Требование Роскомнадзора по сайту: как ответить за 10 дней

Срок ответа на требование Роскомнадзора это 10 рабочих дней. Порядок такой: сначала проверить сайт своими глазами по типовым претензиям, потом устранить найденное, и только потом писать ответ. Ответ на непочиненный сайт превращается в следующее требование.

Письмо от Роскомнадзора приходит без предупреждения: обычно на email, указанный в реквизитах или в самой форме сайта, иногда почтой на юридический адрес. Внутри требование предоставить пояснения по обработке персональных данных, срок ответа 10 рабочих дней, и полная тишина о том, что конкретно проверяющий увидел на сайте. Эта статья для владельцев сайтов малого бизнеса, которые получили такое требование и не знают, с чего начать за оставшиеся дни. Разберём, что РКН обычно проверяет без выезда, какие претензии типовые, что реально нужно исправить на сайте и как оформить ответ, чтобы не создать себе новых проблем.

Что такое контрольное мероприятие без взаимодействия

С 2022 года у РКН есть форма проверки, для которой не нужно приезжать к вам в офис и даже не нужно заранее уведомлять о начале: контрольное мероприятие без взаимодействия с контролируемым лицом. Инспектор открывает ваш сайт, как обычный посетитель, смотрит форму заявки, ищет ссылку на политику обработки персональных данных, проверяет наличие чекбокса согласия, иногда сверяет реквизиты оператора с реестром на pd.rkn.gov.ru. Всё это без единого звонка вам.

Если по итогам такого просмотра находятся нарушения, приходит требование предоставить письменные пояснения. Это не штраф сразу и не выезд с проверкой документов, это шанс исправиться и объяснить ситуацию. Именно поэтому важно не игнорировать письмо и не паниковать одновременно: у вас есть ровно 10 рабочих дней, и за это время реально успеть и починить сайт, и написать грамотный ответ.

Само письмо иногда приходит без чёткого номера требования на первой странице документа, если он есть, он обычно указан в сопроводительном письме или в теме email, а не в теле самого приложенного скана. Первым делом найдите этот номер, он понадобится в ответе.

Типовые претензии: что чаще всего находят на сайтах малого бизнеса

По практике разбора таких требований у клиентов, претензии почти всегда укладываются в пять-шесть повторяющихся пунктов.

Форма сбора данных без указанной цели обработки или без правового основания. Форма заявки просто просит имя и телефон, рядом нет ни слова о том, зачем эти данные собираются и на каком основании (часть 1 статьи 6 закона 152-ФЗ требует законное основание для любой обработки).

Нет согласия отдельным документом там, где оно требуется. С 1 сентября 2025 года действует требование части 1 статьи 9 в редакции 156-ФЗ от 24 июня 2025 года: согласие на обработку персональных данных должно оформляться отдельным документом, а не абзацем мелким шрифтом внутри общей политики конфиденциальности. Если на сайте нет отдельного текста согласия и отдельного факта его фиксации (чекбокс со ссылкой на этот документ), это частая находка проверяющего.

Ссылка на политику обработки персональных данных отсутствует или ведёт на 404. Банально, но случается регулярно: страница политики была, потом сайт переезжал или обновлялся, ссылка осталась в футере, а сама страница пропала.

Избыточный или неопределённый срок хранения данных. Часть 4 статьи 21 закона обязывает уничтожать персональные данные по достижении цели обработки. Если в политике написано «данные хранятся неограниченный срок» или срок вообще не указан, это формальное нарушение, даже если реально вы удаляете заявки регулярно.

Оператор не значится в реестре РКН, хотя обязан быть. Проверяется поиском по ИНН на pd.rkn.gov.ru. Если организация обрабатывает персональные данные (а формы на сайте это обработка) и не подавала уведомление по статье 22, это отдельное основание для требования, часто более серьёзное, чем претензии к самому сайту.

