Пришло требование от Роскомнадзора: что делать и как ответить

1. Как выглядит официальное требование Роскомнадзора?

Официальное требование регулятора оформляется на фирменном бланке территориального управления Роскомнадзора и обязательно содержит исходящий номер, дату, подпись уполномоченного должностного лица (или ЭЦП) и печать ведомства. В тексте документа всегда указываются правовые основания для запроса — например, ссылка на ст. 22 или ст. 21 Федерального закона № 152-ФЗ «О персональных данных», а также конкретный перечень вопросов, документов и сведений, которые организация обязана предоставить.

Требование может поступить несколькими путями:

• Кабинет оператора: Электронным документом через систему Кабинет оператора на официальном портале РКН.
• Заказное письмо: Заказным почтовым отправлением с уведомлением о вручении на юридический (или фактический) адрес компании.
• Система СМЭВ: По официальным каналам системы межведомственного электронного взаимодействия (СМЭВ), если компания интегрирована с государственными сервисами.

2. В какой срок нужно ответить на требование РКН?

Стандартный срок подготовки мотивированного ответа на запрос Роскомнадзора составляет 10 рабочих дней с момента получения требования организацией. В ряде случаев, связанных с фиксацией инцидентов или подозрением на массовые утечки персональных данных, регулятор имеет право установить сокращенный или экстренный срок реагирования.

3. Что будет, если проигнорировать требование?

Попытка проигнорировать официальный запрос регулятора — самый быстрый способ парализовать бизнес. Молчание или умышленное сокрытие информации влечет за собой целый комплекс жестких правовых последствий:

• Административные штрафы на юридическое лицо и персонально на генерального директора за непредставление сведений.
• Назначение немедленной внеплановой выездной проверки Роскомнадзора с привлечением органов прокуратуры.
• Постановка ИТ-ресурсов компании на особый жесткий контроль ведомства.
• Внесение сайта организации в Реестр нарушителей прав субъектов персональных данных, что означает его полную и бессрочную блокировку на территории РФ.

4. Какие документы приложить к ответу на требование?

Ответ на требование Роскомнадзора должен быть юридически безупречным и технически обоснованным. К мотивированному ответу прилагается заверенная копия обязательного пакета документов по 152-ФЗ, который в полной конфигурации включает в себя более 70 локальных нормативных актов:

• Политика обработки персональных данных (которая также должна быть физически опубликована на вашем сайте).
• Положение о защите персональных данных сотрудников и согласия на обработку ПДн.
• Приказы о назначении ответственных лиц за организацию обработки и обеспечение безопасности данных.
• Перечень ИСПДн (информационных систем персональных данных) и утвержденные модели угроз, разработанные совместно с экспертами по кибербезопасности.
• Журналы учета обращений субъектов, внутренние регламенты реагирования на инциденты и акты уничтожения данных.

Если компания осуществляет деятельность в сфере медицины, промышленности или ИТ и признается субъектом КИИ (187-ФЗ), РКН может запросить документы, подтверждающие разделение контуров безопасности и категорирование ИТ-систем.

5. Можно ли запросить продление срока ответа?

Да, закон предусматривает возможность продления срока предоставления информации, но только при наличии мотивированного и обоснованного ходатайства. Продлить десятидневный срок можно максимум на 5 рабочих дней.

Ходатайство о продлении должно быть направлено в Роскомнадзор строго до истечения первоначального срока ответа. В документе необходимо детально обосновать, почему компании требуется дополнительное время (например, большой объем запрашиваемых архивных документов, необходимость проведения глубокого технического аудита ИТ-инфраструктуры силами привлеченных специалистов консорциума и т.д.).

6. Как отвечать, если вы не являетесь оператором ПДн?

В практике часто встречается заблуждение: руководители считают, что если у компании нет сайта, интернет-магазина или CRM-системы, то они не являются операторами данных. Это критическая ошибка. Каждое юридическое лицо, у которого есть хотя бы один наемный сотрудник, собирает брифы клиентов или заключает договоры с контрагентами (ФИО, паспортные данные, телефоны), автоматически является Оператором персональных данных по закону 152-ФЗ.

