Актуально на 4 августа 2026 года | Юрист Курнев А.Е.
Практическая инструкция для компаний, ИП и иных операторов персональных данных.
Содержание
- Почему Роскомнадзор вправе запрашивать документы и сведения
- С какого дня считать срок ответа
- Как определить вид документа, который пришел
- Что проверить до подготовки ответа
- Какие документы обычно интересуют Роскомнадзор
- Как построить юридически безопасный ответ
- Типовые вопросы Роскомнадзора и логика ответа
- Что делать, если нарушение уже обнаружено
- Ошибки, которые превращают запрос в административное дело
- Судебная практика: неполный ответ приравнивается к непредставлению сведений
- Образец структуры ответа на запрос Роскомнадзора
- Чек-лист перед отправкой
- Частые вопросы
Главное
Обычный запрос Роскомнадзора по статье 20 Закона № 152-ФЗ нельзя оставлять без ответа: необходимую информацию нужно представить в течение 10 рабочих дней с даты получения. Этот срок можно продлить максимум на 5 рабочих дней, если до истечения исходного срока направить мотивированное уведомление о причинах продления. Неполный ответ тоже создает риск ответственности.
Запрос Роскомнадзора часто воспринимают как «письмо для галочки». Это ошибка. На практике запрос может быть следствием жалобы субъекта персональных данных, мониторинга сайта, проверки сведений в реестре операторов, сообщения об утечке либо контрольного мероприятия. Поэтому задача ответа — не просто отправить документы, а дать точную, проверяемую и непротиворечивую картину того, как организация фактически обрабатывает персональные данные.
Особенно важно не путать обычный информационный запрос с требованием в рамках документарной проверки или с предписанием об устранении нарушения. Для каждого документа действует своя процессуальная логика и свой срок.
Почему Роскомнадзор вправе запрашивать документы и сведения
Роскомнадзор является уполномоченным органом по защите прав субъектов персональных данных. Пункт 1 части 3 статьи 23 Закона № 152-ФЗ прямо дает ему право запрашивать у физических и юридических лиц информацию, необходимую для реализации его полномочий, и безвозмездно получать ее.
Отдельно часть 4 статьи 18.1 Закона № 152-ФЗ обязывает оператора по запросу Роскомнадзора представить документы и локальные акты в сфере персональных данных либо иным образом подтвердить принятие обязательных организационных, правовых и технических мер.
Практический вывод
Сам по себе запрос еще не означает, что нарушение установлено. Но содержание ответа может стать доказательственной базой для дальнейшего контроля или дела об административном правонарушении. Поэтому отвечать нужно как на юридически значимый документ, а не как на обычную деловую переписку.
С какого дня считать срок ответа
Дата получения имеет значение. Зафиксируйте, когда письмо фактически получено: через электронную систему, заказное почтовое отправление, личный кабинет, электронный документооборот или иной канал. Сохраните подтверждение доставки — от него обычно считается срок.
Если не успеваете
Не ждите последнего дня. Для запроса по части 4 статьи 20 Закона № 152-ФЗ направьте мотивированное уведомление о продлении срока заранее: укажите, какие документы требуют дополнительного сбора, почему это объективно невозможно сделать в исходный срок и когда будет направлен полный ответ. Максимальное продление — 5 рабочих дней.
Как определить вид документа, который пришел
Сначала прочитайте не перечень вопросов, а вводную и резолютивную часть письма. Нужно установить, на каком основании Роскомнадзор действует.
Что проверить до подготовки ответа
Правильный ответ начинается не с текста письма, а с внутреннего аудита. Сведения в ответе должны совпадать с реальными процессами, сайтом, договорами, CRM, кадровыми документами и данными в реестре операторов Роскомнадзора.
- Найдите карточку организации в реестре операторов персональных данных и сравните цели, категории данных, категории субъектов, способы обработки, сведения о трансграничной передаче и месте нахождения баз данных с фактической обработкой.
- Проверьте, опубликована ли актуальная политика обработки персональных данных именно на тех страницах сайта, где осуществляется сбор данных.
- Проверьте назначение ответственного за организацию обработки персональных данных, его функции и фактическое исполнение обязанностей.
- Сопоставьте каждую цель обработки с правовым основанием: закон, договор, согласие, трудовые отношения и т. п. Не используйте согласие «на всякий случай», если есть иное законное основание.
- Проверьте формы согласий. С 1 сентября 2025 года согласие на обработку персональных данных должно оформляться отдельно от иной информации и документов, которые подтверждает или подписывает субъект.
