Дистанционный мониторинг Роскомнадзора: как ловят сайты без выездной проверки

Роскомнадзор проверяет сайты не только через классические проверки с актом, уведомлением и визитом инспектора. У ведомства есть инструмент, который работает без участия владельца сайта и без предупреждения: специалист открывает страницу в браузере, смотрит форму обратной связи, футер и куки-баннер - и на основании увиденного заводит дело. Официально это называется наблюдением за соблюдением обязательных требований, среди тех, кто занимается 152-ФЗ, прижилось короткое название - дистанционный мониторинг. Для владельца сайта разница не праздная: от того, что это за процедура, зависит, стоит ли на нее вообще реагировать и чем она может закончиться.

Ведется мониторинг по 248-ФЗ о государственном контроле, и для владельца сайта с формой заявки, интернет-магазина или клиники это куда более вероятная встреча с Роскомнадзором, чем плановая проверка. Плановых проверок в 2026 году почти нет из-за моратория, а посмотреть открытую страницу сайта можно с любого компьютера за несколько минут, без запроса документов и без согласования с прокуратурой. Ниже - как устроена проверка сайта Роскомнадзором без взаимодействия с его владельцем, по каким признакам ведомство выбирает объект, что именно смотрят и что происходит, если находят нарушение. Материал написан для тех, кто ведет сайт сам или отвечает за него в компании, а не для юристов: без ссылок на подзаконные акты, которые мало что меняют в повседневной работе.

Наблюдение и выездное обследование - два инструмента контроля без взаимодействия

248-ФЗ делит контрольные мероприятия на те, что идут с взаимодействием с проверяемой организацией - запрос документов, выезд инспектора, опрос сотрудников, и те, что идут без него. Ко второй группе относятся два инструмента: наблюдение за соблюдением обязательных требований и выездное обследование. Наблюдение - это анализ информации из открытых источников: сайта, страниц в соцсетях, объявлений, отзывов, публикаций в СМИ, сведений из реестров. Инспектор ничего не запрашивает у оператора данных напрямую, он работает с тем, что и так доступно любому посетителю сайта, включая архивные версии страниц в поисковых кэшах, аккаунты компании в мессенджерах и карточки на маркетплейсах, если продажи идут и через них тоже.

Выездное обследование - второй инструмент, ближе к разовому осмотру конкретного объекта в конкретный момент времени. Применительно к сайту это зафиксированный визит на страницу: специалист заходит по адресу, делает скриншоты с датой и временем, иногда записывает экран целиком, чтобы зафиксировать, как именно работает форма или всплывает окно согласия. Уведомлять оператора заранее не нужно ни в одном из двух случаев, согласие на посещение сайта тоже не требуется - страница открыта для всех, кто ее откроет, включая инспектора под обычным браузером без опознавательных знаков.

Почему это не проверка в привычном смысле

У обоих инструментов нет статуса проверки: не открывается дело с актом, не назначается ответственное лицо от компании, не действует срок предупреждения, не составляется программа проверки. Это скорее разведка, предварительный этап, по итогам которого решают, стоит ли идти дальше. Проверяемая организация не подписывает никаких документов и часто не узнает о самом факте наблюдения, пока не получит результат - предостережение или требование. Разница между наблюдением и выездным обследованием для владельца сайта на практике почти не имеет значения: в обоих случаях он не видит момента проверки и реагирует уже на итог, а не на процесс.

Кто проводит мониторинг и как часто

Формально мониторингом занимаются территориальные управления Роскомнадзора и центральный аппарат, а в части автоматической сверки с реестром операторов - специализированные информационные системы ведомства. Периодичность нигде не публикуется и не привязана к календарю: один и тот же сайт может не попадать в поле зрения годами, а может оказаться в выборке дважды за квартал, если в отрасли объявлена тематическая кампания. Отсутствие предыдущих замечаний ничего не гарантирует на будущее - это не показатель того, что сайт проверили и одобрили, а лишь то, что до него пока не дошла очередь. Ждать результата после самого факта наблюдения тоже можно долго: если явных нарушений не нашли, оператору вообще ничего не сообщают, и узнать, что сайт уже смотрели, обычно невозможно.

По каким признакам Роскомнадзор находит сайты для мониторинга

Мониторинг Роскомнадзора сайтов не выбирает объекты случайно, хотя со стороны иногда выглядит именно так. У ведомства есть несколько источников, которые запускают проверку конкретного адреса, и часть из них связана не с самим сайтом, а с окружением компании - партнерами, подрядчиками, отраслью в целом.

