152-ФЗ
Ответ на запрос Роскомнадзора по персональным данным
Запрос Роскомнадзора по персональным данным нельзя отложить «на потом». По части 4 статьи 20 152-ФЗ оператор представляет запрошенные сведения в течение 10 рабочих дней с даты получения запроса. Срок продлевается не более чем на 5 рабочих дней, если оператор направил в Роскомнадзор мотивированное уведомление с обоснованием причин. Неответ или формальный ответ переводит вопрос во внеплановую проверку, при которой Роскомнадзор фиксирует уже основные составы статьи 13.11 КоАП.
Большинство запросов Роскомнадзора по 152-ФЗ приходят в трёх сценариях. Первый: жалоба конкретного субъекта. Бывший работник заявил, что данные не уничтожены после увольнения; клиент пожаловался на маркетинговую рассылку без согласия; посетитель сайта пожаловался на cookie-баннер. Второй: плановая проверка по графику Роскомнадзора, который публикуется ежегодно и который можно проверить заранее. Третий: внеплановая проверка по результатам мониторинга реестра или жалоб третьих лиц.
В каждом из этих сценариев формальный ответ «у нас всё хорошо» не работает. Запрос содержит конкретные вопросы по конкретной обработке: «представьте копии действующих документов», «представьте журнал согласий», «представьте сведения о подрядчиках, которым передаются ПДн», «представьте регламент уничтожения». Если документов нет или они не соответствуют фактической обработке, Роскомнадзор фиксирует нарушение, а следующим шагом составляет административный протокол.
Мы готовим ответы на запросы Роскомнадзора в режиме 1–3 рабочих дня. Юрист выходит на связь в день обращения, разбираем суть запроса, фиксируем что у вас есть и чего нет, формулируем позицию. Если по ходу подготовки ответа становится очевидно, что часть документов нужно срочно подготовить или актуализировать, делаем это в том же спринте. Часть, которая фиксируется в ответе как «приведено в соответствие», должна быть фактически приведена.
10 рабочих днейСрок ответа по закону
В день обращенияРеакция юриста
1–3 дняПодготовка ответа
внеплановая проверкаПоследствие неответа
п. 1 ч. 4 ст. 23 152-ФЗОснование запроса
Структура запроса Роскомнадзора: что обычно просят
Стандартный запрос Роскомнадзора занимает 1–3 страницы и содержит перечень вопросов и требование представить документы. Обычно содержит: сведения об операторе, ссылку на основание (пункт 1 части 4 статьи 23 152-ФЗ либо решение о проведении контрольного мероприятия), описание обстоятельств (часто с указанием жалобы, по которой возник запрос), перечень из 5–15 вопросов, требование представить копии документов с конкретным перечнем, срок ответа (10 рабочих дней по части 4 статьи 20 152-ФЗ, если в запросе не указан иной).
Запрос приходит на юридический адрес оператора почтой РФ (заказным письмом) или через ЭДО. Возврат письма из-за неактуального адреса не освобождает оператора от ответа: Роскомнадзор фиксирует попытку вручения и действует так, как если бы запрос был получен. Поэтому первым делом оператор проверяет юридический и почтовый адрес в реестре операторов.
- Конкретные вопросы по обработке (цели, основания, сроки)
- Требование представить копии политики и согласий
- Запрос журнала согласий по конкретному периоду
- Запрос сведений о подрядчиках и поручениях
- Запрос описания мер защиты ПДн
- Запрос сведений об инцидентах (для случая утечки)
- Срок ответа: 10 рабочих дней (ч. 4 ст. 20 152-ФЗ), если в запросе не указан иной
Как мы готовим ответ за 1–3 дня
Первый день занимает разбор. Юрист берёт ваш запрос, раскладывает на отдельные пункты и определяет: какие документы у вас уже есть, каких нет, что нужно срочно подготовить параллельно с ответом. На этом этапе выбираем стратегию: отвечаем «у нас всё есть, прилагаем» или «приводим в соответствие в рамках добровольной коррекции до окончания проверки» (допустимая позиция, которая снижает риск штрафа).
Второй день идёт параллельная работа по трём трекам. Первый: формулируем ответ по каждому пункту с приложением документов. Второй: срочно готовим недостающие документы (актуализация политики, доработка согласий, формирование журнала, описание подрядчиков). Третий: сверяем сайт нашим сканером, чтобы написанное в ответе совпало с тем, что Роскомнадзор увидит на сайте сам.
Третий день уходит на финализацию. Финальная сверка, юр.ревизия, оформление ответа, подготовка к подаче (через ЭДО или почтой РФ в зависимости от способа получения запроса). Передаём вам пакет: ответ + приложения + рекомендации по дальнейшим действиям.
Что делать, если документы не соответствуют запросу
Это самая частая ситуация: запрос пришёл, в нём просят показать политику, согласия и журнал, а у компании политика 2018 года, согласий под формами нет, журнал никогда не вели. Формальный ответ «у нас всё в порядке» ведёт прямо к штрафу: Роскомнадзор либо сам зайдёт на сайт и увидит реальное состояние, либо запросит дополнительные документы.