- Проверьте сайт: формы обратной связи, онлайн-запись, заявки, cookies/аналитику, виджеты, CRM, мессенджеры и сторонние сервисы, через которые фактически собираются или передаются данные.
- Проверьте договоры с подрядчиками, которым поручена обработка персональных данных: CRM, колл-центр, хостинг, бухгалтерия, рассылки, IT-поддержка и иные обработчики.
- Проверьте локализацию баз данных. При сборе персональных данных граждан РФ запись, систематизация, накопление, хранение, уточнение и извлечение должны осуществляться с использованием баз данных в России, кроме прямо предусмотренных законом исключений.
- Проверьте трансграничную передачу: осуществляется ли она фактически, указана ли в реестре и выполнены ли специальные требования к такой передаче.
- Проверьте, есть ли процедуры реагирования на инциденты, внутреннего контроля, оценки вреда, уничтожения данных и обучения работников.
Не исправляйте прошлое задним числом
Если обнаружена проблема, ее можно и нужно устранить до ответа: обновить политику, подать уведомление об изменениях, прекратить лишний сбор, оформить недостающую процедуру. Но нельзя датировать документы задним числом, создавать фиктивные журналы или сообщать Роскомнадзору, что мера существовала раньше, если это не так. В ответе лучше честно указать дату устранения и приложить подтверждение.
Какие документы обычно интересуют Роскомнадзор
Перечень зависит от предмета запроса. На практике часто проверяются документы, прямо названные в статье 18.1 Закона № 152-ФЗ и связанные с безопасностью обработки.
Важная граница: при документарной проверке контрольный орган не вправе требовать документы, не относящиеся к предмету проверки, а также сведения и документы, которые он может получить от других государственных органов. Это прямо закреплено в части 6 статьи 72 Закона № 248-ФЗ.
Как построить юридически безопасный ответ
Сделайте титульную часть: реквизиты территориального управления Роскомнадзора, номер и дату запроса, реквизиты оператора, контакт исполнителя.
Укажите, что ответ направляется во исполнение конкретного запроса, и приведите его исходящий номер и дату получения.
Отвечайте по пунктам в той же нумерации, которую использовал Роскомнадзор. Это резко снижает риск, что ответ сочтут неполным.
По каждому вопросу сначала дайте ясный фактический ответ, затем — правовое основание, затем — ссылку на приложение или URL.
Не заменяйте сведения фразой «все требования закона соблюдаются». Нужны проверяемые факты: номер приказа, дата документа, адрес страницы, дата подачи уведомления, название подрядчика, место нахождения базы и т. п., если это запрошено.
Не направляйте лишние персональные данные работников и клиентов. Если документ можно представить с закрытием нерелевантных персональных данных, сделайте это, если такое закрытие не мешает исполнить законный запрос.
Не раскрывайте пароли, ключи, секреты, полную конфигурацию защиты и иные сведения, которые не требуются запросом и могут сами создать риск безопасности.
Составьте опись приложений и пронумеруйте файлы так, чтобы инспектор мог быстро сопоставить их с пунктами ответа.
Сохраните доказательство отправки полного комплекта и его получения Роскомнадзором.
Принцип хорошего ответа
Ответ должен быть одновременно полным и узким: полно отвечать на каждый законный вопрос, но не расширять предмет проверки добровольной передачей лишних документов и сведений.
Типовые вопросы Роскомнадзора и логика ответа
Что делать, если нарушение уже обнаружено
Наличие нарушения не означает, что ответ нужно откладывать или маскировать проблему. Обычно наиболее разумная стратегия — быстро прекратить продолжающееся нарушение, оформить корректирующие действия и дать Роскомнадзору точную хронологию.
- Если сведения в реестре устарели — подготовьте уведомление об изменениях. По части 7 статьи 22 Закона № 152-ФЗ изменения сообщаются не позднее 15-го числа месяца, следующего за месяцем, когда они произошли.
- Если оператор вообще не направлял обязательное уведомление о начале обработки — подайте его без промедления. С 30 мая 2025 года за невыполнение или несвоевременное выполнение этой обязанности для юридических лиц предусмотрен штраф от 100 000 до 300 000 рублей.
- Если политика отсутствует на сайте или не соответствует фактической обработке — обновите и опубликуйте ее; при этом не утверждайте, что она была опубликована ранее, если это не подтверждается.
- Если используются некорректные формы согласия — прекратите их применение, внедрите новую форму и определите, требуется ли обновление правового основания для уже накопленных данных.
