Уведомление в Роскомнадзор об обработке персональных данных
С 30 мая 2025 года за неподанное уведомление появился отдельный штраф — до 300 000 рублей, причём для ИП он такой же, как для организаций. Разбираем, кто обязан уведомлять Роскомнадзор, что писать в форме и в какие сроки укладываться.
Что такое уведомление и зачем оно нужно
Уведомление об обработке персональных данных — это заявление оператора в Роскомнадзор о том, что он собирается работать с персональными данными: чьи данные, зачем, на каком основании и как он их защищает. На основании уведомлений ведётся реестр операторов — публичная база, в которой любой может проверить компанию по ИНН.
Обязанность закреплена в части 1 статьи 22 Федерального закона № 152-ФЗ: оператор до начала обработки обязан уведомить уполномоченный орган о своём намерении её осуществлять. Не «в течение месяца после запуска сайта» и не «когда появятся первые клиенты» — именно до начала.
Уведомление не согласовывают и не одобряют. Роскомнадзор не проверяет вас перед внесением в реестр и не может отказать по существу — он лишь вправе потребовать уточнить сведения, если они неполные или недостоверные (часть 6 статьи 22). Никакой госпошлины тоже нет: часть 5 статьи 22 прямо запрещает возлагать на оператора расходы, связанные с рассмотрением уведомления и внесением в реестр.
Кто обязан подавать уведомление
Короткий ответ: практически все. Это самое частое заблуждение — предприниматели считают, что уведомление касается только банков, операторов связи и крупных ИТ-компаний.
До 1 сентября 2022 года в части 2 статьи 22 было шесть широких исключений: данные работников, данные контрагентов по договору, общедоступные данные и другие. Федеральный закон от 14.07.2022 № 266-ФЗ признал пункты 1–6 утратившими силу. Осталось только три исключения, и к обычному бизнесу они почти не относятся:
- данные в государственных информационных системах, созданных для защиты безопасности государства и общественного порядка (пункт 7);
- обработка исключительно без использования средств автоматизации — то есть только на бумаге, без компьютера, почты и таблиц (пункт 8);
- данные, обрабатываемые по законодательству о транспортной безопасности (пункт 9).
Отсюда практический вывод. Если у вас есть сайт с формой обратной связи, база клиентов в CRM или хотя бы в Excel, сотрудники, оформленные по трудовому договору, или рассылка по e-mail — вы оператор персональных данных и обязаны подать уведомление. Форма собственности значения не имеет: ООО, ИП и самозанятый в этой части равны.
Форма обратной связи собирает имя, телефон или e-mail — это персональные данные. Она работает через сайт, то есть с использованием средств автоматизации. Исключение из пункта 8 части 2 статьи 22 не применяется. Уведомление нужно.
Что грозит, если не подать
До 30 мая 2025 года отдельного штрафа за неподанное уведомление не существовало — Роскомнадзор мог лишь выдать предписание. Федеральный закон от 30.11.2024 № 420-ФЗ ввёл в статью 13.11 КоАП новую часть 10, и с этой даты неподача или несвоевременная подача уведомления стала самостоятельным административным правонарушением:
| Кто | Штраф по ч. 10 ст. 13.11 КоАП |
|---|---|
| Граждане | 5 000 — 10 000 ₽ |
| Должностные лица государственных, муниципальных органов и НКО | 30 000 — 50 000 ₽ |
| Организации и индивидуальные предприниматели | 100 000 — 300 000 ₽ |
Обратите внимание на положение ИП. По общему правилу КоАП предприниматель отвечает как должностное лицо, но примечание 1 к статье 13.11 делает исключение для частей 1.1 и 8–18: по ним ИП несёт ответственность как юридическое лицо. Часть 10 попадает в этот диапазон, поэтому за неподанное уведомление индивидуальный предприниматель рискует теми же 100–300 тысячами рублей, что и ООО.
Отдельно стоит помнить, что закон приравнивает несвоевременную подачу к неподаче: если вы запустили сайт в январе, а уведомление отправили в июне, состав правонарушения формально уже есть.
Документы для сайта — за 10 минут
Политика обработки ПДн, согласие, cookie-политика и баннер собираются по анкете под ваш конкретный сайт и приходят в формате Word. Комплект — от 200 ₽, готовое решение для WordPress, Битрикс, Tilda и InSales уже включено.
Заполнить анкетуКакие сведения понадобятся
Состав уведомления определён частями 3 и 3.1 статьи 22. Подготовьте заранее:
- наименование или ФИО и адрес оператора;
- цели обработки — по каждой цели отдельно указываются категории данных, категории субъектов, правовое основание, перечень действий и способы обработки;
- описание мер защиты по статьям 18.1 и 19 закона, включая сведения о шифровальных средствах, если они применяются;
- ФИО ответственного за организацию обработки, его телефон, почтовый адрес и e-mail;
- дату начала обработки и срок или условие её прекращения;
- сведения о наличии или отсутствии трансграничной передачи;
- сведения о месте нахождения базы данных с данными граждан РФ;
- сведения об обеспечении безопасности по требованиям Правительства РФ.
Самая частая заминка — блок про меры по статье 18.1. Именно там пригодится уже подготовленная политика обработки персональных данных: из неё берутся формулировки о целях, правовых основаниях, сроках хранения и мерах защиты. Если политики ещё нет, логичнее сначала оформить её, а потом заполнять уведомление, а не наоборот.
