РКН Аудит
Два самых частых нарушения прав субъекта персональных данных закон выделил в отдельные составы КоАП. Если оператор не ответил на запрос человека о том, как обрабатываются его данные, — это часть 4 статьи 13.11 КоАП: для юридических лиц от 40 000 до 80 000 рублей. Если не выполнил требование уточнить, заблокировать или уничтожить данные — часть 5 той же статьи: от 50 000 до 90 000 рублей. Суммы небольшие, но дело здесь чаще возбуждается не роботом, а по обращению человека, и самое дорогое последствие — не штраф, а ограничение доступа к сайту.
Проверить бесплатно, что Роскомнадзор увидит на вашем сайте ←
Какие права закон даёт субъекту персональных данных?
Прежде чем говорить о санкциях, стоит назвать сами права: почти каждое из них имеет собственный срок, и именно пропуск срока превращает переписку в дело.
| Право субъекта | Что обязан сделать оператор | Срок | Норма |
|---|---|---|---|
| Получить информацию об обработке своих данных | дать сведения по перечню закона либо письменный мотивированный отказ | 10 рабочих дней, продление не более чем на 5 рабочих дней по мотивированному уведомлению | статьи 14 и 20 закона 152-ФЗ |
| Потребовать уточнения неполных, устаревших, неточных данных | уточнить данные | 7 рабочих дней со дня представления подтверждающих сведений | статьи 14 и 20 закона 152-ФЗ |
| Потребовать уничтожения незаконно полученных или не нужных для цели данных | уничтожить данные | 7 рабочих дней | статьи 14 и 20 закона 152-ФЗ |
| Потребовать прекратить обработку | прекратить обработку | 10 рабочих дней, с продлением не более чем на 5 рабочих дней | статья 21 закона 152-ФЗ |
| Отозвать согласие | прекратить обработку, уничтожить данные, если они больше не нужны для целей обработки | 30 дней | статья 21 закона 152-ФЗ |
| Возразить против решения на основании исключительно автоматизированной обработки | рассмотреть возражение и уведомить о результатах | 30 дней со дня получения возражения | часть 4 статьи 16 закона 152-ФЗ |
| Потребовать прекратить распространение данных, разрешённых для распространения | прекратить передачу | 3 рабочих дня | статья 10.1 закона 152-ФЗ |
Детальный разбор оснований и сроков уничтожения — в статье «Право на удаление персональных данных». Там же объяснено, почему тридцать дней — это срок на уничтожение, а не на ответ, и почему их постоянно путают.
Сколько стоит нарушение прав субъекта?
| Кто нарушил | Часть 4 статьи 13.11 КоАП: не предоставил информацию | Часть 5 статьи 13.11 КоАП: не уточнил, не заблокировал, не уничтожил |
|---|---|---|
| Граждане | 2 000 – 4 000 ₽ | 2 000 – 4 000 ₽ |
| Должностные лица | 8 000 – 12 000 ₽ | 8 000 – 20 000 ₽ |
| Индивидуальные предприниматели | 20 000 – 30 000 ₽ | 20 000 – 40 000 ₽ |
| Юридические лица | 40 000 – 80 000 ₽ | 50 000 – 90 000 ₽ |
На фоне санкций за локализацию, где нижняя граница для юридического лица — миллион рублей, эти суммы выглядят скромно. Но у состава другая механика: он возникает не из того, что видно на сайте, а из конкретного человека, которому не ответили, — и один такой человек открывает регулятору весь сайт целиком.
Части 4 и 5 при этом закрывают не все строки таблицы выше. Неуничтожение данных после отзыва согласия или по достижении цели обработки под часть 5 не подпадает — это нарушение статьи 21 закона 152-ФЗ, и квалифицируется оно иначе; то же касается возражения против автоматизированного решения и требования прекратить распространение по статье 10.1 того же закона 152-ФЗ. Разбор — в статье «Право на удаление персональных данных».
Чем часть 4 отличается от части 5?
Различие простое и стоит того, чтобы его запомнить: информация или действие.
Часть 4 — про информацию. Человек написал: «Какие мои данные вы обрабатываете, на каком основании, кому передаёте, откуда получили?» Закон в статье 14 закона 152-ФЗ перечисляет, что именно оператор обязан сообщить. Нарушение — молчание, отписка не по существу или отказ без мотивировки.
Часть 5 — про действие. Человек написал: «Мои данные неточны, уточните» или «Вы получили мои данные незаконно, уничтожьте». Обязанность здесь не рассказать, а сделать, и сделать в срок. Нарушение — данные остались как были. Требование при этом может исходить не только от человека: часть 5 равно наказывает невыполнение требования об уточнении, блокировании или уничтожении, предъявленного самим Роскомнадзором как уполномоченным органом по защите прав субъектов персональных данных.
Важная деталь, которая снимает половину страхов: обязанность выполнить требование не безусловна. Если обработка идёт на законном основании, не связанном с согласием, — например, для исполнения договора или потому, что срок хранения документов установлен законом, — оператор вправе продолжить обработку. Но и тогда он обязан дать письменный мотивированный ответ со ссылкой на основание. Отказ по существу — это позиция. Молчание — это состав.
Кто возбуждает дело и с чего оно начинается?
У этого состава другая механика, чем у нарушений, которые видно на сайте.
Нарушение в форме или политике находит автоматизированная система мониторинга — как она устроена, разобрано в статье «Бот РКН: как Роскомнадзор мониторит сайты». Нарушение прав субъекта робот не увидит в принципе: он не может знать, ответили вы человеку или нет.