- Если выявлена утечка персональных данных, требующая уведомления, сроки исчисляются не от запроса Роскомнадзора, а от выявления инцидента: 24 часа для первичного уведомления и 72 часа для результатов внутреннего расследования.
- Если выявлено избыточное или незаконное хранение — определите правовое основание и сроки уничтожения; оформите уничтожение документально.
Почему это важно в 2026 году
Основной финансовый риск часто связан не со статьей 19.7 КоАП РФ за неполный ответ, а с теми нарушениями законодательства о персональных данных, которые обнаружатся из ответа. Например, за отсутствие обязательного уведомления оператора — до 300 000 рублей для юридического лица, за нарушение локализации — от 1 до 6 млн рублей, а за несообщение об утечке — от 1 до 3 млн рублей.
Ошибки, которые превращают запрос в административное дело
- Не ответить вообще или пропустить срок.
- Ответить «общими словами», не представив конкретно запрошенные сведения.
- Приложить часть документов, но пропустить несколько пунктов запроса без объяснения.
- Сообщить сведения, которые противоречат карточке оператора в реестре Роскомнадзора.
- Сослаться на политику, которой нет по указанному URL или которая датирована уже после запроса без пояснения.
- Написать, что трансграничной передачи нет, хотя сайт использует иностранные сервисы, которым фактически передаются идентификаторы или иные персональные данные.
- Представить старую форму согласия, где согласие встроено в договор или анкету после 1 сентября 2025 года.
- Создать документы задним числом вместо документирования реального устранения нарушения.
- Передать инспектору лишние массивы персональных данных или сведения о защите, которых запрос не требовал.
- Не сохранить подтверждение своевременной отправки ответа и приложений.
Судебная практика: неполный ответ приравнивается к непредставлению сведений
Показательный пример — постановление мирового судьи судебного участка № 16 Василеостровского судебного района Санкт-Петербурга от 21 июля 2025 года по делу № 5-1058/2025-16. Роскомнадзор направил оператору запрос, который был получен 18 апреля 2025 года. Оператор ответил в пределах срока, но представил сведения не в полном объеме.
Суд указал, что по части 4 статьи 20 Закона № 152-ФЗ информация должна быть представлена в течение 10 рабочих дней. В ответе отсутствовал целый ряд запрошенных сведений, в том числе о политике, ответственном лице, локальных актах, мерах безопасности, внутреннем контроле, оценке вреда, ознакомлении работников и URL опубликованной политики. Суд квалифицировал это по статье 19.7 КоАП РФ. Организация была признана виновной; с учетом статуса малого предприятия и первого нарушения штраф заменили предупреждением.
Что дает эта практика
Ключевой риск — не только просрочка. Формально своевременный ответ может быть признан ненадлежащим, если часть пунктов оставлена без ответа или если приложенные документы не позволяют подтвердить заявленные факты.
Образец структуры ответа на запрос Роскомнадзора
Важно
Ниже — каркас, а не универсальная форма. Текст нужно адаптировать под конкретный запрос, реальные процессы оператора и фактические документы. Нельзя включать в ответ сведения, которые организация не может подтвердить.
В Управление Роскомнадзора по ________
от ООО «________»
ИНН ________
адрес: ________
ОТВЕТ
на запрос от __.__.2026 № ________
ООО «________» в ответ на запрос Управления Роскомнадзора от __.__.2026 № ________, полученный __.__.2026, сообщает следующее.
1. По пункту 1 запроса. Политика ООО «________» в отношении обработки персональных данных утверждена приказом от __.__.____ № ___ и размещена по адресу: https://________. Копия политики прилагается.
2. По пункту 2 запроса. Ответственным за организацию обработки персональных данных назначен ________ на основании приказа от __.__.____ № ___. Копия приказа и документ, определяющий полномочия, прилагаются.
3. По пункту 3 запроса. Персональные данные обрабатываются для следующих целей: ________. Для каждой цели оператором определены категории субъектов, перечень данных, правовые основания, способы и сроки обработки. Сведения приведены в приложении № ___.
4. По пункту 4 запроса. Оператором применяются правовые, организационные и технические меры по обеспечению безопасности персональных данных, предусмотренные статьями 18.1 и 19 Федерального закона № 152-ФЗ, в том числе: ________. Подтверждающие документы прилагаются в объеме, указанном в запросе.
5. По пункту 5 запроса. Сведения, содержащиеся в уведомлении об обработке персональных данных, актуальны / были актуализированы путем направления уведомления от __.__.2026. Подтверждение направления прилагается.
Приложения: 1. ________. 2. ________. 3. ________.
