведомление от Роскомнадзора, что мы незаконно обрабатываем персональные данные». На сайте была форма, документов и уведомления не было.

Подделки: письма с QR-кодом, «извещения» и звонки

Письмо от Роскомнадзора на почту пугает само по себе, и этим пользуются мошенники. За лето клиенты прислали нам две подделки.

Подделка 1: «Уведомление № НСК…» с QR-кодом (июнь 2026). Шапка и реквизиты центрального аппарата Роскомнадзора скопированы правильно. Дальше: «в ходе автоматического анализа веб-ресурсов… были выявлены нарушения», «назначена административная ответственность», некая «Форма РК-77» и предложение отсканировать QR, чтобы «получить физические документы». QR вёл на страницу под Почту России, где нужно было оплатить «доставку документов Роскомнадзора» банковской картой.

Открыть

Подделка 2: «Извещение об усилении административной ответственности» (июль 2026). Подписано оно «комитетом по информационной и правовой безопасности» из Санкт-Петербурга со своим ИНН и справочным телефоном. К Роскомнадзору этот комитет отношения не имеет. Пересказывает поправки 420-ФЗ про штрафы, предлагает «верификацию» и «комплект справочно-методических материалов без взимания платы» — по кнопке «Запросить материалы».

Открыть

Как отличить настоящее письмо:

Роскомнадзор сам напоминает: официальные письма приходят с адресов на домене rkn.gov.ru и содержат электронную подпись в формате .sig, подлинность которой можно проверить на Госуслугах. Одного адреса мало. В феврале 2026 года подделки рассылали с адреса rsockanc56@mail.ru, похожего на адрес управления, а в 2023 году — даже с адресов на домене rkn.gov.ru, но без подписи. «Комитета информационной и правовой безопасности» при Роскомнадзоре не существует: ведомство опровергало его ещё в декабре 2023 года.

Со звонками то же самое. В августе 2025 года Роскомнадзор отдельно предупредил о звонках «бота Роскомнадзора», который требует подать уведомление и присылает ссылку: «Сотрудники Роскомнадзора не обзванивают граждан, не отправляют ссылки и не запрашивают персональные данные». Свой статус в реестре операторов лучше проверить самому на портале персональных данных.

Важно

Ничего не оплачивайте и не вводите коды по ссылкам из таких писем. Если сомневаетесь, найдите телефон своего управления на сайте rkn.gov.ru и позвоните сами, а не по номеру из письма.

Что повторяется в письмах

Если сложить все письма, получается короткий список. Почти каждое нарушение — прямое следствие того, что документы сайта взяли из шаблона и не подогнали под реальную обработку.

Ни в одном письме не спрашивают про дизайн, оформление или красоту текста. Смотрят на три вещи — есть ли основание собирать данные, сказано ли честно, что вы с ними делаете, и знает ли о вас Роскомнадзор.

Срок ответа на требование и штрафы в 2026 году

На ответ даётся 10 рабочих дней с момента получения. Столько даёт ч. 4 ст. 20 закона № 152-ФЗ на ответ на запрос Роскомнадзора, и тот же срок стоит в сахалинском требовании. Его можно продлить ещё не больше чем на 5 рабочих дней, если направить в управление мотивированное уведомление с причинами. Отправлять его лучше до того, как срок истёк. В брянском письме срок не указан — ориентируйтесь на те же 10 рабочих дней.

Если не ответить или ответить не по существу, дальше возможен протокол. Штрафы для ИП в 2026 году:

КоАП

По ч. 1 и ч. 2 ст. 13.11 и по ст. 19.7 предприниматель отвечает как должностное лицо, по ч. 3 и ч. 5 для ИП в статье прописаны свои суммы, а по ч. 1.1 и ч. 10 он отвечает как организация (примечание 1 к ст. 13.11). Поэтому за неподанное уведомление ИП платит столько же, сколько ООО. Часть 10 действует с 30 мая 2025 года, её ввёл закон № 420-ФЗ.

