Письмо Роскомнадзора часто приходит неожиданно: ведомство просит объяснить работу сайта, представить документы по персональным данным или устранить обнаруженные нарушения. У компании уже есть политика и согласия, но непонятно, достаточно ли их, нужно ли отвечать на каждый вопрос и сколько времени осталось.
Первое действие — определить, какой именно документ вы получили. Запрос информации, предостережение, предписание и уведомление о проверке требуют разных решений. Не каждое письмо означает проверку или назначенный штраф, однако обязательный запрос нельзя оставлять без ответа.
В этой статье разберём, как проверить письмо, установить срок, собрать подтверждения и подготовить ответ. Отдельно объясним, что делать, если нарушение действительно было, и когда стоит подключать юриста.
Чем грозит игнорирование запроса и нарушения при обработке данных
Игнорирование законного запроса РКН может создать дополнительное нарушение. Непредставление обязательных сведений, просрочка или неполный ответ могут повлечь самостоятельную административную ответственность. При этом молчание не решает вопросы к обработке данных, из-за которых ведомство обратилось в компанию.
За последние годы ответственность за нарушения в сфере персональных данных существенно усилилась. Для бизнеса штрафы могут составлять сотни тысяч рублей, а по отдельным нарушениям — миллионы. Например, для коммерческих организаций предусмотрены:
- От 100 000 до 300 000 руб. — за неподачу или несвоевременную подачу обязательного уведомления РКН о намерении обрабатывать персональные данные.
- От 300 000 до 700 000 руб. — за обработку без письменного согласия, когда закон требует именно такого согласия, либо нарушение требований к его содержанию. При повторном нарушении — от 1 млн до 1,5 млн руб.
- От 1 млн до 6 млн руб. — за нарушение требований к локализации персональных данных российских граждан.
Основания: статья 19.7 КоАП РФ, части 2, 2.1, 8 и 10 статьи 13.11 КоАП РФ.
Поэтому письмо РКН стоит воспринимать как повод сразу проверить фактическую работу с данными. Своевременный ответ и устранение нарушений не гарантируют освобождения от ответственности, но позволяют компании представить свою позицию и подтверждения, а также прекратить нарушения, которые продолжаются.
Сначала определите, что прислал Роскомнадзор
Предприниматели часто называют «требованием» любое обращение ведомства. Для выбора дальнейших действий важны содержание документа, правовое основание и процедура, в рамках которой он направлен.
| Документ | Что он означает | Что делать компании |
|---|---|---|
| Запрос необходимой информации по закону № 152-ФЗ | Роскомнадзор запрашивает сведения для реализации своих полномочий | Проверить вопросы, собрать информацию и направить ответ в установленный законом срок |
| Требование представить документы в рамках контрольного мероприятия | Инспектор истребует материалы для оценки соблюдения требований | Проверить сведения о мероприятии, предмет требования и указанный срок |
| Предостережение о недопустимости нарушения | Ведомство указывает на действия или обстоятельства, которые могут привести или приводят к нарушению, и предлагает принять меры | Проверить факты, принять необходимые меры; при несогласии рассмотреть подачу возражений |
| Предписание об устранении нарушений | Установлены нарушения, которые необходимо устранить | Организовать исполнение, собрать подтверждения; при наличии оснований — обжаловать |
| Уведомление о профилактическом визите или проверке | Предстоит конкретное мероприятие | Уточнить его вид, основание, дату и объём подготовки |
Например, если РКН просит сообщить, на каком основании сайт собирает телефоны посетителей, недостаточно просто разместить новую политику. Нужно разобраться, что именно запрошено, и представить объяснение с необходимыми подтверждениями.
Если письмо касается составления протокола или уже вынесенного постановления о штрафе, действует отдельная процедура по КоАП РФ. Её нельзя подменять обычным ответом на запрос.
В какой срок нужно ответить
Запрос информации по закону № 152-ФЗ: 10 рабочих дней
По части 4 статьи 20 закона № 152-ФЗ оператор должен сообщить Роскомнадзору необходимую информацию в течение 10 рабочих дней с даты получения запроса.
