Уведомление в Роскомнадзор об обработке персональных данных: как подать

Кто обязан подавать уведомление

Обязанность записана в части 1 статьи 22 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных»: оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своём намерении осуществлять обработку. Оператор — это любая организация или ИП, которая собирает и хранит данные людей: сотрудников, клиентов, заявок с сайта.

С 1 сентября 2022 года почти все прежние исключения отменены Федеральным законом № 266-ФЗ. Не уведомлять можно только в трёх случаях, они перечислены в части 2 статьи 22:

• данные включены в государственные информационные системы, созданные для защиты безопасности государства и общественного порядка;
• оператор обрабатывает данные исключительно без средств автоматизации — то есть только на бумаге, без компьютера и программ;
• обработка ведётся в рамках законодательства о транспортной безопасности.

Обычный бизнес ни под одно исключение не попадает. Зарплатная ведомость в бухгалтерской программе, база клиентов в таблице, форма заявки на сайте — это уже автоматизированная обработка. Размер компании, наличие сайта и число сотрудников значения не имеют: в реестре операторов Роскомнадзора сейчас более 2,6 миллиона записей, и туда входят и ИП без работников.

Что будет, если не подать

С 30 мая 2025 года за это отвечает отдельная норма — часть 10 статьи 13.11 КоАП РФ (введена Федеральным законом от 30.11.2024 № 420-ФЗ). Наказывают и за неподачу, и за просрочку:

• граждане — от 5 000 до 10 000 ₽;
• должностные лица — от 30 000 до 50 000 ₽;
• юридические лица — от 100 000 до 300 000 ₽.

Индивидуальные предприниматели в этой норме отдельно не названы, поэтому по примечанию к статье 2.4 КоАП РФ отвечают как должностные лица — 30 000–50 000 ₽. Часто встречающееся утверждение «для ИП штраф 100–300 тысяч» тексту закона не соответствует.

Проверяющие обычно смотрят весь блок сразу. Рядом идут ещё два состава: отсутствие политики обработки в открытом доступе — до 60 000 ₽ на организацию (часть 3 статьи 13.11 КоАП РФ), и неуведомление Роскомнадзора об утечке данных — для юридических лиц от 1 до 3 млн ₽ (часть 11).

Три способа подать уведомление

Формы уведомлений утверждены приказом Роскомнадзора от 28.10.2022 № 180. Заполнить и отправить их можно на Портале персональных данных Роскомнадзора одним из трёх способов:

• через Госуслуги — вход по средствам аутентификации ЕСИА, самый быстрый вариант, электронная подпись не нужна;
• электронным документом с усиленной квалифицированной подписью — подходит, если подпись уже есть у руководителя или бухгалтера;
• на бумаге — форма заполняется на портале, распечатывается, подписывается и отправляется в территориальный орган Роскомнадзора по месту регистрации.

Госпошлины нет. Часть 5 статьи 22 прямо запрещает возлагать на оператора расходы, связанные с рассмотрением уведомления и внесением сведений в реестр. Любое предложение «оплатить пошлину за регистрацию оператора» — признак мошенничества.

Что нужно указать в уведомлении

Состав сведений закреплён частью 3 статьи 22. В форме указывают: наименование и адрес оператора; цель обработки; описание мер защиты по статьям 18.1 и 19 закона, в том числе сведения о шифровальных средствах; ФИО, телефон, почтовый адрес и электронную почту ответственного за организацию обработки; дату начала обработки; срок или условие её прекращения; сведения о трансграничной передаче; место нахождения базы данных с данными граждан России; сведения об обеспечении безопасности данных.

Отдельно есть требование части 3.1, о которое чаще всего спотыкаются: для каждой цели обработки нужно указать свои категории персональных данных, категории субъектов, правовое основание, перечень действий с данными и способы обработки. Одна общая строка «обработка персональных данных сотрудников и клиентов» проверку не проходит.

Если сведения неполные или недостоверные, Роскомнадзор вправе потребовать их уточнить до внесения в реестр — часть 6 статьи 22. Это не штраф, но время вы потеряете.