Есть и смягчение. Если нарушение совершено впервые, выявлено в ходе госконтроля, не создало вреда или угрозы вреда людям и безопасности и не принесло имущественного ущерба, штраф по ст. 4.1.1 КоАП могут заменить предупреждением. Ст. 13.11 в списке исключений нет. Но это решение управления или суда, а не автоматическое правило.

Срок давности по ст. 13.11 — один год (ст. 4.5 КоАП). Для длящихся нарушений он считается со дня, когда нарушение обнаружили. Относится ли к ним неподанное уведомление, закон прямо не говорит, но рассчитывать, что нарушение «истечёт» само, я бы не стал: пока уведомления нет, оно продолжается.

Подробнее про все штрафы по персональным данным, включая утечки и иски клиентов, — в гайде по 152-ФЗ для ИП и самозанятых.

Как ответить на требование

Управлению нужно увидеть, что нарушения устранены, и получить подтверждение. Порядок у нас такой.

1. Зафиксируйте дату получения. Сохраните письмо, конверт или скриншот почты с датой. От неё считаются 10 рабочих дней.
2. Проверьте, что письмо настоящее. Отправитель — управление вашего региона, адрес на rkn.gov.ru, есть подпись .sig, номер и дата, ссылки на нормы 152-ФЗ. Денег не просят.
3. Разберите каждый пункт. На каждое нарушение в ответе должен быть свой абзац: что было, что исправили, где это видно.
4. Сначала исправьте сайт и документы, потом пишите. Новая политика с вашими реальными целями, сроками и сервисами; согласие под каждой формой отдельным чекбоксом без галочки по умолчанию; cookie-баннер, при котором Метрика не запускается до согласия; уведомление в реестре или уведомление об изменении сведений, если вы в реестре уже есть.
5. Приложите доказательства. Ссылки и скриншоты новых документов и форм, номер уведомления в реестре, текст согласия.
6. Отправьте тем способом, который указан в письме, и сохраните подтверждение отправки. Если просят досыл оригинала почтой — отправьте заказным.
7. Не ограничивайтесь ответом. Если управление увидит, что на сайте всё осталось как было, ответ не поможет.

Шаблон ответа на требование Роскомнадзора из интернета здесь работает так же плохо, как шаблон политики: управление написало про ваш сайт и ждёт ответа про ваш сайт.

Как составить ответ: структура письма

Готового образца ответа на требование Роскомнадзора, который подойдёт всем, нет: ответ пишется на конкретные пункты конкретного письма. Но скелет у хорошего ответа один.

1. Шапка. Кому: название управления из письма и его адрес. От кого: имя ИП или название компании, ИНН, ОГРНИП или ОГРН, адрес, телефон и почта для связи.
2. Ссылка на письмо. «На № … от …» — номер и дата требования.
3. Ответ по каждому пункту в том же порядке, что в требовании: что именно нашли, что вы изменили, где это теперь видно (адрес страницы, раздел политики, номер уведомления).
4. Если нарушения нет — мотивированные пояснения: на каком основании вы обрабатываете данные и почему считаете, что закон не нарушен. Со ссылками на нормы.
5. Приложения. Новая политика и согласия, скриншоты форм и cookie-баннера, подтверждение подачи уведомления.
6. Дата и подпись. Отправить способом, который указан в письме, и сохранить подтверждение.

Если ответ готовим мы, то сначала исправляем сайт и документы и только потом пишем письмо. Так в ответе есть что показать.

История со студией: сделали по шаблону, исправить — за доплату

Теперь история, ради которой я во многом и сел за эту статью. Она не про Роскомнадзор, но объясняет, откуда берутся все эти письма.

Предприниматель заказала у веб-студии одностраничный сайт. Политику конфиденциальности студия поставила свою, «стандартный модуль». В этой политике был пункт, что уведомлять Роскомнадзор не нужно: со ссылкой на подпункт 2 пункта 2 статьи 22 закона, который утратил силу ещё 1 сентября 2022 года. Метрику на сайт тоже поставила студия, а cookie-баннер был с одной кнопкой «Согласиться» и формулировкой «Продолжая пользоваться сайтом, вы соглашаетесь».

