Ликбез: Штрафы из-за сайтов, или как вас находит Роскомнадзор

Пообещал в комментариях рассказать, как вообще РКН может вас найти. Рассказываю. Но предупреждаю, это сильно калорийный пост. Если вы на информационной диете, осторожно.

Один из прямых рисков нарваться на РКН — прямая жалоба клиента, недоброжелателя, мимопроходила. Но Роскомнадзор находит нарушения на сайтах не только потому, что кто-то на вас пожаловался.

Роскомнадзор мониторит интернет-ресурсы автоматически

Для этого используется Автоматизированная система мониторинга прав субъектов персональных данных в сети Интернет — АС МПДн.

Она позволяет дистанционно анализировать интернет-ресурсы и выявлять признаки нарушений законодательства о персональных данных. Сам механизм такого контроля есть и в Положение о федеральном государственном контроле : к мероприятиям без взаимодействия с оператором относится наблюдение за соблюдением обязательных требований при размещении информации в Интернете.

То есть никто не обязан сначала написать вам: Здравствуйте, мы Роскомнадзор, сейчас будем смотреть ваш сайт.

Сайт можно посмотреть не только без вашего на то желания, но и даже без вашего участия.

Новые цифры этого года.

В августе 2026 года замруководителя Роскомнадзора Милош Вагнер рассказал о результатах работы за 2025 год и первое полугодие 2026 года.

За этот период Роскомнадзор проанализировал 159 111 интернет-ресурсов.

Для сравнения — на предыдущем Дне открытых дверей речь шла примерно о 80 тысячах. То есть охват практически удвоился.

Сколько было выявлено нарушений?

В 135 953 случаях были выявлены признаки нарушений законодательства о персональных данных.

Это примерно 85% проверенных ресурсов. Сам представитель Роскомнадзора сформулировал еще красивее — нарушения система находит "почти в 90% случаев".

А что с жалобами?

Более 145 тысяч обращений граждан по вопросам персональных данных. Это примерно на 20% больше, чем за предыдущий сопоставимый период.

Роскомнадзор говорит, что система настроена так, что в первую очередь в поле зрения попадают ресурсы и сферы, на которые жалуются граждане. То есть стратегия "мы маленькие, до нас никому дела нет" вообще не рабочая.

Роскомнадзор уточняет, что перешел к риск-ориентированному подходу, а основные усилия направляет именно на интернет-ресурсы, которые предполагают сбор и обработку персональных данных.

А что именно ищут?

В 2026 году среди частых нарушений Роскомнадзор называет неправомерную обработку персональных данных, избыточный сбор данных и слишком долгие сроки их хранения. Под неправомерное обработкой персональных данных закрыто много разных нарушений и некорректные формы на сайте одно из них.

И прям отдельно РКН отмечает несоответствие Политики фактической деятельности оператора и сведениям, которые он указал в уведомлении Роскомнадзора.

То есть задача теперь не выглядит как "Положили на сайт Политику — молодцы".

Проверять надо всю конструкцию целиком:

*что реально собирает сайт

*в каких формах

*какие данные обязательны и на какие цели

*есть ли согласия и что именно в них написано

*куда после отправки формы уходят данные

*какие сервисы подключены

*что написано в Политике и что вы при этом сообщили Роскомнадзору в уведомлении

Поэтому я уже довольно давно говорю:

Аудит персональных данных — это не проверка наличия трех документов. Это проверка фактической механики обработки.

А со штрафами что?

Много разных. Например, для ИП есть штрафы от 1 000 000 до 6 000 000 рублей.

Короче аргумент "нас не видят" это что-то вроде свечки в религиозном учреждении. Сегодня нужно смотреть, что именно происходит с данными технически, где они первоначально записываются, где хранятся, куда передаются. Ибо Роскомнадзор научился смотреть сайты массово.

Если раньше вручную можно было проверить несколько тысяч ресурсов в год, то теперь речь идет уже почти о 150 тысячах за полтора года, и охват продолжает расти. И будет расти, без иллюзий.

Поэтому если у вас есть сайт, лендинг, формы заявок или другие интернет-инструменты сбора персональных данных, необходимо проверять не только наличие документов.

Нужно смотреть весь путь данных:

что собираем → зачем → на каком основании → куда это уходит → что написано в документах → что заявлено Роскомнадзору.

В 2026 году именно расхождение между этими кусками становится точкой риска.

И да. Если вы делали документы условно полгода-год назад — надо перепроверять, потому что ваша практика, ваши проекты не стоят на месте, а я делаю документы на момент нашей встречи. Но все развивается, меняется и нужно делать актуализацию.