Порядок действий: пошагово

• Шаг 1. Выпишите все цели обработки: кадры, расчёт зарплаты, работа с клиентами, заявки с сайта, видеонаблюдение, пропускной режим, рассылки.
• Шаг 2. По каждой цели определите категории данных, категории людей, правовое основание и способы обработки.
• Шаг 3. Назначьте приказом ответственного за организацию обработки персональных данных — для организаций это прямая обязанность по статье 22.1 закона, его данные пойдут в уведомление.
• Шаг 4. Опишите меры защиты: где хранятся базы, кто имеет доступ, какие средства защиты используются.
• Шаг 5. Заполните форму на портале Роскомнадзора и отправьте выбранным способом.
• Шаг 6. Через месяц проверьте себя в реестре операторов и сохраните запись в документах компании.

Сроки: сколько ждать и когда обновлять сведения

Роскомнадзор вносит сведения в реестр операторов в течение 30 дней с даты поступления уведомления (часть 4 статьи 22). Реестр публичный: найти себя можно поиском по наименованию или ИНН на портале персональных данных. Закрыты только сведения о средствах обеспечения безопасности — всё остальное, включая ФИО и контакты ответственного, общедоступно. Поэтому в качестве контакта ответственного разумнее указывать рабочий телефон и корпоративную почту, а не личные.

Дальше действуют два срока по части 7 статьи 22 закона № 152-ФЗ, и оба записаны в норме дословно:

• изменились сведения из уведомления (адрес, ответственный, цели, база данных) — сообщить не позднее 15-го числа месяца, следующего за месяцем изменений;
• обработка полностью прекращена — сообщить в течение 10 рабочих дней с даты прекращения; из реестра вас исключат в течение 30 дней.

Как понять, что вы уже оператор

Спор «мы или не мы» решается одним вопросом: обрабатываете ли вы персональные данные с использованием средств автоматизации. Освобождение по пункту 8 части 2 статьи 22 действует только для тех, кто ведёт обработку исключительно без использования средств автоматизации — то есть полностью на бумаге.

Проверьте себя по обычным ситуациям:

• Зарплата считается в бухгалтерской программе — это автоматизированная обработка данных работников.
• База клиентов в таблице или системе учёта — то же самое.
• Форма заявки на сайте с именем и телефоном — обработка начинается в момент отправки формы.
• Видеонаблюдение с записью в помещении, где бывают люди, — тоже обработка, и цель нужно указать в уведомлении.
• Мессенджеры и почта для общения с клиентами — переписка с персональными данными хранится в электронном виде.

Практически это означает, что предприниматель без единого работника, но с формой заявки на сайте, уже является оператором и обязан подать уведомление до начала сбора данных. Отсутствие сотрудников, оборот и организационная форма на обязанность не влияют.

Что говорит Верховный Суд

Отдельного постановления Пленума Верховного Суда об уведомлении Роскомнадзора мы не нашли — профильных разъяснений по статье 22 закона № 152-ФЗ на уровне Пленума нет. Применяются общие правила постановления Пленума Верховного Суда от 24 марта 2005 года № 5 о применении Кодекса об административных правонарушениях — о доказывании, сроках давности, малозначительности и порядке обжалования.

Практический вывод: раз обязанность возникает до начала обработки, ключевым в споре становится вопрос даты. Сохраняйте подтверждение подачи уведомления и скриншот записи в реестре — это простое действие снимает большую часть претензий о том, что уведомление «не поступало».

Пять ошибок, из-за которых приходится подавать заново

• «Мы маленькие, нас это не касается». Освобождает не размер бизнеса, а только обработка полностью без компьютера.
• Одна цель вместо всех. Указали кадры, забыли клиентов, сайт и видеонаблюдение — сведения неполные.
• Личные контакты ответственного в форме: они станут общедоступными в реестре.
• Молчание после изменений. Сменили адрес или ответственного и не уведомили — сведения в реестре недостоверны.
• «Подали — значит, всё по закону». Уведомление не заменяет политику обработки на сайте, согласия и приказы; за отсутствие политики штрафуют отдельно.

Читайте также

Что ещё требует закон от бизнеса — в статье «Персональные данные по 152-ФЗ: что обязан бизнес». Полный разбор санкций — в статье «Штрафы за нарушения с персональными данными».

Частые вопросы