Летом клиентка сама заметила, что на других сайтах есть кнопка отказа от cookie, и спросила студию. Ответ в мессенджере: «Добавить выбор будет через платную доработку — 3 000 рублей». Она возразила: «Это недоработка. У человека всегда должен быть выбор». Студия объяснила, что это доработка, потому что плашка автоматическая и менять её нужно в коде.

В конце августа клиентка отправила студии письменную претензию: баннер не даёт отказаться, отказ блокирует отправку заявок, Метрика работает без согласия, политика — шаблон с «Администрацией сайта» вместо оператора и с ложным пунктом про уведомление. Попросила исправить бесплатно.

Открыть

Ответ студии стоит прочитать целиком.

Открыть

Что в нём сказано:

Последняя строка — главная. В договоре-оферте студии есть пункт: «За несоответствие сайта действующему законодательству Заказчик несет самостоятельную ответственность, которая не может быть возложена на Исполнителя». И ещё один: заказчик «обязуется самостоятельно отслеживать изменения действующего законодательства и анализировать принадлежащий ему сайт на предмет его соответствия».

То есть студия ставит юридические документы, но заранее записала, что за них не отвечает. Когда клиентка попросила привести сайт в соответствие с законом, ей назвали цену — 6 000 рублей за политику, 3 000 за модуль cookie и по 3 000 за каждый баннер.

Из практики

После этого клиентка пришла к нам. Мы сделали ей политику, согласия, политику cookie и оферту под её реальную работу, а студия всё разместила. По словам клиентки, разработчики сказали ей, что она первая, кто размещает политику по правилам. Она посмотрела их собственный сайт: там всё так же, как было у неё.

Я специально проверил: на сайте студии та же политика с «Администрацией сайта» без имени и ИНН, та же ссылка на отменённую норму, баннер «Продолжая пользоваться сайтом» с одной кнопкой «Ok», и при этом стоят Яндекс.Метрика и Google Analytics, о которых в политике ни слова. В реестре операторов студия есть — в этом к ней претензий нет.

Справедливости ради: в одном пункте студия, скорее всего, права. Закон о защите прав потребителей на этот заказ, скорее всего, не распространяется: сайт сделан для предпринимательской деятельности, даже если договор оформлен на физлицо. Студию и клиентку я не называю. Дело не в одной компании: когда мы предлагаем студиям партнёрство, ответ «мы всё делаем по шаблонам» слышим постоянно.

Кто отвечает за документы сайта

Оператор персональных данных — владелец сайта. Требование Роскомнадзора придёт ему, протокол составят на него, штраф заплатит он. Студия, фрилансер, конструктор сайтов или нейросеть, которая «сгенерировала политику», отвечают перед вами только в том объёме, который записан в договоре. А там чаще всего записано, что не отвечают.

Отсюда моё простое правило. Документы, от которых зависит, будет ли у вас требование и штраф, должен делать тот, кто за них отвечает. Мы отвечаем за документы, которые отдаём клиентам.

Мы сами делаем сайты, и юридическую часть смотрим в первую очередь, а не в конце. Ещё до дизайна разбираемся, какие данные будет собирать сайт и куда они уйдут: формы заявок, онлайн-запись, Метрика, чат, CRM. Под это сразу готовим политику обработки персональных данных, согласия под каждой формой, политику cookie и текст баннера, оферту, если сайт продаёт, и уведомление в Роскомнадзор. Всё, что управления нашли в письмах выше, мы проверяем до запуска сайта, а не после письма.

Что мы делаем:

• Документы для работающего сайта. Политика, согласия, политика cookie, оферта под вашу реальную обработку данных, уведомление в Роскомнадзор, пояснительная записка — что и куда поставить. Пакет «Легальный сайт» — от 14 000 ₽.
• Сайт под ключ сразу с документами. Если сайта ещё нет или старый проще переделать — делаем сайт под ключ: спрос в поиске, структура и документы по 152-ФЗ с самого начала, документы входят в состав работ.
• Разбор требования. Если письмо уже пришло, разберём его по пунктам, исправим документы и подготовим ответ в срок.

