Как ответить на требование Роскомнадзора ИП, если сайт передан другому лицу

Никита, в Вашей ситуации я бы разделил ответ на требование Роскомнадзора и уведомления операторов. Одно уведомление о прекращении обработки не заменит объяснений по проверке и не подтвердит само по себе, что Вы перестали быть оператором год назад.

В приложенном требовании от 27.10.2026 проверяемый период — с 15 по 21 октября 2026 года. Роскомнадзор требует прекратить именно обработку с нарушением закона и сообщить о принятых мерах. Поэтому ответ нужно строить на том, кто фактически организовывал обработку в этот период, а не только на том, кому сейчас зарегистрирован домен.

1. Какую дату указывать.

Дата получения требования не становится датой прекращения обработки автоматически. Указывается фактическая дата, которую можно подтвердить. Но прекращение сбора новых заявок и прекращение обработки вообще — разные события: хранение данных тоже входит в обработку (пункты 2 и 3 статьи 3 Закона № 152-ФЗ).

Проверьте, оставались ли у Вас клиентская база, заявки в почте и CRM, резервные копии, доступ к ним, действующие договоры с клиентами. Если часть данных продолжает законно храниться для самостоятельных целей Вашего ИП, нельзя без проверки заявлять о полном прекращении всей обработки. В таком случае в ответе нужно точно описать прекращение работы с заявками конкретного сайта и отдельно — оставшуюся обработку.

Если полное прекращение действительно произошло год назад, историческую дату надо подтверждать документами. Сам ответ и составляемые сейчас документы датируются днём их оформления.

2. Что делать с уведомлениями.

Часть 7 статьи 22 Закона № 152-ФЗ предусматривает уведомление о прекращении обработки в течение десяти рабочих дней с даты прекращения. Пропуск этого срока не следует исправлять подменой фактической даты. Сведения нужно сообщить сейчас с пояснением обстоятельств; поздняя подача сама по себе не устраняет возможное нарушение прежней обязанности.

Есть важная особенность именно Вашего требования: в нём написано, что первоначальное уведомление от Вас по состоянию на 27 октября не поступало. Поэтому сначала проверьте наличие Вашего ИП в реестре и содержание записи. Не стоит сводить ответ к «исключите меня из реестра», не установив, включены ли Вы туда и прекратилась ли вся обработка.

Новый предприниматель вправе и обязан решать вопрос собственного уведомления независимо от Вашего ответа, если он является оператором и нет предусмотренного законом исключения. Его уведомление не заменяет Ваше и не переносит на него автоматически ответственность за прошлый период. Общая обязанность уведомить до начала обработки установлена частью 1 статьи 22.

3. Как подтвердить смену фактического оператора.

Отсутствие договора передачи сайта не означает автоматически, что вся последующая обработка относится к Вам. Но документы на домен и хостинг также не доказывают обратное полностью. Оператор определяется по фактической организации обработки, её целям, составу данных и операциям с ними — пункт 2 статьи 3 Закона № 152-ФЗ.

К ответу полезны: подтверждение регистратора о дате смены администратора домена; документы хостинга за проверяемый период; сведения обслуживающей компании о том, кто давал задания и куда направлялись заявки; подтверждения смены получателя заявок в почте и CRM и прекращения Ваших доступов; договоры и платёжные документы, показывающие, кто оказывал образовательные услуги. Письмо нового ИП должно описывать конкретные факты и даты. Текущий скриншот кабинета без истории слабее документов, относящихся к октябрю 2026 года.

Нужно также выяснить, сохранились ли на сайте Ваши реквизиты, оферта и политика обработки. Их устаревшее размещение надо объяснить и подтвердить устранение несоответствия с участием фактического владельца сайта.

4. Как сформировать ответ и не пропустить срок.

В ответе последовательно изложите: когда Вы работали с сайтом; какие действия прекратили и когда; кто организовывал обработку 15–21 октября; какие данные и доступы остались у Вас; какие сведения в требовании оспариваете и какими доказательствами; что фактически исправлено. Уведомление нового оператора и его пояснения можно приложить, но они не заменяют доказательств разграничения деятельности.