Срок может быть продлён не более чем на 5 рабочих дней. Для этого в адрес ведомства направляют мотивированное уведомление с причинами продления. Дополнительное время не следует считать предоставленным просто потому, что компания не успевает: предусмотренное законом уведомление нужно своевременно оформить и отправить.
Источник: часть 4 статьи 20 закона № 152-ФЗ.
Истребование документов в ходе мероприятия: срок из требования
Для документов, истребуемых в рамках контрольного мероприятия по статье 80 закона № 248-ФЗ, действует срок, указанный в требовании.
Если представить документы вовремя невозможно, необходимо незамедлительно направить письменное ходатайство инспектору: объяснить причины и указать срок, в который материалы могут быть представлены. Инспектор принимает решение о продлении либо отказе в течение 24 часов со дня получения ходатайства.
Это другая процедура. Правило «10 рабочих дней плюс ещё пять» нельзя автоматически применять к любому требованию проверяющего.
Источник: статья 80 закона № 248-ФЗ.
Предостережение и предписание: не путайте сроки
Само предостережение не должно содержать требования представить сведения и документы или сроки устранения последствий. При несогласии можно подать возражение: для контроля за обработкой ПДн предусмотрено 10 рабочих дней со дня получения предостережения.
У предписания есть собственный срок исполнения. Отдельно существует срок досудебного обжалования предписания по закону № 248-ФЗ — 10 рабочих дней с момента получения. Он не заменяет срок устранения нарушений.
Источники: статья 49 закона № 248-ФЗ, пункты 20–22 положения о контроле за обработкой ПДн, статья 40 закона № 248-ФЗ.
Что сделать в первый день после получения письма
1. Сохраните документ и сведения о получении
Сохраните письмо целиком, включая вложения. Зафиксируйте дату и способ получения: почтовое отправление, электронное сообщение, личный кабинет. Если документ сначала получил администратор, бухгалтер или сотрудник канцелярии, выясните первоначальную дату поступления.
Назначьте человека, который будет собирать материалы и контролировать срок. Важно, чтобы юрист, руководитель и технический специалист работали с одной редакцией ответа.
2. Проверьте отправителя и адресата
Сопоставьте наименование организации, ИНН, адрес сайта и другие сведения. Если документ вызывает сомнения, уточните его подлинность по контактам территориального управления, найденным самостоятельно на официальном ресурсе ведомства.
Не ограничивайтесь проверкой логотипа или наличия печати: внешний вид письма сам по себе не подтверждает его подлинность. Вместе с тем ошибку в реквизитах не стоит использовать как повод автоматически проигнорировать обращение.
Если письмо касается проверки или другого мероприятия, сведения о котором подлежат внесению в реестр, проверьте его учётный номер и доступную запись в Едином реестре контрольных мероприятий. Обычный запрос информации нельзя объявлять недействительным только из-за отсутствия записи о проверке.
3. Выпишите все вопросы и действия
Разделите содержание документа на конкретные задачи. Например:
- объяснить, кто является оператором данных посетителей сайта;
- представить сведения об уведомлении РКН;
- подтвердить основание сбора телефона и электронной почты;
- сообщить о подключённых сервисах;
- представить определённые документы или пояснения за указанный период.
Рядом с каждым пунктом определите, кто располагает информацией и какие подтверждения понадобятся.
4. Сохраните фактическую картину до изменений
Зафиксируйте действующие формы сайта, тексты документов и настройки, относящиеся к вопросам РКН. При необходимости запросите у разработчика историю изменений, у CRM-подрядчика — сведения о движении данных, у ответственного сотрудника — действовавшие документы.
Это не повод откладывать устранение нарушения. Задача — сохранить достоверные сведения о том, что происходило, и отделить их от последующих исправлений.
Как подготовить ответ: вопрос, объяснение, подтверждение
Хороший ответ позволяет сопоставить каждый вопрос ведомства с конкретными обстоятельствами и приложениями. Общая фраза «все требования законодательства соблюдены» этого не делает.