Если вы получили требование, написать в ответ «мы не обрабатываем данные» нельзя. Такой ответ спровоцирует выездную проверку. Необходимо предоставить мотивированную правовую позицию, подготовленную адвокатом, которая четко разграничит, какие именно категории данных, в каких минимальных объемах и на каких законных основаниях (например, строго в рамках трудового законодательства) обрабатываются в вашей компании.

7. Что делать, если требование пришло по ошибке?

Даже если запрос регулятора направлен вам ошибочно (например, из-за совпадения наименований компаний, схожих доменных имен сайтов или технических сбоев в базах самого ведомства), оставлять его без официального ответа категорически запрещено.

В данном случае алгоритм триумвирата включает следующие шаги:

• Технический экспресс-аудит: ИТ-команда «Сайт Мэйкерс» проверяет, не привязаны ли к вашим серверам сторонние формы сбора данных, формы лидов или зарубежные трекеры.
• Документарный анализ: Методологи «Стратегии Ра» проверяют юридическую чистоту ваших ИТ-ресурсов.
• Формирование ответа: Адвокат составляет официальное письмо-ответ, где на основе технических логов и правовых аргументов аргументированно доказывает ведомству отсутствие факта владения или администрирования указанным в требовании ресурсом.

8. Как оспорить требование Роскомнадзора?

Если Роскомнадзор вынес незаконное предписание, наложил необоснованный штраф или требует предоставить информацию, составляющую охраняемую законом тайну, без должных основанием, такие действия подлежат оспариванию.

Оспорить требование можно двумя путями:

• В административном порядке — путем подачи жалобы на имя руководителя вышестоящего управления Роскомнадзора.
• В судебном порядке — посредством подачи искового заявления в арбитражный суд в рамках административного судопроизводства (КАС РФ).

Оспаривание требует выстраивания непреступной правовой позиции. Адвокат Денис Леович Гросс обеспечивает полное процессуальное сопровождение судебных тяжб и споров с регуляторами, защищая компанию от банкротства, а руководство — от административного и уголовного преследования.

9. Нужен ли адвокат для ответа на требование?

Привлечение профессионального адвоката — это не просто юридическая необходимость, а единственный способ защитить конфиденциальные сведения вашей компании от изъятия.

Штатные юристы или системные администраторы обязаны выдать любые внутренние документы, исходные коды и регламенты компании по первому официальному запросу проверяющих органов. В отличие от них, вся переписка, материалы технического аудита ИТ-инфраструктуры и юридический консалтинг, переданные независимому адвокату, полностью защищены адвокатской тайной (ст. 8 ФЗ № 63 «Об адвокатской деятельности и адвокатуре в РФ»). Ни Роскомнадзор, ни ФСТЭК, ни силовые ведомства (ФСБ) не имеют законного права изъять эти материалы из адвокатского производства.

10. Что грозит за неполный или недостоверный ответ?

Попытка скрыть реальное положение дел, предоставить сфальсифицированные акты или неполный пакет документов оборачивается для бизнеса колоссальными материальными убытками:

• По ч. 2 ст. 13.11 КоАП РФ: За обработку персональных данных (особенно специальных категорий, таких как сведения о здоровье в медицинских МИС) без надлежащего письменного согласия или с нарушениями совокупный расчетный риск по штрафам составляет от 700 000 до 1 500 000 рублей за каждый выявленный факт отдельно.
• За сокрытие фактов компрометации данных: Штрафы за массовые утечки баз данных составляют до 15 000 000 – 20 000 000 рублей, а при повторном инциденте компании грозит оборотный штраф до 3% от всей годовой выручки предприятия.
• Персональные риски топ-менеджмента: Для генерального директора предусмотрены штрафы до 1 млн рублей и личная дисквалификация на срок до 3 лет. Если же неполный ответ скрывал сбой на неоткатегорированном объекте критической инфраструктуры (КИИ) по 187-ФЗ, наступает личная уголовная ответственность по ст. 274.1 УК РФ с риском лишения свободы на срок до 10 лет.