Не надо признавать организацию чужой обработки, если этого не было. При этом фраза «сайт больше не мой» без разбора каждого замечания требования недостаточна. Если сохранилась Ваша самостоятельная обработка, её правомерность и соблюдение обязанностей нужно проверить отдельно.

Не смешивайте два десятидневных срока: уведомление о прекращении и ответ на полученное требование. По части 4 статьи 20 срок предоставления информации — десять рабочих дней с получения запроса; законом предусмотрено продление не более чем на пять рабочих дней при мотивированном уведомлении с причинами. Это относится к предоставлению информации и не разрешает продолжать неправомерную обработку. Дата получения требования в вопросе не указана, поэтому конкретный последний день ответа пока не рассчитываю.

Риск ответственности сохраняется: отдельно оцениваются прежняя обработка, отсутствие уведомления и исполнение нынешнего требования. В письме прямо упомянуты статьи 13.11 и 19.7 КоАП РФ. Само требование ещё не означает назначение штрафа; обещать его отсутствие после подачи уведомлений нельзя. Квалификация зависит от установленных действий и периодов.

Уточните дату и способ получения требования, состояли ли Вы когда-либо в реестре операторов и остались ли у Вас данные/доступы к заявкам. Это определит, корректно ли подавать уведомление о полном прекращении либо нужно иначе описать изменение Вашей обработки.

Нормы: пункты 2–3 статьи 3, часть 4 статьи 20, части 1 и 7 статьи 22 Закона от 27.07.2006 № 152-ФЗ. Текст закона на официальном сайте Минтруда: mintrud.gov.ru/docs/laws/130; действующий текст статьи 22 для сверки: www.consultant.ru/document/cons_doc_LAW_61801/d996966e22e1320c9de1ab82d9f6be12c3d9d765/ .

Никита, приветствую Вас.

1. Дата и способ получения: 27.10 на электронную почту
2. Никогда не состоял в реестре и не подавал заявку (зашел, проверил по ИНН)
3. У меня не осталось никаких данных/доступов к заявкам. Вообще, кнопка записи или заполнить анкету не работают, то есть никаких данных не собирается с момента моей передачи сайта (примерно 2 года назад, может больше).
Также прошу дать список документов которые нужно приложить к ответу в роскомназдор (я приложил свой вариант в оригинальном сообщени вопроса), спасибо. И вообще, нужно ли мне изменять мою политику конфиденциальности или просто предоставить политику от нового владельца сайта.

Поскольку вы никогда не подавали уведомление в Роскомнадзор, вы не должны и не можете подавать уведомление о прекращении обработки. Нельзя прекратить то, что официально не начиналось в системе ведомства. Ваша главная задача — доказать, что вы вообще не являетесь субъектом данного правонарушения.

Ваша позиция должна быть  законной и основанной на фактах: вы не являетесь оператором персональных данных  ни формально, ни фактически.
 Статус оператора по смыслу п. 2 ст. 3 ФЗ № 152-ФЗ присваивается лицу, которое организует и (или) осуществляет обработку ПДн, а также определяет цели. Вы этого не делаете уже более 2 лет.
 
  На самом сайте в принципе отсутствует сбор ПДн (кнопки отправки анкет и записи неактивны, формы сломаны). Роскомнадзор при проверках часто использует автоматические парсеры, которые видят наличие полей ввода (строки «Имя», «Телефон»), но не проверяют работоспособность кнопки «Отправить». Вы зафиксируете, что факта сбора данных нет физически.

Домен и хостинг оформлены на другое лицо. Вся ответственность за то, что происходит на сайте (включая неработающие формы и чужую/отсутствующую политику), лежит исключительно на текущем администраторе домена.

Уважаемый Никита!

После Ваших уточнений ситуация выглядит несколько иначе. Роскомнадзор установил нарушения на сайте, но это ещё не означает, что отвечать за них должны именно Вы. В данном случае принципиально установить, кто фактически управлял сайтом и осуществлял обработку персональных данных в период проверки — с 15 по 21 октября 2026 года.

Согласно пункту 2 статьи 3 Федерального закона от 27.07.2006 № 152-ФЗ оператором является лицо, которое организует обработку персональных данных и определяет её цели и порядок. Поэтому отсутствие письменного договора передачи сайта само по себе не делает Вас ответственным за последующие действия другого предпринимателя. Однако и регистрация домена на другое лицо автоматически от ответственности не освобождает. Здесь решающее значение имеют фактические обстоятельства и доказательства.