Чем опасен «сайт за три дня» не только юридически, но и для заявок, я писал в статье «Сайт для бизнеса в 2026 году».

Чего из этих писем не следует

• Требование — ещё не штраф. Там, где мы знаем развязку, клиенты исправили нарушения, ответили, и до протокола не дошло.
• Не каждое письмо — требование. Хабаровское письмо — просьба уточнить уведомление, срока и угрозы штрафом в нём нет. Письма с QR-кодами и «извещения комитетов» — вообще не от Роскомнадзора.
• Четыре письма — не статистика. Это то, что прислали нам клиенты. Общая картина — в отчёте Роскомнадзора за 2025 год: из 16 692 требований операторы исполнили 89 %, протоколов по неисполненным было 384. Протоколы составили по 384 неисполненным требованиям — то есть у тех, кто не ответил или ничего не исправил.
• Роскомнадзор пишет не только про персональные данные. Весной клиент получил от пермского управления определение об истребовании сведений по шести рекламным постам без маркировки — срок там был 3 дня. Это другая тема, про неё — в статье о маркировке рекламы в интернете.
• Исправленный сайт не гарантирует, что письма не будет. Он гарантирует, что на письмо будет что ответить.

Чек-лист: что проверить на сайте до письма

Пройдитесь по списку. Каждое «нет» — пункт из настоящих требований выше.

• В политике назван оператор: имя ИП или название компании, ИНН, адрес, контакт для обращений. Не «Администрация сайта».
• В политике есть цели, категории данных, категории субъектов (клиенты, посетители, соискатели), сроки хранения и порядок уничтожения.
• В политике нет фразы, что уведомлять Роскомнадзор не нужно, и нет ссылок на пункты 1–6 ч. 2 ст. 22.
• Под каждой формой — отдельный чекбокс согласия без галочки по умолчанию и ссылка на текст согласия.
• Cookie-баннер даёт отказаться, а Метрика не запускается до согласия.
• Вы есть в реестре операторов по своему ИНН, и цели в уведомлении совпадают с тем, что делает сайт.
• Вы знаете, на какую почту придёт письмо, и кто-то её читает.

Быстрее всего проверить первые пункты нашим бесплатным сканером сайта: он смотрит политику, согласия, оферту, реквизиты и сверяет ИНН с реестром Роскомнадзора. Это первичная проверка, не юридическое заключение, но пробелы она показывает за минуту.

Частые вопросы

Что делать, если пришло требование Роскомнадзора?

Зафиксировать дату получения, убедиться, что письмо от управления вашего региона, исправить на сайте и в документах каждое нарушение из письма и в срок отправить ответ с подтверждениями. Если не уверены, что исправили правильно, лучше отдать письмо специалисту в первые же дни, а не на девятый.

Сколько дней даётся на ответ на требование Роскомнадзора?

10 рабочих дней с момента получения — это срок ч. 4 ст. 20 закона № 152-ФЗ на ответ на запрос Роскомнадзора, и он же стоял в сахалинском требовании. Срок можно продлить не больше чем на 5 рабочих дней, если отправить в управление мотивированное уведомление с причинами. Если в письме указан свой срок, ориентируйтесь на него.

Можно ли не отвечать на требование Роскомнадзора?

Нельзя. В требованиях управления предупреждают про ст. 19.7 КоАП (непредставление сведений), а в сахалинском — ещё и про ч. 5 ст. 13.11 КоАП (невыполнение требования). Кроме того, сами нарушения, которые нашли на сайте, никуда не денутся, а за них штрафы больше: за неподанное уведомление — до 300 000 ₽.

Как проверить, что письмо от Роскомнадзора настоящее?

Настоящее требование присылает территориальное управление вашего региона, с адреса на домене rkn.gov.ru, с электронной подписью .sig, номером, датой, ссылками на конкретные нормы 152-ФЗ и без просьб что-то оплатить. Подпись можно проверить на Госуслугах. Если в письме QR-код, кнопка «запросить материалы» или оплата «доставки документов» — это мошенники. Позвоните в управление по телефону с сайта rkn.gov.ru.

Какой штраф, если не подать уведомление в Роскомнадзор?