Удобно сначала составить рабочую таблицу.
| О чём спрашивает РКН | Что нужно выяснить | Чем можно подтвердить |
|---|---|---|
| Уведомление об обработке данных | Подавалось ли оно, какие сведения указаны, соответствуют ли они деятельности | Сведения из реестра, копия уведомления, подтверждение его подачи |
| Основания сбора данных через форму | Для чего собираются данные, какое основание применяется, как фиксируется согласие, если оно необходимо | Договор, текст согласия, сведения о действиях пользователя, настройки формы |
| Политика обработки ПДн | Какая редакция действовала и где была доступна | Текст документа, адрес страницы, сведения о публикации и изменениях |
| Передача данных подрядчику | Кто получает данные, для каких задач и на каких условиях | Договор, поручение обработки, сведения о сервисе и фактической передаче |
| Место нахождения базы данных | Где происходит обработка и какие внешние сервисы участвуют | Документы и сведения от хостинга и подрядчиков, описание движения данных |
Это примеры подтверждений, а не универсальный обязательный комплект. Состав приложений определяется содержанием запроса и обстоятельствами компании.
В ответе обычно нужны реквизиты полученного документа, пояснения по пунктам, описание принятых мер, перечень приложений и подпись уполномоченного лица. Если отвечает представитель, проверьте оформление его полномочий.
При документарной проверке закон отдельно ограничивает истребование сведений, не относящихся к её предмету. Если объём требования вызывает вопросы, их нужно разрешать правовым способом, а не молчанием или произвольным исключением неудобных документов.
Источник: часть 6 статьи 72 закона № 248-ФЗ.
Если письмо касается сайта или уведомления РКН
«У нас есть политика — этого достаточно?»
Наличие документа ещё не объясняет, как компания обрабатывает данные. Нужно сопоставить политику с формами, CRM, аналитикой, подрядчиками и фактическими целями использования информации.
Например, политика описывает только ответы на заявки, а контакты дополнительно используются для рекламной рассылки. Или в ней указан один сайт, хотя компания собирает данные через приложение и чат-бот. В таком случае задача шире редакционной правки текста.
О том, какие расхождения проверять, рассказываем в статье о типичных ошибках политики обработки персональных данных.
«Мы разместили согласие — значит, вопрос закрыт?»
Если обработка основана на согласии, может потребоваться подтвердить его получение у конкретного человека. Действующая страница с текстом согласия сама по себе не доказывает, что пользователь согласился с ним месяц назад.
Нужно проверить текст, действовавший в соответствующий период, действия пользователя и доступные записи системы. При этом согласие необходимо не для любой обработки: сначала определяют подходящее правовое основание. Подробнее — в статье когда согласие на обработку ПДн обязательно, а когда не требуется.
«Можно сейчас подать уведомление и отправить номер РКН?»
Если обязанность уведомить ведомство есть, её необходимо исполнить. Но подача уведомления сейчас не подтверждает его своевременную подачу в прошлом и не заменяет ответы на остальные вопросы письма.
Также важно различать уведомление об обработке данных и ответ на запрос: у них разные назначение и порядок подачи. Исправление политики на сайте не обновляет сведения реестра автоматически. Подготовку сведений разбираем в статье об уведомлении Роскомнадзора.
«Разработчик сказал, что всё находится в России»
Для ответа может потребоваться выяснить не только расположение основного сервера, но и участие CRM, аналитики, облачных хранилищ и иных получателей. Сведения подрядчика желательно конкретизировать: какой сервис используется, какие данные получает и где выполняется обработка.
Если вопросы РКН затрагивают архитектуру продукта, локализацию или зарубежные сервисы, полезна целевая проверка соответствующей части обработки. Такой формат описан на странице юридического аудита сайта, сервиса или приложения.
Что делать, если нарушение действительно было
Определите, какие действия необходимо прекратить или изменить, какие документы доработать и какие подтверждения сохранить. Разделите работу на исправление текущей ситуации и подготовку объяснений о прошлом периоде.
Например, если на сайте не была доступна политика, нужно разместить актуальный документ и зафиксировать дату публикации. Но нельзя представлять новую редакцию как доказательство того, что она была доступна посетителю в день его обращения несколько месяцев назад.
Не стоит:
- оформлять согласия, приказы и акты задним числом;
- удалять переписку и журналы, чтобы скрыть обстоятельства;
- заявлять об отсутствии обработки, не проверив работу сотрудников и сервисов;
- обещать в ответе меры, которые компания фактически не реализовала;
- считать обновление шаблонов достаточным исправлением технической проблемы.