Руководитель / уполномоченное лицо __________ / Ф.И.О. /
Чек-лист перед отправкой
- ☐ Определен вид документа и правовое основание запроса.
- ☐ Зафиксирована дата получения и правильно рассчитан последний день срока.
- ☐ Если требуется — вовремя направлено мотивированное уведомление о продлении.
- ☐ Каждому пункту запроса соответствует отдельный пункт ответа.
- ☐ Факты в ответе сверены с сайтом, реестром Роскомнадзора, договорами и IT-процессами.
- ☐ Формы согласий проверены с учетом требования об отдельном оформлении с 01.09.2025.
- ☐ Проверены место нахождения баз данных и возможная трансграничная передача.
- ☐ Приложения пронумерованы и упомянуты в тексте.
- ☐ Не переданы лишние персональные данные и чувствительные сведения о защите.
- ☐ Сохранено подтверждение отправки всего комплекта и его получения.
Частые вопросы
Можно ли вообще не отвечать, если запрос кажется формальным?
Нет. Если запрос направлен Роскомнадзором в пределах полномочий, часть 4 статьи 20 Закона № 152-ФЗ обязывает оператора предоставить необходимую информацию. Если вы считаете отдельный пункт избыточным или не относящимся к предмету контроля, это нужно мотивированно обозначить, а не молча игнорировать.
Можно ли отправить часть документов сейчас, а остальные позже?
Только если это укладывается в срок и итоговый ответ будет полным. Для запроса по статье 20 можно заранее оформить мотивированное продление до 5 рабочих дней. Самовольная «досылка когда получится» не заменяет соблюдение срока.
Нужно ли прикладывать все внутренние документы по персональным данным?
Нет. Представляются сведения и документы, которые запрошены и необходимы для подтверждения выполнения обязанностей. В документарной проверке действует запрет требовать не относящиеся к предмету проверки документы.
Что делать, если в запросе просят документ, которого нет?
Не создавать фиктивный документ задним числом. Нужно оценить, обязан ли он быть у оператора, при необходимости оперативно оформить его на текущую дату, устранить нарушение и честно описать это в ответе.
Если ответили в срок, но забыли один пункт — это безопасно?
Нет. Судебная практика показывает, что неполное представление информации может образовать состав статьи 19.7 КоАП РФ.
Можно ли спорить с запросом?
Да, если конкретные требования выходят за полномочия органа или предмет проверки, но стратегия зависит от процессуального вида документа. Обычно безопаснее одновременно соблюсти бесспорную часть запроса и мотивированно изложить позицию по спорной части.
Материалы и услуги по теме
Анализ запроса, подготовка ответа, сопровождение проверки и защита при привлечении к ответственности.
Аудит обработки персональных данных, локальные документы, сайт, подрядчики и уведомления.
Проверка форм согласий и порядка сбора персональных данных.
Правовая помощь бизнесу и представительство в спорах с государственными органами.
Нормативная база и источники
Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», статья 20 — срок ответа на запрос Роскомнадзора — открыть источник
Федеральный закон № 152-ФЗ, статья 23 — полномочия уполномоченного органа — открыть источник
Федеральный закон № 152-ФЗ, статья 18.1 — организационные меры и локальные акты оператора — открыть источник
Федеральный закон № 152-ФЗ, статья 22 — уведомление об обработке персональных данных и актуализация сведений — открыть источник
Федеральный закон № 152-ФЗ, статья 9 — требования к согласию на обработку персональных данных — открыть источник
Федеральный закон № 152-ФЗ, статья 18 — локализация баз данных — открыть источник
Федеральный закон № 152-ФЗ, статья 21 — уведомление об инцидентах в течение 24 и 72 часов — открыть источник
Федеральный закон от 31.07.2020 № 248-ФЗ, статья 72 — документарная проверка и истребование документов — открыть источник
Постановление Правительства РФ от 29.06.2021 № 1046 (ред. от 03.07.2026) — федеральный контроль за обработкой персональных данных — открыть источник
Приказ Роскомнадзора от 28.10.2022 № 180 — формы уведомлений операторов — открыть источник
Постановление Правительства РФ от 01.11.2012 № 1119 — требования к защите ПД в информационных системах — открыть источник
КоАП РФ, статья 13.11 — ответственность за нарушения законодательства о персональных данных — открыть источник
КоАП РФ, статья 19.7 — непредставление или неполное представление сведений государственному органу — открыть источник
Постановление по делу № 5-1058/2025-16 от 21.07.2025 — пример ответственности за неполный ответ Роскомнадзору — открыть источник