Для ИП — от 100 000 до 300 000 ₽ по ч. 10 ст. 13.11 КоАП, столько же, сколько для организаций. Эта часть действует с 30 мая 2025 года. Срок давности по ст. 13.11 — один год.

Почему Роскомнадзор считает Яндекс.Метрику персональными данными?

Управления ссылаются на то, что Метрика определяет уникального посетителя и собирает сведения о его поведении, а сам Яндекс в условиях сервиса рассматривает все собираемые данные как персональные. Поэтому на её работу нужно согласие посетителя или другое законное основание. Центральный аппарат Роскомнадзора придерживается той же позиции: в письме от 26.06.2024 № 08-242780 сказано, что использование метрических программ указывает на обработку персональных данных и требует информировать пользователя и получить согласие. Это ответ ведомства на обращение, а не норма закона, но позицию Роскомнадзора он показывает ясно.

Как проходит проверка сайта Роскомнадзором?

Чаще всего без вашего участия. Управление проводит мероприятие без взаимодействия: инспектор открывает сайт, смотрит формы, политику, согласия и cookie-баннер, сверяет ИНН с реестром операторов и, если находит нарушения, присылает требование или объявляет предостережение. О самой проверке вы узнаёте из письма.

Что делать, если требование пришло по ошибке?

Ответить всё равно нужно и в срок. По требованию уточнить, заблокировать или уничтожить данные Положение № 1046 прямо позволяет вместо исполнения дать мотивированные пояснения по существу, а на любое другое требование тоже стоит ответить пояснениями, а не молчанием. Объясните, почему нарушения нет, и приложите подтверждения. Так было в астраханском письме, где управление перепутало адрес сайта: ответ по существу понадобился всё равно.

Действует ли мораторий на проверки Роскомнадзора в 2026 году?

Да, но на плановые проверки: по постановлению Правительства № 336 они проводятся только для объектов высокого и чрезвычайно высокого риска. Мероприятия без взаимодействия, по итогам которых приходят требования, мораторий не останавливает: за 2025 год их было 4 296.

Как проверить себя в реестре операторов персональных данных?

На портале персональных данных Роскомнадзора, в разделе «Реестр операторов», поиск по ИНН. Если вас там нет, а на сайте есть форма заявки, это первое, что найдёт инспектор.

Звонят из Роскомнадзора — это мошенники?

Почти наверняка. Роскомнадзор прямо пишет, что его сотрудники не обзванивают граждан, не отправляют ссылки и не запрашивают персональные данные. Настоящее требование приходит письмом от управления вашего региона.

Студия сделала мне политику по шаблону. Она отвечает за штраф?

Скорее всего, нет. Перед Роскомнадзором отвечает владелец сайта как оператор. Ответственность студии перед вами определяет договор, а в договорах студий обычно прямо написано, что за соответствие сайта закону отвечает заказчик. Прочитайте свой договор, прежде чем рассчитывать на студию.

Источники

• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»: ст. 9, ст. 18.1, ст. 20, ст. 21, ст. 22, ст. 23, ст. 23.1
• КоАП РФ: ст. 13.11, ст. 19.7, ст. 4.1.1, ст. 4.5
• Положение о федеральном государственном контроле (надзоре) за обработкой персональных данных, утв. постановлением Правительства РФ от 29.06.2021 № 1046
• Федеральный закон от 30.11.2024 № 420-ФЗ — новые штрафы по ст. 13.11 КоАП с 30.05.2025
• Письмо Роскомнадзора от 26.06.2024 № 08-242780 — о метрических программах
• Обзор правоприменительной практики Роскомнадзора в сфере персональных данных за 2025 год
• Предупреждения Роскомнадзора о поддельных письмах и звонках: 26.02.2026, 07.08.2025, 06.12.2023, 18.01.2023
• Реестр операторов персональных данных

---

Статья носит информационный характер и не заменяет консультацию по вашей ситуации. Нормы и суммы штрафов приведены на октябрь 2026 года. Письма и переписка показаны в обезличенном виде: имена, ИНН, адреса, сайты, номера писем и подписи закрыты.