# Письмо от Роскомнадзора о нарушениях на сайте: как проверить и что ответить

Пришло письмо от Роскомнадзора о нарушениях на сайте или запрос сведений о персональных данных? Как отличить настоящее письмо от поддельного (адрес @rkn.gov.ru, электронная подпись .sig), в какой срок отвечать по ст. 20 ч. 4 закона 152-ФЗ, что Роскомнадзор вправе запросить, какие штрафы за неответ и почему логин и пароль от админки нельзя передавать никому.

Автор: Редакция "Спокухи!", автор статей. Опубликовано 2026-10-20.

Короткий ответ: **сначала проверьте, что письмо настоящее.** Роскомнадзор отправляет письма только с адресов в домене @rkn.gov.ru, и они подписаны электронной подписью в формате .sig, которую можно проверить на портале Госуслуг. На настоящий запрос сведений о персональных данных закон даёт 10 рабочих дней. Логин и пароль от админки сайта по таким письмам не передают никому.

Ниже — как отличить настоящее письмо от поддельного, что Роскомнадзор вправе запросить по закону, в какой срок отвечать и что будет, если промолчать.

## Почему таких писем стало много

В 2026 году письма «от Роскомнадзора» владельцам сайтов стали заметной темой:

- **Февраль.** Роскомнадзор предупредил о поддельных письмах от имени своих территориальных управлений — о запрете IT-сервисов на рабочих местах. Тогда же он напомнил: все его письма и письма территориальных органов содержат электронную подпись в формате .sig, а официальная почта — адреса вида name@rkn.gov.ru ([Код, 26.02.2026](https://kod.ru/roskomnadzor-rassylka-fejk)).
- **Апрель.** В сети разошлись сообщения о «боте Роскомнадзора», который якобы автоматически проверяет сайты и рассылает предписания с 10 днями на устранение. 30 апреля Роскомнадзор сообщил ТАСС, что слухи о массовых рассылках не соответствуют действительности: «предписания», которые получили организации в Волгограде и Калмыкии, не содержали электронной подписи ([Rozetked со ссылкой на ТАСС, 30.04.2026](https://rozetked.me/news/45837-v-seti-razoshlis-sluhi-o-massovyh-shtrafah-kompaniyam-za-narushenie-zakona-o-personal-nyh-dannyh-rkn-soobschil-chto-rassylki-feykovye)).
- **Июнь.** Заместитель председателя комитета Госдумы по бюджету и налогам Каплан Панеш рассказал ТАСС о схеме, в которой мошенники от имени Роскомнадзора ссылаются на нарушения требований к идентификации доменов, грозят штрафами от 1 до 45 тысяч рублей и просят доступ к админке, а получив его, меняют пароли и требуют деньги за возврат сайта. По его словам, мошенники чаще выбирают сайты с незаполненными или устаревшими сведениями о владельце ([Новости Mail, 27.06.2026](https://news.mail.ru/politics/71425475/)).

Вывод: письмо с гербом и ссылками на 152-ФЗ само по себе ничего не доказывает. Сначала — проверка подлинности, потом — ответ по существу.

## Как проверить, что письмо настоящее

1. **Адрес отправителя — в домене rkn.gov.ru.** Смотрите на сам адрес, а не на имя отправителя: имя в почте можно написать любое. Похожие домены и адреса на бесплатных почтовых сервисах — не Роскомнадзор.
2. **К письму приложена электронная подпись .sig.** Её подлинность и срок действия проверяются на портале Госуслуг, в сервисе проверки электронной подписи. Подписи нет или она не проходит проверку — письмо ненастоящее.
3. **В письме есть конкретика.** По словам Каплана Панеша, в официальном уведомлении указаны период проверки, перечень нарушений, страницы сайта, где они найдены, список исправлений и сроки. Общая фраза «на вашем сайте выявлены нарушения» без адресов страниц — повод насторожиться.
4. **Никаких логинов, паролей и платных «аудитов».** «Государственные органы не просят доступ к админке сайта и не предлагают платные услуги по „аудиту“», — сказал Панеш. В перечне прав Роскомнадзора (ст. 23 ч. 3 152-ФЗ) есть право запрашивать информацию, но нет права требовать логин и пароль от сайта.
5. **Сомневаетесь — позвоните сами.** Телефон территориального управления возьмите на сайте rkn.gov.ru, а не из письма.

## Если письмо поддельное

- не переходите по ссылкам из письма и не запускайте вложения;
- не отвечайте и не передавайте логины, пароли и коды из СМС;
- если доступ уже передан — сразу смените пароли от админки, хостинга и почты и напишите в поддержку хостинга (так советует и Панеш);
- если письмо ссылается на идентификацию домена — уточните у своего регистратора домена, зайдя на его сайт напрямую, а не по ссылке из письма.

Поддельное письмо — хороший повод всё же проверить сайт: раз мошенники выбирают сайты с пробелами в сведениях о владельце, стоит убедиться, что [наименование владельца](/protocol/5-1-naimenovanie-vladelca) и контакты на сайте указаны.

## Если письмо настоящее

### Срок ответа — 10 рабочих дней

Оператор обязан сообщить Роскомнадзору по его запросу необходимую информацию в течение десяти рабочих дней с даты получения запроса (ст. 20 ч. 4 152-ФЗ). Срок можно продлить не более чем на пять рабочих дней — для этого Роскомнадзору направляют мотивированное уведомление с причинами продления.