Работает другая стратегия: добровольная коррекция в рамках процесса. В ответе указываем, что компания в процессе приведения обработки в соответствие, прилагаем актуализированные документы (которые мы готовим параллельно), описываем сроки завершения и принятые меры. Эта позиция в большинстве случаев приводит к закрытию запроса без административного протокола или с минимальным штрафом, если коррекция реальна и документально подтверждена.
Частые вопросы
В какой срок нужно ответить на запрос Роскомнадзора по 152-ФЗ?
По части 4 статьи 20 152-ФЗ оператор представляет запрошенные сведения в течение 10 рабочих дней с даты получения запроса. По жалобе субъекта или в рамках внеплановой проверки срок может быть указан в самом запросе и оказаться короче. Отсчёт идёт с даты получения письма по почте или через ЭДО, поэтому первым делом оператор фиксирует дату получения.
Что произойдёт, если не ответить на запрос Роскомнадзора?
Основные последствия наступают не от самого молчания: запрос без ответа переводит проверку во внеплановую, и Роскомнадзор фиксирует уже основные составы. Отсутствие политики идёт по части 3 статьи 13.11 КоАП (30–60 тысяч рублей), невыполнение в срок требования об уточнении, блокировании или уничтожении данных по части 5 (50–90 тысяч, повторно 300–500 тысяч), обработка без законного основания по части 1 (150–300 тысяч). При утечке персональных данных с 30 мая 2025 года применяются оборотные штрафы.
Можно ли запросить продление срока ответа?
Да, в пределах, установленных законом: срок продлевается не более чем на 5 рабочих дней, если оператор до его истечения направит в Роскомнадзор мотивированное уведомление с обоснованием причин и сроком представления сведений (часть 4 статьи 20 152-ФЗ). Продление сверх этого закон не предусматривает. Ответить в срок частично, с конкретным планом дополнения, надёжнее, чем не ответить вообще.
Что нужно приложить к ответу на запрос РКН?
Зависит от запроса. Стандартный набор: копии действующих документов (политика, положения, регламенты, формы согласий), выписки из журналов (согласий, обращений субъектов, ознакомления работников), сведения о подрядчиках с указанием поручений, описание мер защиты. Каждое приложение оформляем отдельным документом с описью.
Можно ли отвечать РКН без юриста?
Формально можно: закон не требует юридического представительства. На практике самостоятельные ответы часто содержат критические ошибки: формальные ответы без приложения документов, документы противоречат сайту, не указаны все подрядчики. Эти ошибки фиксируются и используются при следующих проверках. Если запрос серьёзный (по жалобе, в рамках проверки), лучше работать с юристом, который понимает 152-ФЗ.
Что делать, если документы не соответствуют запросу?
Скрывать бесполезно: Роскомнадзор увидит расхождение на сайте или в реестре. Работает добровольная коррекция: оператор указывает в ответе, что находится в процессе приведения обработки в соответствие, прилагает актуализированные документы, описывает принятые меры и сроки. Эта позиция в большинстве случаев приводит к закрытию запроса без протокола.
Сколько стоит подготовка ответа на запрос Роскомнадзора?
Зависит от объёма и сложности. Стандартный ответ по жалобе субъекта тарифицируется иначе, чем ответ с параллельной подготовкой недостающих документов (политика, согласия, регламенты). Срочный режим 1–2 дня тарифицируется отдельно. Точную сумму называем после того, как посмотрим сам запрос.
Что такое журнал учёта согласий и зачем он нужен?
Журнал согласий документирует каждый факт получения согласия от субъекта. По требованию 152-ФЗ оператор должен доказать, что согласие было получено: кто, когда, на какую цель обработки. Журнал может вестись электронно (через CRM или платформу 1ОПД) или в формальном виде, таблицей. Роскомнадзор в запросах часто требует выписку по конкретному периоду или субъекту.
Что делать, если в Роскомнадзор поступила жалоба на компанию?
Реагировать спокойно. По жалобе Роскомнадзор либо направляет запрос, либо назначает внеплановую проверку. Запрос даёт возможность ответить и закрыть вопрос без проверки, поэтому игнорировать его нельзя. Решать вопрос напрямую с заявителем не стоит: это может усугубить положение. Оператор отвечает формально Роскомнадзору, с приложением документов.
Какие документы должны быть у компании на случай запроса РКН?
Базовый минимум: действующая политика обработки ПДн (на сайте + в делах), согласия по всем формам с журналом, положение об обработке персональных данных работников (если в штате есть работники), регламент уничтожения, регламент обращений субъектов, сведения о подрядчиках с поручениями, действующее уведомление в Роскомнадзор. Готовить это заранее дешевле, чем под запрос. См. /paket-dokumentov-pdn.
