Жалоба субъекта в РКН: процедура для оператора

Роскомнадзор рассматривает жалобы субъектов персональных данных на основании ст. 23 ФЗ-152. Каждая поступившая жалоба с 2023 года автоматически проверяется по системе индикаторов риска: если хотя бы один индикатор совпадает, РКН вправе назначить внеплановую документарную или выездную проверку без дополнительного согласования с прокуратурой. В 2024 году РКН зафиксировал более 100 000 обращений граждан; значительная их часть касалась нарушений при сборе согласий, передаче данных третьим лицам и отказе уничтожить ПДн по требованию. Для юриста компании жалоба субъекта — это не просто входящее письмо, а старт процедуры, итог которой определяет сумму потенциального штрафа.

Что происходит после того, как субъект подал жалобу в РКН?

РКН регистрирует жалобу в течение трёх рабочих дней и направляет оператору запрос о предоставлении пояснений и документов. Срок ответа на запрос — 10 рабочих дней с момента его получения (ст. 20 ФЗ-152). Опоздание с ответом или непредставление документов само по себе образует состав по ч. 4 ст. 13.11 КоАП: штраф для юрлица — 40 000–80 000 ₽.

Параллельно РКН проверяет оператора по индикаторам риска: наличие в реестре операторов (Приказ РКН №180 от 28.10.2022), опубликованная политика обработки ПДн, факт ранее выявленных нарушений. Если три и более индикатора совпадают, регулятор вправе инициировать внеплановую проверку без предупреждения за 24 часа — это норма, введённая в рамках реформы контрольно-надзорной деятельности 2023 года.

По итогам документарной проверки РКН выносит одно из решений: предписание об устранении нарушений, постановление по делу об административном правонарушении или прекращение производства при отсутствии состава. Предписание выдаётся со сроком исполнения — как правило, 30 дней. Неисполнение предписания влечёт штраф по ч. 5 ст. 13.11 КоАП (50 000–90 000 ₽) и возможный переход к выездной проверке.

Какие индикаторы риска использует РКН при оценке жалобы?

Индикаторы риска — формализованные критерии, при наличии которых регулятор вправе провести внеплановую проверку без предварительного уведомления. С 2023 года перечень индикаторов утверждён подзаконным актом РКН. Для оператора принципиальны следующие.

Отсутствие оператора в реестре операторов ПДн: если компания обрабатывает данные, но уведомление по ст. 22 ФЗ-152 не подано, это автоматически квалифицируется как нарушение и служит индикатором риска. Штраф по ч. 10 ст. 13.11 — 100 000–300 000 ₽. Неопубликованная или устаревшая политика обработки ПДн: ст. 18.1 ФЗ-152 обязывает оператора публиковать политику на сайте; её отсутствие фиксируется при автоматическом мониторинге сайта до выезда инспектора. Поступление двух и более жалоб от разных субъектов на одного оператора за 12 месяцев: совокупность обращений повышает класс риска. Публичное сообщение об утечке ПДн или упоминание оператора в сводках НКЦКИ — триггер для немедленной внеплановой проверки.

Важно понимать, что индикаторы риска проверяются автоматически до того, как инспектор приступит к анализу конкретной жалобы. Если ни один индикатор не совпал, жалоба рассматривается в режиме документарной проверки с уведомлением оператора.

Как оператору правильно ответить на запрос РКН?

Ответ на запрос РКН — процессуальный документ. Его содержание влияет на квалификацию нарушения и размер штрафа. Несколько правил, которые снижают риски.

Отвечать нужно в срок и в полном объёме. 10 рабочих дней с момента получения запроса — не рекомендация, а законодательный предел. Оператор вправе запросить продление ещё на 5 рабочих дней, уведомив РКН до истечения основного срока. Если документов недостаточно, лучше направить то, что есть, с пояснением, что остальное будет представлено в дополнительный срок.

Содержание ответа должно соответствовать предмету жалобы. Если субъект жалуется на отказ в уничтожении ПДн, ответ обязан содержать либо подтверждение уничтожения с актом, либо правовое основание для продолжения обработки (например, ст. 6 п. 2 ФЗ-152 — исполнение обязанности по закону). Общие ссылки на «соблюдение всех норм» без приложения документов РКН расценивает как уклонение.

Признавать нарушение целесообразно только после анализа состава: признание смягчает ответственность по ст. 4.2 КоАП, но одновременно подтверждает объективную сторону нарушения. Это тактическое решение, которое принимается с учётом конкретного состава.

Матрица сценариев: как жалоба субъекта перерастает в штраф

Сценарий 1. Жалоба на отказ уничтожить данные. Субъект требует уничтожить ПДн после расторжения договора — оператор игнорирует требование. РКН запрашивает документы. Оператор не представляет акт об уничтожении и не обосновывает основание продолжения обработки. РКН составляет протокол по ч. 5 ст. 13.11 КоАП (невыполнение требования об уничтожении) — штраф 50 000–90 000 ₽. При повторности — ч. 5.1, штраф 300 000–500 000 ₽. Стратегия: до ответа РКН уничтожить данные или подготовить правовое обоснование с указанием конкретной нормы-основания и срока хранения.

Сценарий 2. Жалоба на незаконную передачу данных третьим лицам. Субъект узнал, что его номер телефона передан партнёрской организации без его согласия. РКН запрашивает договор поручения обработки ПДн по п. 3 ст. 6 ФЗ-152. Договора нет, согласия на передачу нет. Состав — ч. 1 ст. 13.11 (обработка в отсутствие правового основания), штраф 150 000–300 000 ₽; возможна ч. 2 (передача без письменного согласия) — штраф 300 000–700 000 ₽. Стратегия: немедленно заключить договор поручения либо прекратить передачу, получить согласие задним числом невозможно — акцент на минимизации ущерба и смягчающих обстоятельствах.