Что сделать в первую очередь: проверить сайт своими глазами

Прежде чем что-либо чинить, зафиксируйте текущее состояние сайта: скриншоты формы, скриншот футера со ссылками, исходный код страницы с формой (через «Просмотр кода страницы» в браузере, а не через визуальный осмотр, потому что часть конструкторов, например Tilda, автоматически проставляет чекбокс согласия визуально отмеченным, а в HTML он на самом деле не обязателен или не связан с фактом отправки).

<input type="checkbox" name="agree" data-default-value="y" checked>
<label for="agree">Даю согласие на обработку персональных данных</label>

Смотрите именно на исходный код, а не на картинку в браузере. Если у чекбокса стоит атрибут checked или data-default-value="y" (так делает Tilda для галочек, отмеченных по умолчанию в визуальном редакторе), а атрибута required нет вообще, форма отправится и без реального действия пользователя. С точки зрения закона такое согласие не считается свободно и осознанно выраженным, даже если визуально галочка стоит.

Это критично: инспектор может увидеть форму как обычный пользователь, где чекбокс визуально стоит галочкой, но с точки зрения закона предустановленное согласие не считается свободно выраженным. Заявляя в ответе «у нас на сайте обязательное согласие», вы должны быть уверены, что это правда на уровне кода, а не только на уровне картинки.

Дальше проверьте всё, что перечислено в претензиях РКН выше, по своему сайту: работает ли ссылка на политику, есть ли отдельный документ согласия, указан ли конкретный срок хранения, значится ли организация в реестре. Ничего не чините вслепую по памяти, каждый пункт смотрите на живом сайте прямо сейчас.

Правки на сайте: что нужно успеть до отправки ответа

Порядок действий, который обычно укладывается в 3-5 рабочих дней при наличии готовых шаблонов документов.

Правка	Срочность	Кто делает
Восстановить или добавить ссылку на политику конфиденциальности	Критично, день 1	Разработчик или сам владелец через админку
Добавить обязательный чекбокс согласия к каждой форме сбора данных	Критично, день 1-2	Разработчик
Оформить согласие на обработку ПДн отдельным документом (не частью политики)	Критично, день 1-2	Юрист или готовый шаблон
Указать конкретный срок хранения данных в политике	Важно, день 2-3	Юрист
Проверить и при необходимости подать уведомление в реестр РКН	Важно, день 3-5	Владелец бизнеса или юрист
Удалить или обезличить старые заявки, собранные без надлежащего согласия	Желательно, день 3-5	Разработчик

Отдельно про удаление старых заявок: если форма годами работала без чекбокса согласия, у вас в базе или в почте может годами копиться массив данных, собранных с нарушением. Формально их нужно либо удалить, либо получить согласие постфактум (что на практике почти никогда не реализуемо). Реалистичный шаг, зафиксировать дату, когда вы удалили этот старый массив, это будет ответом на возможный следующий вопрос «а что с уже собранными данными».

Если на сайте есть виджеты обратной связи или похожие формы захвата контактов, проверьте их отдельно, эти виджеты часто ставятся отдельно от основной формы заявки и без чекбокса согласия, потому что подключались другим подрядчиком в другое время.

Общий разбор требований закона применительно к типовому сайту малого бизнеса я собирал в статье 152-ФЗ для сайта малого бизнеса, там же таблица, какие документы обязательны, а какие нет для конкретно вашего случая. Про то, как оформить само согласие отдельным документом технически на сайте, у меня есть отдельный разбор: согласие на обработку персональных данных.

Как оформить ответ: срок, адрес, номер требования

Ответ отправляется на email управления, с которого пришло требование, в течение 10 рабочих дней с момента получения письма (не с даты, указанной в самом документе, если она отличается от фактического получения, эту разницу стоит уточнить, если сомневаетесь).

