Спокуха! › Блог › Письмо от Роскомнадзора о нарушениях на сайте: как проверить и что ответить

Письмо от Роскомнадзора о нарушениях на сайте: как проверить и что ответить

Редакция "Спокухи!" · 20 октября 2026 г. · 7 мин чтения

Короткий ответ: сначала проверьте, что письмо настоящее. Роскомнадзор отправляет письма только с адресов в домене @rkn.gov.ru, и они подписаны электронной подписью в формате .sig, которую можно проверить на портале Госуслуг. На настоящий запрос сведений о персональных данных закон даёт 10 рабочих дней. Логин и пароль от админки сайта по таким письмам не передают никому.

Ниже — как отличить настоящее письмо от поддельного, что Роскомнадзор вправе запросить по закону, в какой срок отвечать и что будет, если промолчать.

Почему таких писем стало много

В 2026 году письма «от Роскомнадзора» владельцам сайтов стали заметной темой:

Февраль. Роскомнадзор предупредил о поддельных письмах от имени своих территориальных управлений — о запрете IT-сервисов на рабочих местах. Тогда же он напомнил: все его письма и письма территориальных органов содержат электронную подпись в формате .sig, а официальная почта — адреса вида name@rkn.gov.ru (Код, 26.02.2026).
Апрель. В сети разошлись сообщения о «боте Роскомнадзора», который якобы автоматически проверяет сайты и рассылает предписания с 10 днями на устранение. 30 апреля Роскомнадзор сообщил ТАСС, что слухи о массовых рассылках не соответствуют действительности: «предписания», которые получили организации в Волгограде и Калмыкии, не содержали электронной подписи (Rozetked со ссылкой на ТАСС, 30.04.2026).
Июнь. Заместитель председателя комитета Госдумы по бюджету и налогам Каплан Панеш рассказал ТАСС о схеме, в которой мошенники от имени Роскомнадзора ссылаются на нарушения требований к идентификации доменов, грозят штрафами от 1 до 45 тысяч рублей и просят доступ к админке, а получив его, меняют пароли и требуют деньги за возврат сайта. По его словам, мошенники чаще выбирают сайты с незаполненными или устаревшими сведениями о владельце (Новости Mail, 27.06.2026).

Вывод: письмо с гербом и ссылками на 152-ФЗ само по себе ничего не доказывает. Сначала — проверка подлинности, потом — ответ по существу.

Как проверить, что письмо настоящее

Адрес отправителя — в домене rkn.gov.ru. Смотрите на сам адрес, а не на имя отправителя: имя в почте можно написать любое. Похожие домены и адреса на бесплатных почтовых сервисах — не Роскомнадзор.
К письму приложена электронная подпись .sig. Её подлинность и срок действия проверяются на портале Госуслуг, в сервисе проверки электронной подписи. Подписи нет или она не проходит проверку — письмо ненастоящее.
В письме есть конкретика. По словам Каплана Панеша, в официальном уведомлении указаны период проверки, перечень нарушений, страницы сайта, где они найдены, список исправлений и сроки. Общая фраза «на вашем сайте выявлены нарушения» без адресов страниц — повод насторожиться.
Никаких логинов, паролей и платных «аудитов». «Государственные органы не просят доступ к админке сайта и не предлагают платные услуги по „аудиту“», — сказал Панеш. В перечне прав Роскомнадзора (ст. 23 ч. 3 152-ФЗ) есть право запрашивать информацию, но нет права требовать логин и пароль от сайта.
Сомневаетесь — позвоните сами. Телефон территориального управления возьмите на сайте rkn.gov.ru, а не из письма.

Если письмо поддельное

не переходите по ссылкам из письма и не запускайте вложения;
не отвечайте и не передавайте логины, пароли и коды из СМС;
если доступ уже передан — сразу смените пароли от админки, хостинга и почты и напишите в поддержку хостинга (так советует и Панеш);
если письмо ссылается на идентификацию домена — уточните у своего регистратора домена, зайдя на его сайт напрямую, а не по ссылке из письма.

Поддельное письмо — хороший повод всё же проверить сайт: раз мошенники выбирают сайты с пробелами в сведениях о владельце, стоит убедиться, что наименование владельца и контакты на сайте указаны.

Если письмо настоящее

Срок ответа — 10 рабочих дней

Оператор обязан сообщить Роскомнадзору по его запросу необходимую информацию в течение десяти рабочих дней с даты получения запроса (ст. 20 ч. 4 152-ФЗ). Срок можно продлить не более чем на пять рабочих дней — для этого Роскомнадзору направляют мотивированное уведомление с причинами продления.

Что Роскомнадзор вправе запросить и потребовать

Права из ст. 23 ч. 3 152-ФЗ, которые касаются сайта:

запрашивать информацию, необходимую для его полномочий, и получать её безвозмездно (п. 1);
проверять сведения из уведомления об обработке персональных данных (п. 2) — поэтому уведомление в реестре операторов стоит заранее сверить с тем, что на самом деле собирает сайт;
требовать уточнить, заблокировать или уничтожить недостоверные или полученные незаконным путём персональные данные (п. 3).