• Жалоба пользователя - через приемную Роскомнадзора, портал госуслуг или обращение в прокуратуру. Частый повод - навязчивые СМС-рассылки и сообщения в мессенджерах без согласия; о том, как правильно оформить такое согласие, мы писали в статье про СМС-рассылки и рассылки в мессенджерах.
• Отраслевые волны - Роскомнадзор периодически сканирует сайты одной ниши подряд: сначала интернет-магазины, потом клиники, потом сайты услуг, потом образовательные платформы. Если в отрасли нашли системное нарушение у одного оператора, проверяют похожие сайты по тому же шаблону.
• Упоминание компании в СМИ в связи с утечкой данных, взломом или скандалом с рассылкой.
• Сведения от других ведомств - Роспотребнадзора, ФАС, прокуратуры, банка данных исполнительных производств, а также обращения из смежных надзорных органов.
• Автоматическая сверка реестра операторов персональных данных с реальными сайтами: если компания собирает данные через форму, но не подавала уведомление, это видно по расхождению между содержимым сайта и записью в реестре.
• Случайная выборка в рамках плановых замеров эффективности контроля - формально не связана с конкретной жалобой и охватывает сайты вне зависимости от масштаба бизнеса.

Из перечисленного предсказать заранее можно только отраслевые волны и собственное несоответствие реестру - остальное зависит от случая и не поддается планированию со стороны компании. Поэтому смысла ждать, что мониторинг обойдет сайт стороной, немного: дешевле проверить у себя то же самое, что смотрит инспектор, чем полагаться на удачу. Особенно это касается компаний, которые недавно меняли сайт, подрядчика по разработке или систему приема заявок: любое изменение формы - шанс потерять чек-бокс согласия при переносе верстки.

Что конкретно видно инспектору без захода внутрь сайта

Ключевая особенность мониторинга - инспектор ограничен тем, что видно снаружи. Он не может запросить у хостинг-провайдера логи, не может увидеть, как хранятся данные на сервере и кто из сотрудников имеет к ним доступ, не проверяет внутренние регламенты компании и не читает переписку с подрядчиками. Зато очень внимательно смотрит на то, что доступно любому посетителю, в том числе через исходный код страницы.

В первую очередь проверяют наличие и содержание политики обработки персональных данных: есть ли ссылка в футере, открывается ли документ, соответствует ли он требованиям статьи 7 закона о конфиденциальности - мы разбирали их отдельно в статье про конфиденциальность персональных данных. Дальше смотрят формы: есть ли рядом с полями отдельный чек-бокс согласия, стоит ли он по умолчанию не отмеченным, ведет ли ссылка на действующий документ или на страницу с ошибкой. Отдельно фиксируют куки-баннер - его отсутствие в 2026 году уже редкость, но встречается декоративный баннер без реальной настройки согласия, когда счетчики запускаются независимо от выбора посетителя.

Из технических признаков смотрят на код страницы: какие счетчики и пиксели подключены, есть ли среди них иностранные сервисы без указания в политике, на каком хостинге размещен сайт по данным whois, куда физически уходят данные из формы при отправке. Сверяют реквизиты в футере и в политике с данными из ЕГРЮЛ или ЕГРИП: несовпадение названия компании или отсутствие ИНН тоже фиксируется как повод для вопросов. Отдельно смотрят мобильную версию сайта - нередко десктопная версия оформлена правильно, а в адаптиве куки-баннер обрезан или чек-бокс согласия визуально теряется среди других элементов формы. Полный список из пятнадцати точек, по которым идет такая сверка, собран в отдельном материале о том, что смотрит инспектор на сайте.

Отдельное внимание - к базовым техническим сигналам, которые формируют первое впечатление еще до чтения политики: работает ли сайт по HTTPS, не показывает ли браузер предупреждение о смешанном содержимом, когда часть ресурсов подгружается по незащищенному протоколу, отвечает ли сервер корректным кодом на прямой запрос страницы с политикой, а не перенаправляет на главную с ошибкой. Мелочи такого рода сами по себе не тянут на нарушение 152-ФЗ, но задают тон: сайт, у которого не в порядке базовые вещи, инспектор с большей вероятностью пролистает внимательнее.