### Что Роскомнадзор вправе запросить и потребовать

Права из ст. 23 ч. 3 152-ФЗ, которые касаются сайта:

- запрашивать информацию, необходимую для его полномочий, и получать её безвозмездно (п. 1);
- проверять сведения из уведомления об обработке персональных данных (п. 2) — поэтому уведомление в реестре операторов стоит заранее сверить с тем, что на самом деле собирает сайт;
- требовать уточнить, заблокировать или уничтожить недостоверные или полученные незаконным путём персональные данные (п. 3).

Если запрос касается неправомерной обработки данных конкретного человека, эти данные нужно заблокировать с момента получения запроса на период проверки (ст. 21 ч. 1 152-ФЗ).

### Как подготовить ответ

Это наши рекомендации, а не требования закона:

- отвечайте на каждый вопрос запроса по порядку и в срок;
- дайте ссылки на документы или приложите их: политика обработки персональных данных, текст согласия в формах, номер записи в реестре операторов;
- если в письме названы нарушения — исправьте их и опишите, что сделано: страница, как было, как стало;
- отправьте ответ тем способом и по тем реквизитам, которые указаны в самом запросе, и сохраните копию с подтверждением отправки.

## Что будет, если не ответить

Запрос — это вопрос, а не штраф. Но молчание и невыполненные требования имеют свою цену:

| Нарушение | Норма | Юрлицо | ИП |
|---|---|---|---|
| Не ответили на запрос, опоздали, ответили не полностью или с искажениями | ст. 19.7 КоАП | предупреждение или 3 000 – 5 000 ₽ | предупреждение или 300 – 500 ₽ |
| Не выполнили требование уточнить, заблокировать или уничтожить данные | ст. 13.11 ч. 5 КоАП | 50 000 – 90 000 ₽ | 20 000 – 40 000 ₽ |
| Не подали уведомление об обработке персональных данных | ст. 13.11 ч. 10 КоАП | 100 000 – 300 000 ₽ | 30 000 – 50 000 ₽ |

*В ст. 13.11 КоАП нет отдельной части за неответ на запрос Роскомнадзора, поэтому, по нашей оценке, применяется общая ст. 19.7 — о непредставлении сведений в контролирующий орган. Где статья не выделяет ИП отдельно (ст. 19.7, ст. 13.11 ч. 10), ИП отвечает как должностное лицо (примечание к ст. 2.4 КоАП). Все суммы — по действующей редакции кодекса; подробнее — в [таблице штрафов по 152-ФЗ](/blog/shtrafy-152-fz-dlya-sajtov).*

## Проверьте сайт до ответа

Перед ответом стоит пройтись по базовым требованиям — те же сведения пригодятся и в самом ответе:

- [политика обработки персональных данных опубликована](/protocol/1-1-politika-opublikovana) и на неё есть ссылка у форм;
- [галочка согласия в форме](/protocol/2-1-galochka-soglasiya-v-forme) — отдельная и не отмечена заранее;
- есть [уведомление о cookie](/protocol/3-1-uvedomlenie-o-cookie), а счётчики — [российские](/protocol/3-9-bez-inostrannoj-analitiki);
- [сервер с данными посетителей — в России](/protocol/4-1-server-v-rossii);
- [уведомление в Роскомнадзор подано](/protocol/4-7-uvedomlenie-v-roskomnadzor) и совпадает с тем, что собирает сайт;
- [наименование владельца](/protocol/5-1-naimenovanie-vladelca) указано на сайте.

«Спокуха!» бесплатно проверит сайт по [протоколу](/protocol) и покажет, какие пункты в порядке, а какие нет, — со ссылками на нормы и суммами штрафов. [Проверить сайт](/).

## Вопросы и ответы

### Как проверить электронную подпись письма Роскомнадзора?

Сохраните письмо и приложенный файл подписи .sig и загрузите их в сервис проверки электронной подписи на портале Госуслуг: он покажет, подлинна ли подпись и не истёк ли срок её действия. Роскомнадзор сам говорит, что все его письма и письма территориальных управлений должны быть подписаны.

### Сколько дней даётся на ответ на запрос Роскомнадзора?

Десять рабочих дней с даты получения запроса (ст. 20 ч. 4 152-ФЗ). Срок можно продлить ещё не более чем на пять рабочих дней, если направить Роскомнадзору мотивированное уведомление с причинами продления.

### Может ли Роскомнадзор попросить логин и пароль от сайта?

В перечне прав Роскомнадзора в ст. 23 ч. 3 152-ФЗ такого права нет: он вправе запрашивать информацию, а не доступ к сайту. Просьба передать логин и пароль — признак мошенничества. Если доступ уже передан, смените пароли от админки, хостинга и почты и напишите в поддержку хостинга.

### Правда ли, что Роскомнадзор автоматически проверяет все сайты и рассылает предписания?

Сообщения об этом весной 2026 года Роскомнадзор назвал недостоверными (заявление ТАСС 30.04.2026). Требования 152-ФЗ и штрафы по ст. 13.11 КоАП от этого не меняются: их стоит выполнять независимо от того, пришло письмо или нет.

### Письмо настоящее, а уведомление в Роскомнадзор мы не подавали. Что делать?

Подайте уведомление: это бесплатно, через Госуслуги или форму на сайте Роскомнадзора. Закон требует подать его до начала обработки персональных данных (ст. 22 ч. 1 152-ФЗ). Исключения узкие — например, обработка исключительно без средств автоматизации (ст. 22 ч. 2 п. 8); сайт с формой заявки или счётчиками под него, по нашей оценке, не подпадает.