Если нужного документа не было, ответ должен учитывать этот факт и реально принятые меры. Устранение нарушения важно, но само по себе не гарантирует освобождения от ответственности за прошлые действия.
Если выясняется, что ситуация связана с инцидентом с персональными данными, отдельно проверяют обязанности по уведомлению РКН и реагированию. Обычная переписка по запросу их не заменяет.
Что делать с предостережением и предписанием
Если вы согласны с замечаниями
Проверьте необходимые изменения и организуйте их выполнение. Для предписания сопоставьте каждый пункт с действием, ответственным сотрудником и подтверждением результата.
Фраза «нарушения устранены» без пояснений и приложений может не раскрывать исполнение. В зависимости от вопроса понадобятся новые документы, сведения об изменении формы сайта, подтверждение корректировки процесса или другие материалы.
Если замечание основано на ошибке
Соберите подтверждения: например, сайт принадлежит другой организации, определённая функция не используется или ведомство исходило из неактуальных сведений. Затем выбирайте подходящую процедуру — возражения на предостережение, пояснения по запросу либо обжалование решения.
Само несогласие не приостанавливает течение всех сроков. При обжаловании предписания вопрос приостановления исполнения нужно рассматривать отдельно.
Если непонятно, как исполнить предписание
Положение о контроле за обработкой ПДн предусматривает письменное консультирование РКН по выполнению предписания, выданного по итогам контрольного мероприятия. Это позволяет поставить конкретный вопрос о необходимых действиях.
Обращение за консультацией не нужно воспринимать как автоматическое продление срока. Если времени недостаточно, отдельно проверяют применимый порядок его изменения.
Источник: пункты 27–28 положения, утверждённого постановлением Правительства № 1046.
Если назначен профилактический визит или проверка
Подготовка включает изучение основания и предмета мероприятия, проверку относящихся к нему документов, согласование фактических сведений и организацию взаимодействия с инспектором.
Особенно важно различать обязательный профвизит и профвизит по инициативе самой компании. В рамках обязательного профвизита закон допускает истребование необходимых документов. Если выявленные нарушения не устранены до его окончания, предусмотрена выдача предписания. Поэтому рассчитывать, что любой профвизит ограничится рекомендациями, не следует.
Источник: статья 52.1 закона № 248-ФЗ.
Порядок нашей работы при таких мероприятиях описан на странице подготовки и сопровождения профвизита и проверки Роскомнадзора.
После отправки ответа работа не всегда заканчивается
Сохраните окончательную редакцию ответа, все приложения и подтверждения отправки. Проверьте, что документ действительно направлен и принят используемой системой, а не остался черновиком. Контролируйте последующие письма по тому же вопросу.
Если ответ подписал представитель, в архиве должны остаться и документы о его полномочиях. Если материалы направлялись частями, сохраняйте связь между отправлениями и перечнями вложений.
Проверьте также, что изменения продолжают работать: разработчик не вернул старую форму после обновления, сотрудники применяют новые инструкции, а сведения уведомления соответствуют фактической обработке.
Как «Софист» помогает при обращениях Роскомнадзора
Мы начинаем с полученного документа: определяем процедуру, сроки, вопросы ведомства и объём необходимых материалов. Затем проверяем факты, формируем правовую позицию и помогаем подготовить документы и практические действия.
До начала работы согласовываем, что именно входит в поручение: консультация, изучение материалов, подготовка ответа, сопровождение мероприятия или устранение выявленных проблем.
| Формат | Для какой ситуации подходит | Стоимость |
|---|---|---|
| Консультация по персональным данным | Нужно разобраться в документе, обсудить риски и порядок действий | 5 000 руб. за час |
| Подготовка и сопровождение профвизита | Предстоит профилактическое мероприятие РКН | 35 000 руб. |
| Сопровождение проверки Роскомнадзора | Назначена проверка, требуется подготовка позиции и взаимодействие с ведомством | От 70 000 руб. |
Предварительное изучение объёмных материалов, письменное заключение и подготовка ответа не входят автоматически в один час консультации. Если задача требует нескольких часов или отдельного письменного результата, согласовываем это заранее. Ответ на самостоятельный запрос РКН также не приравниваем автоматически к сопровождению полноценной проверки: объём работы определяем по самому документу.
