Получить письмо из Роскомнадзора неприятно, но предостережение — самый мягкий инструмент в арсенале контролёра. Это официальное предупреждение «проверьте и исправьте», а не наказание. Тем не менее реакция на предостережение определяет, закончится история парой писем или перейдёт в протокол по ст. 13.11 КоАП РФ. Разбираем природу документа, типичные причины и правильный алгоритм ответа.
Что такое предостережение с точки зрения закона
Институт предостережения закреплён статьёй 49 федерального закона № 248-ФЗ и положением о федеральном государственном контроле в области персональных данных (постановление Правительства РФ от 29.06.2021 № 1046). Орган объявляет предостережение, если получил сведения о готовящихся нарушениях или о признаках нарушений обязательных требований, пока вред не причинён. Цель — профилактика: побудить оператора устранить недочёты до того, как они превратятся в дело об административном правонарушении.
Ключевые свойства предостережения:
- не является проверкой — не требует согласования с прокуратурой и включения в реестр контрольных мероприятий;
- не является наказанием — штрафов и предписаний по нему не следует;
- объявляется письменно, с указанием, какие требования могут быть нарушены и какие действия предлагается совершить;
- не может содержать требования представить документы или установить сроки устранения последствий (ч. 2 ст. 49 248-ФЗ) — это не предписание;
- допускает возражение в течение 10 рабочих дней со дня получения (п. 20 положения, утв. постановлением Правительства РФ № 1046); рассматривается оно 20 рабочих дней со дня регистрации (п. 22); повторное возражение по тем же основаниям не рассматривается (п. 25).
За что приходят предостережения по 152-ФЗ
Типовые поводы в практике по персональным данным:
- на сайте нет политики конфиденциальности либо она не соответствует ст. 18.1 152-ФЗ по содержанию;
- формы сбора данных работают без согласия субъекта (ст. 9 152-ФЗ);
- оператор не подал уведомление в Роскомнадзор (ст. 22) или не актуализировал сведения при изменениях;
- cookie-баннер отсутствует или не даёт выбора: согласие на обработку интернет-идентификаторов требуется по ст. 6 и ст. 9 152-ФЗ — с сентября 2022 года Роскомнадзор прямо относит такие идентификаторы к персональным данным;
- появились сведения о возможной утечке либо об инциденте безопасности;
- жалоба субъекта на отказ удалить данные или прекратить рассылку.
Обратите внимание: предостережение часто следует за жалобой. Если гражданин написал в РКН, а нарушение неочевидно (нужно разбираться в деталях обработки), ведомство предпочитает сначала предупредить. Это окно возможностей: закрыв вопрос на этой стадии, оператор сохраняет и деньги, и репутацию.
Алгоритм ответа: пять шагов
Шаг 1. Проверьте основание. В документе должно быть указано, какое требование может быть нарушено. Сверьте с актуальной редакцией нормы: иногда предостережения ссылаются на устаревшие редакции документов — это стоит отметить в ответе.
Шаг 2. Проведите самопроверку. Пройдитесь по списку: документы на сайте, формы и согласия, уведомление в реестре, cookie-баннер, трансграничная передача, локальные акты. Удобно начать с автоматической проверки сайта на 152-ФЗ — она покажет публично видимые признаки тех же нарушений, что и в предостережении.
Шаг 3. Устраните реальное. Если нарушение есть — устраните быстро и фиксируйте: скриншоты с датами, новые версии документов, приказы. К ответу приложите подтверждения («политика опубликована по адресу…», «согласие добавлено в форму…»).
Шаг 4. Напишите ответ. Структура: кому/от кого, реквизиты предостережения, краткие выводы самопроверки, перечень принятых мер с доказательствами, при несогласии — мотивированные возражения со ссылками на нормы. Тон — деловой, без оправданий и без признаний там, где их можно избежать: «в результате анализа установлено, что требование соблюдается, поскольку…».
Шаг 5. Отправьте в срок и сохраните доказательства отправки. Срок ответа о принятых мерах законом не установлен, но затягивать нельзя: логика ведомства строится на том, устранено ли нарушение. Возражение (если подаёте) — строго в пределах 10 рабочих дней, через каналы, указанные в письме: почта, электронный документ, Госуслуги (канал работает с 1 января 2026 года). Учтите: повторное возражение по тем же основаниям останется без рассмотрения.
Чего делать нельзя
- Игнорировать. «Промолчим — забудут» — худшая стратегия: сведения о неустранённых нарушениях становятся основанием внепланового контроля, а повторность отягчает ответственность.
- Признавать всё подряд. Ответ «да, у нас нет политики, извините» равносилен признанию нарушения. Описывайте факты и меры, а не вину.
- Устранять только «на бумаге». Публикация формальной политики, не отражающей реальную обработку, — новое нарушение. Документы должны соответствовать фактическим процессам.
- Писать лишнее в переписке. Письма могут быть использованы при рассмотрении дела. Пишите так, будто документ прочитает инспектор при следующей проверке, — потому что так и будет.
Если предостережение несправедливо
Бывает, что контролёр ошибается: устаревшие данные реестра, чужой сайт с похожим названием, требования, применимые к другим категориям операторов. В этом случае подаётся возражение с доказательствами: выписки, скриншоты, документы. Оспаривать законность самого предостережения в суде обычно бесперспективно — правоограничивающих последствий оно не порождает; рабочий инструмент — именно возражение. А вот бездействие или действия должностных лиц обжалуются вышестоящему лицу или в суд в общем порядке. До судебной стадии доходит редко: вопрос, как правило, закрывается корректным ответом.
И главное: предостережение — бесплатный аудит со стороны государства. Оно показывает, куда смотрит контролёр. Закройте указанные точки — и следующее письмо, если придёт, будет уже о другом.