Особое внимание рекомендую уделить Вашему пояснению о неработающих формах записи и отправки анкет. В требовании Роскомнадзор прямо указывает на сбор персональных данных через эти формы. Если они не функционировали в проверяемый период, этот вывод ведомства можно оспаривать. Но подтвердить необходимо именно состояние сайта в октябре 2026 года, а не только на сегодняшний день.

К ответу рекомендую приложить следующие документы:

1. Подтверждение регистратора домена с указанием нынешнего администратора и даты перехода прав администрирования.
2. Документы хостинг-провайдера, подтверждающие, кто фактически обслуживал сайт в проверяемый период.
3. Письмо обслуживающей организации о том, кто управлял сайтом, кому принадлежали доступы и с какого времени перестали работать формы сбора данных. Желательно дополнить его техническими журналами или заключением специалиста.
4. Письменное пояснение нового предпринимателя с указанием даты принятия управления сайтом и подтверждением того, что Вы больше не участвуете в его работе.
5. Имеющуюся переписку о передаче сайта, документы о прекращении Ваших доступов, а также скриншоты спорных страниц и результатов проверки работоспособности форм.
6. Документы, составляемые сейчас, следует датировать фактическим днём оформления. Указывать задним числом дату их составления нельзя.

Отдельно остановлюсь на уведомлении Роскомнадзора. Поскольку Вы никогда не состояли в реестре операторов, рекомендую прежде всего направить мотивированные пояснения о прекращении обработки персональных данных посредством данного сайта. Подавать сейчас уведомление о начале обработки исключительно ради последующего уведомления о её прекращении, на мой взгляд, не следует.

При этом отсутствие записи в реестре само по себе не отменяет обязанностей, предусмотренных статьёй 22 Закона № 152-ФЗ. Вопрос направления отдельного уведомления о прекращении необходимо решать с учётом фактической даты прекращения всей обработки персональных данных Вашим ИП. Если такая обязанность подлежит исполнению, пропущенный срок не является основанием указывать вымышленную дату.

Что касается политики конфиденциальности, изменять её от своего имени на сайте, к которому Вы больше не имеете доступа, не требуется. Если там сохранились Ваши реквизиты, необходимо письменно обратиться к нынешнему владельцу с просьбой устранить недостоверные сведения. При наличии обработки персональных данных именно действующий оператор обязан обеспечить размещение актуальной политики согласно части 2 статьи 18.1 Закона № 152-ФЗ. Одного направления новой политики Роскомнадзору недостаточно.

В ответе на требование от 27.10.2026 № 13539-05/25 рекомендую изложить фактическую историю передачи сайта, указать на отсутствие у Вас доступа к нему и персональным данным, представить доказательства и отдельно оспорить вывод о сборе данных через неработающие формы. При этом не следует писать, что Вы устранили нарушения на сайте, если фактически никаких изменений не производили.

Ответственность по статье 13.11 КоАП РФ полностью исключать преждевременно. Роскомнадзор вправе оценивать нарушения, допущенные в период Вашей собственной деятельности, в том числе связанные с отсутствием уведомления. Но возлагать на Вас ответственность за деятельность другого предпринимателя лишь потому, что на сайте осталась прежняя политика конфиденциальности, без установления Вашего участия в обработке персональных данных было бы необоснованно.

Поскольку требование получено 27 октября 2026 года, десятидневный рабочий срок для ответа истекает 11 ноября 2026 года. Рекомендую направить документы заблаговременно, сохранив подтверждение их отправки.

________________________________

На Вашем месте я бы не пыталась формально оформить передачу сайта задним числом или ограничиться уведомлениями. Гораздо убедительнее представить Роскомнадзору документально подтверждённую картину: когда Вы прекратили работу с сайтом, кто управлял им в октябре 2026 года и осуществлялся ли вообще сбор персональных данных через спорные формы. Такая позиция позволит разграничить ответственность без признания нарушений, к которым Вы отношения не имеете.

________________________________

Если потребуется подготовить мотивированный ответ Роскомнадзору с учётом подтверждающих документов, можете обратиться ко мнев чат.