Как ответить на запрос Роскомнадзора по персональным данным

1. Почему Роскомнадзор вправе запрашивать документы и сведения
2. С какого дня считать срок ответа
3. Как определить вид документа, который пришел
4. Что проверить до подготовки ответа
5. Какие документы обычно интересуют Роскомнадзор
6. Как построить юридически безопасный ответ
7. Типовые вопросы Роскомнадзора и логика ответа
8. Что делать, если нарушение уже обнаружено
9. Ошибки, которые превращают запрос в административное дело
10. Судебная практика: неполный ответ приравнивается к непредставлению сведений
11. Образец структуры ответа на запрос Роскомнадзора
12. Чек-лист перед отправкой
13. Частые вопросы

Запрос Роскомнадзора часто воспринимают как «письмо для галочки». Это ошибка. На практике запрос может быть следствием жалобы субъекта персональных данных, мониторинга сайта, проверки сведений в реестре операторов, сообщения об утечке либо контрольного мероприятия. Поэтому задача ответа — не просто отправить документы, а дать точную, проверяемую и непротиворечивую картину того, как организация фактически обрабатывает персональные данные.

Особенно важно не путать обычный информационный запрос с требованием в рамках документарной проверки или с предписанием об устранении нарушения. Для каждого документа действует своя процессуальная логика и свой срок.

Роскомнадзор является уполномоченным органом по защите прав субъектов персональных данных. Пункт 1 части 3 статьи 23 Закона № 152-ФЗ прямо дает ему право запрашивать у физических и юридических лиц информацию, необходимую для реализации его полномочий, и безвозмездно получать ее.

Отдельно часть 4 статьи 18.1 Закона № 152-ФЗ обязывает оператора по запросу Роскомнадзора представить документы и локальные акты в сфере персональных данных либо иным образом подтвердить принятие обязательных организационных, правовых и технических мер.

Дата получения имеет значение. Зафиксируйте, когда письмо фактически получено: через электронную систему, заказное почтовое отправление, личный кабинет, электронный документооборот или иной канал. Сохраните подтверждение доставки — от него обычно считается срок.

Сначала прочитайте не перечень вопросов, а вводную и резолютивную часть письма. Нужно установить, на каком основании Роскомнадзор действует.

Правильный ответ начинается не с текста письма, а с внутреннего аудита. Сведения в ответе должны совпадать с реальными процессами, сайтом, договорами, CRM, кадровыми документами и данными в реестре операторов Роскомнадзора.

• Найдите карточку организации в реестре операторов персональных данных и сравните цели, категории данных, категории субъектов, способы обработки, сведения о трансграничной передаче и месте нахождения баз данных с фактической обработкой.
• Проверьте, опубликована ли актуальная политика обработки персональных данных именно на тех страницах сайта, где осуществляется сбор данных.
• Проверьте назначение ответственного за организацию обработки персональных данных, его функции и фактическое исполнение обязанностей.
• Сопоставьте каждую цель обработки с правовым основанием: закон, договор, согласие, трудовые отношения и т. п. Не используйте согласие «на всякий случай», если есть иное законное основание.
• Проверьте формы согласий. С 1 сентября 2025 года согласие на обработку персональных данных должно оформляться отдельно от иной информации и документов, которые подтверждает или подписывает субъект.
• Проверьте сайт: формы обратной связи, онлайн-запись, заявки, cookies/аналитику, виджеты, CRM, мессенджеры и сторонние сервисы, через которые фактически собираются или передаются данные.
• Проверьте договоры с подрядчиками, которым поручена обработка персональных данных: CRM, колл-центр, хостинг, бухгалтерия, рассылки, IT-поддержка и иные обработчики.
• Проверьте локализацию баз данных. При сборе персональных данных граждан РФ запись, систематизация, накопление, хранение, уточнение и извлечение должны осуществляться с использованием баз данных в России, кроме прямо предусмотренных законом исключений.
• Проверьте трансграничную передачу: осуществляется ли она фактически, указана ли в реестре и выполнены ли специальные требования к такой передаче.
• Проверьте, есть ли процедуры реагирования на инциденты, внутреннего контроля, оценки вреда, уничтожения данных и обучения работников.

Перечень зависит от предмета запроса. На практике часто проверяются документы, прямо названные в статье 18.1 Закона № 152-ФЗ и связанные с безопасностью обработки.

Важная граница: при документарной проверке контрольный орган не вправе требовать документы, не относящиеся к предмету проверки, а также сведения и документы, которые он может получить от других государственных органов. Это прямо закреплено в части 6 статьи 72 Закона № 248-ФЗ.

Сделайте титульную часть: реквизиты территориального управления Роскомнадзора, номер и дату запроса, реквизиты оператора, контакт исполнителя.