Сценарий 3. Жалоба после утечки: субъект узнал из СМИ. Компания не уведомила РКН об инциденте в 24 часа (ч. 3.1 ст. 21 ФЗ-152). Субъект подал жалобу, указав дату публикации в СМИ. РКН возбуждает дело по ч. 11 ст. 13.11 — неуведомление об инциденте, штраф 1 000 000–3 000 000 ₽; параллельно оценивает масштаб утечки для квалификации по ч. 12–14. Если затронуто более 100 000 субъектов — ч. 14, штраф 10 000 000–15 000 000 ₽. Стратегия: немедленно направить запоздалое уведомление по Приказу РКН №187, параллельно готовить позицию о смягчении по ст. 4.1 КоАП.

Как это применяется на практике

Кейс 1. Торговая компания (Уральский ФО, весна 2026) получила запрос РКН по жалобе покупателя на SMS-рассылку без согласия. Юрист компании в течение 8 рабочих дней направил в РКН форму согласия из базы CRM и доказательства публикации политики на сайте. РКН установил, что согласие оформлено до 01.09.2025 без реквизитов, обязательных по ФЗ-156. Составлен протокол по ч. 2 ст. 13.11. На этапе рассмотрения дела юристы DATUM представили доказательства принятых мер по исправлению форм и первичности нарушения — мировой суд назначил штраф в размере нижней границы санкции.

Кейс 2. Медицинская организация (Центральный ФО, лето 2025) не ответила на запрос РКН в установленный срок: документы были у юриста на согласовании. РКН добавил состав по ч. 4 ст. 13.11 к основному производству. Итоговое постановление содержало два штрафа. В арбитражном суде (дело рассматривалось в порядке ст. 30.9 КоАП после ФЗ-508) второй штраф был снижен с учётом того, что просрочка составила 2 рабочих дня и не повлекла ущерба субъекту. Первый штраф остался без изменений. Общая сумма составила несколько сотен тысяч рублей.

Услуги DATUM по теме

• Сопровождение проверок РКН — подготовка к проверке, представление интересов, обжалование предписания.
• Защита при штрафе в арбитраже — оспаривание протокола и постановления, применение ст. 4.1 и ст. 4.1.1 КоАП.
• Аудит соответствия 152-ФЗ — проверка документов, которые запросит РКН, до того, как он их запросил.

Частые вопросы

1. Как подготовиться к проверке РКН?

Минимальный комплект: актуальные данные в реестре операторов (pd.rkn.gov.ru), политика обработки ПДн с обязательными разделами по ч. 2 ст. 18.1 ФЗ-152, отдельные согласия субъектов по ст. 9 в редакции ФЗ-156 от 24.06.2025, приказ о назначении ответственного по ст. 22.1 ФЗ-152, журнал учёта обращений субъектов за последние 12 месяцев. При наличии подрядчиков — договоры поручения обработки ПДн по п. 3 ст. 6 ФЗ-152. Документы должны быть у оператора в момент начала проверки, а не готовиться в ходе неё.

2. Какие индикаторы риска у РКН?

Официальный перечень индикаторов риска утверждён подзаконным актом РКН. Практически значимые: отсутствие оператора в реестре по ст. 22 ФЗ-152; неопубликованная политика обработки ПДн; две и более жалобы от разных субъектов за 12 месяцев; упоминание оператора в сводках НКЦКИ или СМИ в связи с утечкой; несоответствие фактической обработки данным уведомления. При наличии индикатора риска внеплановая проверка назначается без согласования с прокуратурой.

3. Можно ли отказаться отвечать на запрос РКН?

Нет. Отказ или непредставление документов в срок (10 рабочих дней по ст. 20 ФЗ-152) образует самостоятельный состав по ч. 4 ст. 13.11 КоАП — штраф для юрлица 40 000–80 000 ₽. Этот штраф назначается отдельно от основного нарушения, по которому подана жалоба. При наличии оснований для продления срока необходимо уведомить РКН до истечения 10 рабочих дней.

4. Что грозит за невыполнение предписания РКН?

Невыполнение предписания в установленный срок влечёт штраф по ч. 5 ст. 13.11 КоАП: 50 000–90 000 ₽ для юрлица. При повторном невыполнении — ч. 5.1, штраф 300 000–500 000 ₽. Помимо административной ответственности, РКН вправе назначить повторную выездную проверку. Предписание можно обжаловать в вышестоящий орган РКН или в арбитражный суд в течение 3 месяцев с момента его вынесения.

5. Куда обжаловать постановление РКН?

С 28.12.2025 (ФЗ-508) дела по ст. 13.11 КоАП рассматривают мировые судьи. Постановление обжалуется в районный суд в течение 10 суток с даты получения. Последующее обжалование — в суд субъекта РФ и далее в порядке надзора. Если постановление вынесено РКН как органом (не мировым судьёй) — обжалование в арбитражный суд субъекта. Срок подачи жалобы в арбитраж — 3 месяца. При обжаловании применяются основания по ст. 4.1 и ст. 4.1.1 КоАП: первичность нарушения, отсутствие ущерба, микропредприятие.

Итог

Жалоба субъекта в РКН — не повод ждать исхода. Это сигнал для немедленного аудита документации: реестр операторов, политика, согласия, журнал обращений. Состав нарушения и размер штрафа определяются тем, что оператор представит в ответ на запрос, а не тем, что произошло до жалобы.

Юристы DATUM сопровождают операторов с момента получения запроса РКН: готовят позицию, представляют интересы при проверке, оспаривают протоколы и постановления по ст. 13.11 КоАП. Практика взаимодействия с Роскомнадзором — с 2014 года.