Что бывает по итогам мониторинга: от предостережения до протокола

Мониторинг сам по себе не может закончиться штрафом - это профилактическая, а не карательная процедура. Но если инспектор фиксирует явные признаки нарушения, дело движется дальше по нескольким возможным сценариям, и каждый следующий шаг жестче предыдущего.

С 2025 года цена ошибки на этом пути выросла: за утечку персональных данных в зависимости от объема применяются оборотные штрафы, а за отдельные случаи неправомерного использования данных - статья 272.1 УК. Мониторинг напрямую к этим мерам не приводит, но именно он часто становится первым звеном цепочки: сначала находят чекбокс без согласия при обычном просмотре сайта, потом выясняют, что через ту же форму утекали данные без надлежащей защиты. На этом фоне проигнорировать первое, самое мягкое предостережение ради экономии часа на исправление формы согласия - решение, которое обходится дороже, чем раньше.

Чем мониторинг отличается от плановой и внеплановой проверки

Мониторинг, плановая проверка и внеплановая проверка - в переписке с клиентами эти термины часто путают, хотя разница принципиальная. Плановая проверка идет по графику, утвержденному заранее и опубликованному, о ней компанию уведомляют за несколько рабочих дней, а сама процедура предполагает акт, перечень запрашиваемых документов и возможность подготовиться. Внеплановая назначается по конкретному поводу - жалобе, поручению прокуратуры, истечению срока исполнения предписания, и тоже предполагает уведомление, хотя и в сжатые сроки; подробный порядок такой проверки и то, что нужно подготовить заранее, мы описывали в статье о том, как проходит внеплановая проверка РКН.

Мониторинг не похож ни на один из этих двух сценариев. У него нет графика, нет конкретного повода, который обязаны раскрыть компании, и нет предварительного уведомления в принципе. Он идет фоново и может совпадать по времени с действующим мораторием на проверки - потому что формально проверкой не является. С точки зрения дальнейшей судьбы компании мониторинг скорее похож на фильтр, который определяет, кто вообще попадет в поле зрения ведомства и с каким приоритетом, а не на самостоятельную санкцию. Компания, у которой при таком просмотре не нашли нареканий, ничего не выигрывает документально - никакой отметки о пройденной проверке не появляется, зато компания, у которой нашли нарушение, автоматически поднимается выше в очереди на следующие мероприятия, уже с элементом взаимодействия.

Мораторий на проверки - распространяется ли он на мониторинг

Действующий мораторий ограничивает именно плановые проверки и часть внеплановых - тех, что требуют взаимодействия с организацией и относятся к видам контроля, попавшим под действие постановления правительства. Мы подробно разбирали, кого мораторий защищает на самом деле, в статье про мораторий на проверки в 2026 году.

На профилактические мероприятия и на контрольные действия без взаимодействия мораторий не влияет. Наблюдение за сайтом идет независимо от того, действует мораторий или нет, потому что оно не создает для компании обязанностей и не требует ресурсов на его проведение - инспектору не нужно ни разрешение прокуратуры, ни включение в план, ни согласование с органами контроля за самим контролем. Именно поэтому владельцы сайтов, уверенные, что мораторий их полностью прикрывает, чаще других получают предостережение неожиданно для себя: они честно готовились к тому, что проверки временно нет, и не ждали письма по итогам обычного просмотра сайта.

Как мониторинг выглядит на практике: четыре примера

Интернет-магазин детской одежды получил предостережение после того, как в форме заказа обнаружили чекбокс согласия, который был неактивен и не давал отправить заявку без явного клика - формально все верно, но текст согласия ссылался на документ по адресу, который отдавал ошибку 404. Инспектору хватило перехода по ссылке из футера, чтобы зафиксировать нарушение и приложить скриншот к материалам. Магазин восстановил документ за день, но предостережение все равно осталось в переписке с ведомством как повод для более пристального внимания при следующем поводе.

Стоматологическая клиника получила требование представить документы после того, как в открытом доступе на сайте обнаружили форму записи на прием, куда пациенты вносили жалобы и диагноз без отдельного согласия на обработку данных о здоровье - специальной категории персональных данных с более строгим режимом обработки и хранения. Клинике пришлось не только доработать форму, но и объяснять, куда именно уходили данные из старой версии сайта за предыдущий год.