Поэтому цепочка выглядит так:
- Обращение. Человек, не получивший ответа, подаёт жалобу в Роскомнадзор — через электронную форму на сайте ведомства или письмом.
- Проверка доводов. Роскомнадзор запрашивает у оператора пояснения и документы. Срок ответа на запрос — 10 рабочих дней по статье 20 закона 152-ФЗ. Что именно запрашивают, перечислено в статье «Проверка Роскомнадзора: какие документы запрашивают».
- Протокол. При подтверждении нарушения составляется протокол об административном правонарушении.
- Суд. Дела по статье 13.11 КоАП рассматривают судьи. Роскомнадзор в таком деле сторона, а не тот, кто назначает наказание. Порядок обжалования разобран в статье «Оспаривание штрафа Роскомнадзора».
Практический вывод: между обращением и протоколом есть стадия, на которой всё ещё можно закрыть вопрос — ответить человеку, уточнить или уничтожить данные и показать это регулятору. Проигрывают те, кто молчит и на втором этапе тоже. Отдельно за это молчание отвечают по своим составам — разбор в статье «Ответственность за невыполнение требований Роскомнадзора».
Что грозит помимо штрафа?
Ограничение доступа к сайту. Статья 15.5 закона 149-ФЗ устанавливает порядок ограничения доступа к информации, обрабатываемой с нарушением законодательства в области персональных данных. Роскомнадзор ведёт реестр нарушителей прав субъектов персональных данных; основанием для включения служит вступивший в законную силу судебный акт. Дальше всё быстро: надзорный орган уведомляет хостинг-провайдера, тот в течение рабочего дня извещает владельца сайта, у владельца — рабочий день на устранение нарушения, иначе доступ ограничивается. Сведения исключаются из реестра в течение трёх дней после подтверждения устранения.
Если сайт приносит заказы, блокировка бьёт по выручке напрямую и мгновенно — в отличие от штрафа, который можно рассрочить или обжаловать. Именно это, а не сумма по КоАП, делает состав по правам субъекта неприятным.
Гражданский иск. Административный штраф уходит в бюджет, а не человеку. Субъект вправе отдельно требовать возмещения убытков и компенсации морального вреда — эта возможность прямо названа в статье 17 закона 152-ФЗ.
Повод для широкой проверки. Обращение по одному эпизоду открывает регулятору доступ ко всей картине: есть ли политика, подано ли уведомление в реестр операторов, как оформлены согласия. Дело, начавшееся с одного неотвеченного письма, легко заканчивается несколькими составами сразу.
Как выглядит типичный сценарий у небольшого сайта?
Почти всегда одинаково, и ни на одном шаге нет злого умысла.
Человек оставил заявку год назад. Потом получил рассылку и попросил удалить его данные — написал на адрес из подвала сайта. Адрес заведён на бывшего сотрудника либо уходит в спам. Через месяц человек пишет ещё раз, потом — жалобу в Роскомнадзор. К моменту запроса от регулятора компания не может даже восстановить переписку: адрес не читается, тикетов нет, кто и что удалил из базы — неизвестно.
Дальше выясняется вторая часть проблемы: в политике обработки указан один адрес для обращений, в форме обратной связи — другой, а фактически данные лежат в трёх местах, включая таблицу у маркетолога. Даже при полном желании исполнить требование оператор не может доказать, что исполнил его. Про расхождение документов и реальности — в статье «Политика не совпадает с формами на сайте».
Что сделать, чтобы обращение не превратилось в дело?
- Заведите рабочий канал для обращений. Один адрес или форма, указанные в политике, с реальным получателем и ответственным. Проверьте, что письма туда доходят, — отправьте себе тестовое.
- Ведите журнал обращений. Дата получения, суть требования, дата и содержание ответа, что сделали с данными. Без журнала соблюдение срока нечем подтвердить.
- Считайте срок от даты получения. 10 рабочих дней на ответ, 7 рабочих дней на уточнение или уничтожение, 3 рабочих дня на прекращение неправомерной обработки, 30 дней на уничтожение при отзыве согласия и достижении цели.
- Отвечайте письменно даже при отказе — с указанием основания, по которому обработка продолжается.
- Знайте, где лежат данные. Требование об уничтожении распространяется на резервные копии, выгрузки, почту и облачные таблицы, а не только на основную базу.
- Закройте то, что видно снаружи. Политика по доступному адресу, корректные тексты согласий, счётчики после согласия: жалоба человека открывает регулятору весь сайт целиком, и найдено будет всё, что найдётся.
Шестой пункт проверяется автоматически и бесплатно — с него дешевле всего начать.
→ Проверить сайт на нарушения 152-ФЗ (бесплатно, 30 секунд)
Что читать дальше
- Право на удаление персональных данных — основания, сроки и когда оператор вправе отказать
- Оспаривание штрафа Роскомнадзора — что делать, если постановление уже вынесено
- Судебная практика по штрафам Роскомнадзора — где искать решения по статье 13.11 КоАП
- Ответственность за невыполнение требований Роскомнадзора — что стоит проигнорированный запрос регулятора
- Штрафы Роскомнадзора за персональные данные в 2026 — обзор основных составов статьи 13.11 и штрафов за утечки
Источники: Федеральный закон 152-ФЗ «О персональных данных» — статьи 10.1, 14, 16, 17, 20 и 21; статья 13.11 КоАП РФ — части 4 и 5; статья 15.5 Федерального закона 149-ФЗ; раздел Роскомнадзора о защите прав субъектов персональных данных.