Укажите, что ответ направляется во исполнение конкретного запроса, и приведите его исходящий номер и дату получения.

Отвечайте по пунктам в той же нумерации, которую использовал Роскомнадзор. Это резко снижает риск, что ответ сочтут неполным.

По каждому вопросу сначала дайте ясный фактический ответ, затем — правовое основание, затем — ссылку на приложение или URL.

Не заменяйте сведения фразой «все требования закона соблюдаются». Нужны проверяемые факты: номер приказа, дата документа, адрес страницы, дата подачи уведомления, название подрядчика, место нахождения базы и т. п., если это запрошено.

Не направляйте лишние персональные данные работников и клиентов. Если документ можно представить с закрытием нерелевантных персональных данных, сделайте это, если такое закрытие не мешает исполнить законный запрос.

Не раскрывайте пароли, ключи, секреты, полную конфигурацию защиты и иные сведения, которые не требуются запросом и могут сами создать риск безопасности.

Составьте опись приложений и пронумеруйте файлы так, чтобы инспектор мог быстро сопоставить их с пунктами ответа.

Сохраните доказательство отправки полного комплекта и его получения Роскомнадзором.

Наличие нарушения не означает, что ответ нужно откладывать или маскировать проблему. Обычно наиболее разумная стратегия — быстро прекратить продолжающееся нарушение, оформить корректирующие действия и дать Роскомнадзору точную хронологию.

• Если сведения в реестре устарели — подготовьте уведомление об изменениях. По части 7 статьи 22 Закона № 152-ФЗ изменения сообщаются не позднее 15-го числа месяца, следующего за месяцем, когда они произошли.
• Если оператор вообще не направлял обязательное уведомление о начале обработки — подайте его без промедления. С 30 мая 2025 года за невыполнение или несвоевременное выполнение этой обязанности для юридических лиц предусмотрен штраф от 100 000 до 300 000 рублей.
• Если политика отсутствует на сайте или не соответствует фактической обработке — обновите и опубликуйте ее; при этом не утверждайте, что она была опубликована ранее, если это не подтверждается.
• Если используются некорректные формы согласия — прекратите их применение, внедрите новую форму и определите, требуется ли обновление правового основания для уже накопленных данных.
• Если выявлена утечка персональных данных, требующая уведомления, сроки исчисляются не от запроса Роскомнадзора, а от выявления инцидента: 24 часа для первичного уведомления и 72 часа для результатов внутреннего расследования.
• Если выявлено избыточное или незаконное хранение — определите правовое основание и сроки уничтожения; оформите уничтожение документально.

• Не ответить вообще или пропустить срок.
• Ответить «общими словами», не представив конкретно запрошенные сведения.
• Приложить часть документов, но пропустить несколько пунктов запроса без объяснения.
• Сообщить сведения, которые противоречат карточке оператора в реестре Роскомнадзора.
• Сослаться на политику, которой нет по указанному URL или которая датирована уже после запроса без пояснения.
• Написать, что трансграничной передачи нет, хотя сайт использует иностранные сервисы, которым фактически передаются идентификаторы или иные персональные данные.
• Представить старую форму согласия, где согласие встроено в договор или анкету после 1 сентября 2025 года.
• Создать документы задним числом вместо документирования реального устранения нарушения.
• Передать инспектору лишние массивы персональных данных или сведения о защите, которых запрос не требовал.
• Не сохранить подтверждение своевременной отправки ответа и приложений.

Показательный пример — постановление мирового судьи судебного участка № 16 Василеостровского судебного района Санкт-Петербурга от 21 июля 2025 года по делу № 5-1058/2025-16. Роскомнадзор направил оператору запрос, который был получен 18 апреля 2025 года. Оператор ответил в пределах срока, но представил сведения не в полном объеме.

Суд указал, что по части 4 статьи 20 Закона № 152-ФЗ информация должна быть представлена в течение 10 рабочих дней. В ответе отсутствовал целый ряд запрошенных сведений, в том числе о политике, ответственном лице, локальных актах, мерах безопасности, внутреннем контроле, оценке вреда, ознакомлении работников и URL опубликованной политики. Суд квалифицировал это по статье 19.7 КоАП РФ. Организация была признана виновной; с учетом статуса малого предприятия и первого нарушения штраф заменили предупреждением.

В Управление Роскомнадзора по ________

от ООО «________»
ИНН ________
адрес: ________

ОТВЕТ
на запрос от __.__.2026 № ________

ООО «________» в ответ на запрос Управления Роскомнадзора от __.__.2026 № ________, полученный __.__.2026, сообщает следующее.

1. По пункту 1 запроса. Политика ООО «________» в отношении обработки персональных данных утверждена приказом от __.__.____ № ___ и размещена по адресу: https://________. Копия политики прилагается.