Сайт репетитора-самозанятого попал под наблюдение из-за жалобы клиента, недовольного тем, что его номер телефона попал в общий чат учеников без предупреждения. Дело закончилось предостережением и требованием переписать раздел о персональных данных в оферте, хотя самой формы сбора данных на сайте не было - хватило переписки в мессенджере, скриншот которой клиент приложил к жалобе. Случай показательный: мониторинг не ограничен только сайтом, если у компании есть публичные каналы коммуникации с клиентами.

Небольшая сеть фитнес-клубов получила предостережение из-за того, что куки-баннер на мобильной версии сайта визуально не помещался на экран и кнопка отказа от необязательных счетчиков была недоступна без прокрутки, которую большинство посетителей не делали. Формально выбор был, фактически - только один рабочий вариант ответа, и это расценили как навязывание согласия. После предостережения сеть пересобрала баннер отдельно под мобильные экраны и добавила проверку на реальных устройствах перед каждым релизом сайта, а не только в браузере на компьютере разработчика.

Чек-лист: что стоит проверить на своем сайте до мониторинга

Большую часть того, что смотрит инспектор, можно проверить самостоятельно за один вечер, не привлекая юриста и не заказывая аудит. Ниже - минимальный набор пунктов, с которых стоит начать, и который стоит повторять хотя бы раз в квартал, если на сайте что-то меняется.

• Ссылка на политику обработки персональных данных есть в футере на каждой странице и открывается без ошибки, включая мобильную версию.
• Текст политики соответствует реальному положению дел: те же цели обработки, тот же перечень данных, что собирают формы на сайте.
• Рядом с каждой формой стоит отдельный чек-бокс согласия, не отмеченный по умолчанию, с рабочей ссылкой на документ.
• Куки-баннер дает реальный выбор, а не просто информирует, и до согласия необязательные счетчики не запускаются.
• Иностранные счетчики и пиксели либо отключены, либо упомянуты в политике с указанием на трансграничную передачу.
• Уведомление в Роскомнадзор об обработке персональных данных подано, если сайт собирает данные не только для заключения договора.
• Реквизиты компании в футере и в политике совпадают с данными из ЕГРЮЛ или ЕГРИП.
• Формы, где собираются данные о здоровье, судимости или иных специальных категориях, содержат отдельное усиленное согласие.
• На мобильной версии кнопки согласия и отказа доступны без прокрутки и не перекрывают друг друга.

Что делать, если пришло предостережение или требование

Первая реакция - не паниковать и не игнорировать. Предостережение не штраф, но и не рекомендация к сведению: в документе обычно указан срок, до которого желательно устранить признаки нарушения и, по возможности, отчитаться об этом в свободной форме. Если срок не указан, разумно уложиться в две-три недели - формального дедлайна нет, но чем дольше нарушение остается на виду у всех, тем выше риск, что тот же инспектор откроет сайт повторно и увидит, что ничего не поменялось.

Если пришло требование о представлении документов - здесь срок уже названный и обязательный, обычно это дни, а не недели, конкретную цифру нужно смотреть в самом документе. Игнорировать его не стоит: непредставление сведений - самостоятельное основание для дальнейших действий, даже если исходное подозрение при проверке документов не подтвердится. Лучше ответить по существу и приложить то, что просят, чем отвечать позже и объяснять, почему пропущен срок.

Дальше - практическая часть, которая не зависит от того, получили вы уже сигнал от Роскомнадзора или проверяете сайт заранее: пройти по чек-листу выше, зафиксировать скриншотами состояние сайта до и после правок с датой, обновить политику и форму согласия, если они не соответствуют реальному сбору данных, и держать под рукой список счетчиков и сервисов, подключенных к сайту, - на случай, если придется объяснять их назначение проверяющему или собственному руководству. Полезно также назначить внутри компании человека, который хотя бы раз в квартал открывает сайт свежим взглядом и проходит тот же маршрут, что и инспектор: от главной страницы через форму до футера, желательно и с телефона, а не только с рабочего компьютера. Итоги такого самостоятельного прохода стоит фиксировать письменно, хотя бы в виде короткой заметки с датой - если позже придет предостережение, будет проще показать, что компания следит за сайтом на регулярной основе, а не устраняет нарушение только под давлением. Если разбираться с этим самостоятельно не хочется или не хватает времени, 152fzpro.ru занимается доработкой сайтов и документов под 152-ФЗ: приводит в порядок политику конфиденциальности, формы согласия и куки-баннер, чтобы при следующем дистанционном мониторинге инспектору не за что было зацепиться.