Если запрос касается неправомерной обработки данных конкретного человека, эти данные нужно заблокировать с момента получения запроса на период проверки (ст. 21 ч. 1 152-ФЗ).

Как подготовить ответ

Это наши рекомендации, а не требования закона:

отвечайте на каждый вопрос запроса по порядку и в срок;
дайте ссылки на документы или приложите их: политика обработки персональных данных, текст согласия в формах, номер записи в реестре операторов;
если в письме названы нарушения — исправьте их и опишите, что сделано: страница, как было, как стало;
отправьте ответ тем способом и по тем реквизитам, которые указаны в самом запросе, и сохраните копию с подтверждением отправки.

Что будет, если не ответить

Запрос — это вопрос, а не штраф. Но молчание и невыполненные требования имеют свою цену:

Нарушение	Норма	Юрлицо	ИП
Не ответили на запрос, опоздали, ответили не полностью или с искажениями	ст. 19.7 КоАП	предупреждение или 3 000 – 5 000 ₽	предупреждение или 300 – 500 ₽
Не выполнили требование уточнить, заблокировать или уничтожить данные	ст. 13.11 ч. 5 КоАП	50 000 – 90 000 ₽	20 000 – 40 000 ₽
Не подали уведомление об обработке персональных данных	ст. 13.11 ч. 10 КоАП	100 000 – 300 000 ₽	30 000 – 50 000 ₽

В ст. 13.11 КоАП нет отдельной части за неответ на запрос Роскомнадзора, поэтому, по нашей оценке, применяется общая ст. 19.7 — о непредставлении сведений в контролирующий орган. Где статья не выделяет ИП отдельно (ст. 19.7, ст. 13.11 ч. 10), ИП отвечает как должностное лицо (примечание к ст. 2.4 КоАП). Все суммы — по действующей редакции кодекса; подробнее — в таблице штрафов по 152-ФЗ.

Проверьте сайт до ответа

Перед ответом стоит пройтись по базовым требованиям — те же сведения пригодятся и в самом ответе:

политика обработки персональных данных опубликована и на неё есть ссылка у форм;
галочка согласия в форме — отдельная и не отмечена заранее;
есть уведомление о cookie, а счётчики — российские;
сервер с данными посетителей — в России;
уведомление в Роскомнадзор подано и совпадает с тем, что собирает сайт;
наименование владельца указано на сайте.

«Спокуха!» бесплатно проверит сайт по протоколу и покажет, какие пункты в порядке, а какие нет, — со ссылками на нормы и суммами штрафов. Проверить сайт.

Вопросы и ответы

Как проверить электронную подпись письма Роскомнадзора?

Сохраните письмо и приложенный файл подписи .sig и загрузите их в сервис проверки электронной подписи на портале Госуслуг: он покажет, подлинна ли подпись и не истёк ли срок её действия. Роскомнадзор сам говорит, что все его письма и письма территориальных управлений должны быть подписаны.

Сколько дней даётся на ответ на запрос Роскомнадзора?

Десять рабочих дней с даты получения запроса (ст. 20 ч. 4 152-ФЗ). Срок можно продлить ещё не более чем на пять рабочих дней, если направить Роскомнадзору мотивированное уведомление с причинами продления.

Может ли Роскомнадзор попросить логин и пароль от сайта?

В перечне прав Роскомнадзора в ст. 23 ч. 3 152-ФЗ такого права нет: он вправе запрашивать информацию, а не доступ к сайту. Просьба передать логин и пароль — признак мошенничества. Если доступ уже передан, смените пароли от админки, хостинга и почты и напишите в поддержку хостинга.

Правда ли, что Роскомнадзор автоматически проверяет все сайты и рассылает предписания?

Сообщения об этом весной 2026 года Роскомнадзор назвал недостоверными (заявление ТАСС 30.04.2026). Требования 152-ФЗ и штрафы по ст. 13.11 КоАП от этого не меняются: их стоит выполнять независимо от того, пришло письмо или нет.

Письмо настоящее, а уведомление в Роскомнадзор мы не подавали. Что делать?

Подайте уведомление: это бесплатно, через Госуслуги или форму на сайте Роскомнадзора. Закон требует подать его до начала обработки персональных данных (ст. 22 ч. 1 152-ФЗ). Исключения узкие — например, обработка исключительно без средств автоматизации (ст. 22 ч. 2 п. 8); сайт с формой заявки или счётчиками под него, по нашей оценке, не подпадает.

Пункты протокола по теме

4.7Подано ли уведомление в Роскомнадзор об обработке персональных данных?проверьте сами
1.1Опубликована ли на сайте политика обработки персональных данных?требование закона
2.1Есть ли у формы галочка согласия на обработку персональных данных?требование закона
3.1Есть ли на сайте уведомление о cookie?требование закона
5.1Указано ли на сайте наименование владельца?требование закона