Если после письма нужно привести обработку данных в порядок
Для этого предусмотрены существующие пакеты юридической работы по персональным данным:
- «Базовый» — 35 000 руб. Подготовка или проверка уведомления РКН, политика, необходимые согласия, проверка сайта и рекомендации, правовая проверка соблюдения требований к локализации.
- «Универсальный» — 50 000 руб. Всё из базового пакета и расширенное оформление внутренних процедур: работа с данными сотрудников и клиентов, подрядчики, хранение и уничтожение, распределение обязанностей. В комплект входят инструкция по применению документов и повторная проверка сайта после рекомендованных изменений.
Если вопрос ограничивается уведомлением об обработке ПДн, соответствующая услуга стоит 10 000 руб. Подготовка уведомления не заменяет подготовку ответа на письмо ведомства.
Сопровождение уже начавшейся проверки или подготовка ответа на запрос не включаются в пакет автоматически. При сочетании задач заранее определяем общий состав работ, чтобы клиент понимал, за какой результат платит.
Опыт, персональное участие и условия работы
Юридическая практика «Софист» работает с 2016 года. Мы сопровождаем крупные предприятия Татарстана, IT-проекты, стартапы и компании сферы услуг. В работе по ПДн связываем документы с фактическими процессами: сбором данных, использованием сервисов, доступом сотрудников и передачей подрядчикам.
Работаем по договору, согласовываем состав услуг, стоимость и сроки, соблюдаем конфиденциальность полученных материалов. Для клиентов из других регионов возможен дистанционный формат.
Мы отвечаем за согласованный объём и качество юридической работы.
Подробнее о практике — на странице «О нас», примеры выполненных проектов — в разделе кейсов.
Казанский хлебозавод № 3
Благодарственное письмо о сотрудничестве с юридической практикой «Софист».
ИП Кустов В.Ю.
Благодарственное письмо о сотрудничестве с юридической практикой «Софист».
Часто задаваемые вопросы
Можно просто исправить сайт и не отвечать?
Если получен обязательный запрос информации, исправление сайта не отменяет обязанность ответить. Если это предостережение, порядок другой: сначала нужно определить, какие меры необходимы и есть ли основания для возражений. Решение зависит от самого документа.
Наши документы готовил другой юрист. Вы сможете помочь?
Да. Изучим имеющиеся материалы и определим, что можно использовать, что нужно доработать и какие обстоятельства дополнительно проверить. Полностью переделывать комплект документов только из-за смены исполнителя не требуется.
До окончания срока осталось несколько дней. Есть смысл обращаться?
Да, но сначала нужно оценить объём вопросов и доступные материалы. Приоритет — проверить срок, определить срочные действия и возможность его продления. Срок подготовки и результат, который реально получить за оставшееся время, согласовываем до начала работы.
Нужно ли сразу заказывать полный аудит компании?
Не всегда. Если запрос касается конкретного сайта, документа или обращения человека, можно начать с относящихся к нему обстоятельств. Более широкий аудит нужен, когда обнаруживаются системные проблемы или без изучения процессов нельзя подготовить достоверную позицию.
Можете только проверить наш проект ответа?
Да. Можно согласовать проверку готового текста и приложений. Для содержательной оценки понадобятся письмо РКН и материалы, на которых основаны ваши пояснения. Если выяснится, что нужна дополнительная работа с фактами или документами, обсудим её отдельно.
Если заказать пакет документов, вы ответите РКН в его стоимости?
Это разные задачи. Пакет оформляет обработку ПДн, а ответ требует изучения конкретного обращения, фактов и доказательств. При необходимости объединим работы в одном поручении, заранее согласовав состав, сроки и стоимость.
Вы гарантируете, что после ответа штрафа не будет?
Такую гарантию дать нельзя. Наша задача — подготовить обоснованную позицию, необходимые подтверждения и рекомендации, помочь устранить выявленные нарушения и соблюсти применимую процедуру. Перспективы оцениваем после изучения материалов.