БлогУведомление в Роскомнадзор об обработке персональных данных: кому, когда и как подать
Роскомнадзор проверяет сайты автоматически. Разбираем, что известно о системе мониторинга, какие признаки нарушений она фиксирует, чем это грозит и как проверить свой сайт теми же методами до того, как это сделает ведомство.
Опубликовано · 3 мин · Арсон тех
С 2025 года в поиске резко выросло число запросов про «бота Роскомнадзора». Поводом стали сообщения ведомства об автоматизированном мониторинге сайтов на предмет нарушений законодательства о персональных данных и первые предостережения, которые компании получили без всякой жалобы и без выезда. Разберём, что об этом известно и что это меняет для владельца сайта.
Роскомнадзор публично говорил о внедрении систем автоматизированного мониторинга, которые программно обходят сайты, зарегистрированные в российском сегменте, и фиксируют признаки нарушений: отсутствие политики, формы без согласия, передачу данных за рубеж. Технические детали ведомство не раскрывает, и мы не будем додумывать за него. Но по характеру предостережений, которые видели наши клиенты, картина складывается достаточно ясная.
Система работает с тем, что доступно любому посетителю: HTML страницы, подключённые скрипты, сетевые запросы, которые делает браузер, формы и их поля. Это ровно тот же набор данных, с которым работает любой сканер, в том числе наш.
Из предостережений и запросов пояснений, которые мы разбирали, можно выделить признаки, которые фиксируются автоматически.
Чего автоматическая проверка не видит: что происходит с данными после отправки формы, где они хранятся, кто имеет доступ, есть ли договоры с обработчиками. Это предмет проверки по документам, которая может последовать за автоматической.
Типичный сценарий такой. Компании приходит предостережение о недопустимости нарушения обязательных требований с перечнем признаков и предложением устранить. Это ещё не наказание. Если признаки устранены, история часто на этом заканчивается. Если не устранены или если нарушение явное, например обработка без согласия при большом трафике, следует запрос пояснений, затем протокол и штраф по статье 13.11 КоАП. Суммы мы собрали в статье про штрафы по 152-ФЗ.
Отдельная история с реестром: если сайт собирает данные, а оператора в реестре нет, это фиксируется само по себе и ведёт к штрафу за неподачу уведомления. Как подать, в главном гайде.
Логика простая: если ведомство смотрит на сайт глазами программы, посмотрите на него так же до ведомства. Мы сделали для этого бесплатный инструмент. Сканер открывает главную страницу как обычный посетитель, находит формы и их элементы согласия, фиксирует счётчики и внешние сервисы, проверяет наличие политики и показывает, какие нормы затронуты и какие штрафы возможны.
Один из признаков в результате показывается полностью, остальные перечислены по категориям, подробности в полном отчёте. Для первого понимания масштаба хватает и бесплатной версии: если сканер нашёл семь признаков, автоматическая проверка ведомства найдёт примерно то же.
Дальше либо правите сами по списку из статьи про дистанционную проверку, либо отдаёте нам: в аудите мы закрываем и видимую часть, и то, что снаружи не видно.
Аудит 152-ФЗ
Оставьте контакт, разберём вашу ситуацию и дадим оценку за один рабочий день.
Разбираем без юридического тумана: кто обязан уведомить Роскомнадзор, какие сроки, что писать в форме, как подать через Госуслуги, как проверить себя в реестре и что будет, если не подать.
Как устроена проверка сайта без выезда: что смотрит инспектор и автоматические системы, какие нарушения находят чаще всего и как подготовиться, чтобы проверка закончилась ничем.
Где искать реестр операторов персональных данных, как найти себя или контрагента по ИНН, что означают статусы записи и что делать, если запись есть, но данные в ней устарели.