Структура письма-ответа:

1. Ссылка на номер и дату требования (берётся из сопроводительного письма, если в самом документе номер не пропечатан).
2. Краткое признание или уточнение по каждому пункту претензии отдельно, без общих фраз.
3. Описание того, что уже исправлено, с датой исправления и, если возможно, со ссылкой на страницу.
4. Приложения: скриншоты обновлённой формы, ссылка на страницу политики и согласия, копия уведомления в реестр, если подавали.
5. Контактные данные ответственного за обработку персональных данных в организации.

Пример формулировки по конкретному пункту: «По пункту 2 требования (отсутствие согласия отдельным документом) сообщаем: на дату получения требования на сайте [домен] был реализован сбор согласия в рамках общей политики конфиденциальности. По результатам рассмотрения требования [дата] на сайте размещён отдельный документ ‘Согласие на обработку персональных данных’ по адресу [URL], форма обратной связи дополнена обязательным чекбоксом подтверждения ознакомления с данным документом. Приложение: скриншот формы от [дата].»

Такая формулировка показывает, что вы разобрались в конкретной претензии и исправили именно её, а не выслали общий текст «у нас всё в порядке».

Чего не надо писать в ответе

Не заявляйте того, что не проверили лично на живом сайте. Если пишете «чекбокс согласия обязателен для отправки формы», убедитесь в этом через код страницы, а не по внешнему виду в браузере, разница между визуально отмеченной галочкой и реально обязательным полем может стоить вам повторного требования или штрафа за недостоверные пояснения.

Не обещайте того, чего ещё нет. Если уведомление в реестр РКН только готовится, но не подано, не пишите «оператор зарегистрирован в реестре», напишите «уведомление подготовлено и будет подано до [дата]» с реальной датой, которую успеете выполнить. Отчитаться о выполненном обещании проще, чем объяснять, почему обещание не выполнено.

Не расширяйте ответ на темы, которые проверяющий не поднимал. Если требование касалось конкретно формы на сайте, не нужно инициативно описывать всю внутреннюю систему обработки данных компании, это увеличивает площадь, по которой могут возникнуть новые вопросы, без необходимости.

Не игнорируйте срок. Молчание в течение 10 рабочих дней само по себе является нарушением и может повлечь отдельную административную ответственность, независимо от исхода по существу претензий.

Что сделать заранее, чтобы требование не застало врасплох

Если вы дочитали до этого места, но требования ещё не получали, лучшее время подготовиться, это сейчас, а не после письма. Минимальный набор: политика конфиденциальности актуальна и доступна, согласие оформлено отдельным документом с обязательным чекбоксом на каждой форме сайта, срок хранения данных прописан конкретно, организация проверена в реестре РКН по ИНН. Отдельно стоит зафиксировать письменный регламент, что делать при получении подобного требования, чтобы 10 рабочих дней не тратились на панику и поиск, с чего начать.

Если требование уже пришло и часы идут, а разбираться самостоятельно в формулировках закона нет времени, напишите через форму, помогу и с технической частью на сайте, и с формулировками ответа под конкретные пункты вашего требования. Материалы по смежным темам, уведомление в реестр, согласие на распространение данных, работа с утечками, собраны в рубрике про юридические вопросы и интеграции.

Частые вопросы

Что делать при получении требования от Роскомнадзора

Зафиксировать дату получения и номер, посмотреть, что именно спрашивают, проверить сайт по этим пунктам и устранить нарушения. Ответ отправляют в срок, указанный в требовании, обычно это 10 рабочих дней.

Что чаще всего находят на сайтах

Отсутствие политики конфиденциальности или её недоступность, чекбокс согласия с проставленной галочкой, отсутствие уведомления об обработке данных, зарубежные сервисы без указания передачи.

Чего не стоит писать в ответе

Оправданий, юридических рассуждений и обещаний исправить позже. Ответ должен быть коротким и фактическим: что проверили, что нашли, что уже устранено, с датами.

Как подготовиться заранее

Раз в полгода проходить по своему сайту тем же списком, что использует регулятор: политика, согласие, уведомление, перечень сервисов. Час работы снимает почти весь класс претензий.