Как подать уведомление
Часть 3 статьи 22 допускает два способа: документ на бумажном носителе или электронный документ, подписанный уполномоченным лицом. На практике почти все подают электронно — через портал персональных данных Роскомнадзора pd.rkn.gov.ru.
Вход на портал возможен двумя способами: через Госуслуги (ЕСИА) или через собственную авторизацию Роскомнадзора. Вариант с Госуслугами удобнее — при подтверждённой учётной записи организации или ИП квалифицированная электронная подпись не нужна, роль подписи выполняет аутентификация в ЕСИА. Если учётной записи нет, остаётся подача с УКЭП или бумажная форма в территориальный орган по месту регистрации.
Начните с проверки: найдите себя по ИНН в публичном реестре операторов. Бывает, что уведомление уже подавал бухгалтер или предыдущий директор — тогда нужно не подавать новое, а внести изменения.
Сроки, о которых забывают
| Событие | Срок | Норма |
|---|---|---|
| Первичная подача | До начала обработки | ч. 1 ст. 22 |
| Внесение сведений в реестр Роскомнадзором | 30 дней с даты поступления | ч. 4 ст. 22 |
| Изменение сведений (адрес, цели, ответственный) | Не позднее 15-го числа месяца, следующего за месяцем изменения | ч. 7 ст. 22 |
| Прекращение обработки | 10 рабочих дней с даты прекращения | ч. 7 ст. 22 |
| Исключение сведений из реестра | 30 дней с даты уведомления | ч. 4.1 ст. 22 |
Сменили юридический адрес, добавили новую цель обработки или назначили другого ответственного — и снова наступает срок. Формально просроченное уведомление об изменениях подпадает под ту же часть 10 статьи 13.11 КоАП, что и неподача первичного.
Пять типичных ошибок
- Подали уведомление, но не опубликовали политику. Это два разных требования. За отсутствие политики в открытом доступе отвечает часть 3 статьи 13.11 КоАП — до 60 000 ₽ для организаций и до 20 000 ₽ для ИП.
- Указали одну цель «уставная деятельность». Часть 3.1 требует по каждой цели раскрыть категории данных, субъектов, основание и способы. Обобщённая формулировка — повод потребовать уточнений.
- Забыли про сотрудников. Данные работников тоже персональные, и исключение для них отменено с 1 сентября 2022 года.
- Не указали трансграничную передачу. Если сайт использует зарубежную аналитику, рассылочный сервис или хостинг, вопрос трансграничной передачи возникает — и его нужно раскрыть.
- Подали и забыли. Реестр публичный, сведения в нём должны быть актуальными. Проверяйте свою карточку хотя бы раз в год.
Документы для сайта — за 10 минут
Политика обработки ПДн, согласие, cookie-политика и баннер собираются по анкете под ваш конкретный сайт и приходят в формате Word. Комплект — от 200 ₽, готовое решение для WordPress, Битрикс, Tilda и InSales уже включено.
Заполнить анкетуЧастые вопросы
Нужно ли подавать уведомление, если у меня только лендинг с формой заявки?
Да. Форма собирает имя и контакты, то есть персональные данные, и делает это с использованием средств автоматизации. Ни одно из трёх оставшихся исключений части 2 статьи 22 152-ФЗ в этом случае не применяется.
Должен ли самозанятый подавать уведомление?
Если он собирает данные клиентов через сайт, мессенджеры или таблицы — да, он тоже оператор. Обязанность по статье 22 152-ФЗ не зависит от налогового режима.
Сколько стоит подача уведомления?
Нисколько. Часть 5 статьи 22 152-ФЗ прямо запрещает возлагать на оператора расходы, связанные с рассмотрением уведомления и внесением сведений в реестр. Госпошлины за эту процедуру не установлено.
Что будет, если подать уведомление с опозданием?
Закон приравнивает несвоевременную подачу к неподаче. Ответственность одинаковая — часть 10 статьи 13.11 КоАП: от 100 000 до 300 000 рублей для организаций и индивидуальных предпринимателей.
Нужна ли электронная подпись для подачи уведомления?
Не обязательно. При входе на портал pd.rkn.gov.ru через Госуслуги с подтверждённой учётной записью организации или ИП квалифицированная электронная подпись не требуется. Без учётной записи ЕСИА уведомление подаётся с УКЭП либо на бумаге в территориальный орган Роскомнадзора.
Как проверить, есть ли компания в реестре операторов?
В публичном реестре операторов на портале персональных данных Роскомнадзора. Поиск ведётся по ИНН или наименованию. Сведения реестра общедоступны в силу части 4 статьи 22 152-ФЗ.
Нужно ли подавать новое уведомление при смене юридического адреса?
Новое — нет, а уведомление об изменении сведений — да, не позднее 15-го числа месяца, следующего за месяцем, в котором изменения произошли (часть 7 статьи 22 152-ФЗ).
Заменяет ли уведомление политику обработки персональных данных?
Нет. Это две независимые обязанности: уведомление подаётся в Роскомнадзор по статье 22, а политика публикуется на сайте в открытом доступе по статье 18.1. За отсутствие политики предусмотрен отдельный штраф по части 3 статьи 13.11 КоАП.
Материал носит справочный характер, подготовлен редакцией сервиса FastaDoc и не является индивидуальной юридической консультацией. Нормы приведены по состоянию на дату обновления статьи. В нестандартных ситуациях — обработка данных детей, специальные категории данных, трансграничная передача — рекомендуем отдельную юридическую проверку.