2. По пункту 2 запроса. Ответственным за организацию обработки персональных данных назначен ________ на основании приказа от __.__.____ № ___. Копия приказа и документ, определяющий полномочия, прилагаются.

3. По пункту 3 запроса. Персональные данные обрабатываются для следующих целей: ________. Для каждой цели оператором определены категории субъектов, перечень данных, правовые основания, способы и сроки обработки. Сведения приведены в приложении № ___.

4. По пункту 4 запроса. Оператором применяются правовые, организационные и технические меры по обеспечению безопасности персональных данных, предусмотренные статьями 18.1 и 19 Федерального закона № 152-ФЗ, в том числе: ________. Подтверждающие документы прилагаются в объеме, указанном в запросе.

5. По пункту 5 запроса. Сведения, содержащиеся в уведомлении об обработке персональных данных, актуальны / были актуализированы путем направления уведомления от __.__.2026. Подтверждение направления прилагается.

Приложения: 1. ________. 2. ________. 3. ________.

Руководитель / уполномоченное лицо __________ / Ф.И.О. /

• ☐ Определен вид документа и правовое основание запроса.
• ☐ Зафиксирована дата получения и правильно рассчитан последний день срока.
• ☐ Если требуется — вовремя направлено мотивированное уведомление о продлении.
• ☐ Каждому пункту запроса соответствует отдельный пункт ответа.
• ☐ Факты в ответе сверены с сайтом, реестром Роскомнадзора, договорами и IT-процессами.
• ☐ Формы согласий проверены с учетом требования об отдельном оформлении с 01.09.2025.
• ☐ Проверены место нахождения баз данных и возможная трансграничная передача.
• ☐ Приложения пронумерованы и упомянуты в тексте.
• ☐ Не переданы лишние персональные данные и чувствительные сведения о защите.
• ☐ Сохранено подтверждение отправки всего комплекта и его получения.

Нет. Если запрос направлен Роскомнадзором в пределах полномочий, часть 4 статьи 20 Закона № 152-ФЗ обязывает оператора предоставить необходимую информацию. Если вы считаете отдельный пункт избыточным или не относящимся к предмету контроля, это нужно мотивированно обозначить, а не молча игнорировать.

Только если это укладывается в срок и итоговый ответ будет полным. Для запроса по статье 20 можно заранее оформить мотивированное продление до 5 рабочих дней. Самовольная «досылка когда получится» не заменяет соблюдение срока.

Нет. Представляются сведения и документы, которые запрошены и необходимы для подтверждения выполнения обязанностей. В документарной проверке действует запрет требовать не относящиеся к предмету проверки документы.

Не создавать фиктивный документ задним числом. Нужно оценить, обязан ли он быть у оператора, при необходимости оперативно оформить его на текущую дату, устранить нарушение и честно описать это в ответе.

Нет. Судебная практика показывает, что неполное представление информации может образовать состав статьи 19.7 КоАП РФ.

Да, если конкретные требования выходят за полномочия органа или предмет проверки, но стратегия зависит от процессуального вида документа. Обычно безопаснее одновременно соблюсти бесспорную часть запроса и мотивированно изложить позицию по спорной части.

Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», статья 20 — срок ответа на запрос Роскомнадзора — открыть источник

Федеральный закон № 152-ФЗ, статья 23 — полномочия уполномоченного органа — открыть источник

Федеральный закон № 152-ФЗ, статья 18.1 — организационные меры и локальные акты оператора — открыть источник

Федеральный закон № 152-ФЗ, статья 22 — уведомление об обработке персональных данных и актуализация сведений — открыть источник

Федеральный закон № 152-ФЗ, статья 9 — требования к согласию на обработку персональных данных — открыть источник

Федеральный закон № 152-ФЗ, статья 18 — локализация баз данных — открыть источник

Федеральный закон № 152-ФЗ, статья 21 — уведомление об инцидентах в течение 24 и 72 часов — открыть источник

Федеральный закон от 31.07.2020 № 248-ФЗ, статья 72 — документарная проверка и истребование документов — открыть источник

Постановление Правительства РФ от 29.06.2021 № 1046 (ред. от 03.07.2026) — федеральный контроль за обработкой персональных данных — открыть источник

Приказ Роскомнадзора от 28.10.2022 № 180 — формы уведомлений операторов — открыть источник

Постановление Правительства РФ от 01.11.2012 № 1119 — требования к защите ПД в информационных системах — открыть источник

КоАП РФ, статья 13.11 — ответственность за нарушения законодательства о персональных данных — открыть источник

КоАП РФ, статья 19.7 — непредставление или неполное представление сведений государственному органу — открыть источник

Постановление по делу № 5-1058/2025-16 от 21.07.2025 — пример ответственности за неполный ответ Роскомнадзору — открыть источник