Уведомление в Роскомнадзор об обработке персональных данных: когда нужно и что в нём указать

Уведомление в Роскомнадзор — тот шаг, который чаще всего пропускают: он не виден на сайте, никак не мешает работе и до недавнего времени почти не наказывался. С 2025 года ситуация изменилась: за неподанное уведомление в КоАП появился отдельный состав. Разберём, кто и что именно обязан сделать.

Общее правило

Часть 1 статьи 22 Федерального закона № 152-ФЗ формулирует обязанность коротко: оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своём намерении осуществлять обработку, за исключением случаев, предусмотренных частью 2.

Два слова здесь несут основную нагрузку. «До начала» — уведомление подаётся не после запуска сайта, а до того, как первая заявка попала в базу. И «за исключением случаев части 2» — потому что именно этот перечень исключений сжался почти до нуля.

Что осталось от освобождений

До 1 сентября 2022 года часть 2 статьи 22 содержала длинный список ситуаций, в которых уведомление подавать не требовалось: данные работников, данные по договору с субъектом, общедоступные данные и так далее. Федеральный закон от 14 июля 2022 года № 266-ФЗ признал пункты с 1 по 6 утратившими силу.

Сейчас в части 2 остались только три основания:

• персональные данные, включённые в государственные информационные системы, созданные в целях защиты безопасности государства и общественного порядка;
• случаи, когда оператор осуществляет деятельность по обработке персональных данных исключительно без использования средств автоматизации;
• данные, обрабатываемые в случаях, предусмотренных законодательством о транспортной безопасности.

Для обычного бизнеса практически значим только второй пункт — и он же чаще всего толкуется неверно. Сайт с формой обратной связи, CRM, почтовая рассылка, счётчик аналитики — это обработка с использованием средств автоматизации. Освобождение по этому пункту работает, если у оператора обработка идёт исключительно на бумаге, а не «в том числе на бумаге».

Иначе говоря: если у вас есть сайт, который собирает контакты, вы под общее правило части 1 попадаете.

Что должно быть в уведомлении

Состав сведений задаёт часть 3 статьи 22. После правок 2022 года часть пунктов утратила силу, и действующий перечень выглядит так:

• наименование или фамилия, имя, отчество и адрес оператора;
• цель обработки персональных данных;
• описание мер, предусмотренных статьями 18.1 и 19 закона, в том числе сведения о наличии шифровальных средств и их наименования;
• фамилия, имя, отчество физического лица или наименование юридического лица, ответственных за организацию обработки персональных данных, номера их контактных телефонов, почтовые адреса и адреса электронной почты;
• дата начала обработки персональных данных;
• срок или условие прекращения обработки персональных данных;
• сведения о наличии или об отсутствии трансграничной передачи персональных данных;
• сведения о месте нахождения базы данных информации, содержащей персональные данные граждан Российской Федерации;
• сведения о лицах, имеющих доступ или обрабатывающих по договору персональные данные из государственных и муниципальных информационных систем;
• сведения об обеспечении безопасности персональных данных в соответствии с требованиями, установленными Правительством Российской Федерации.

Отдельно стоит часть 3.1, добавленная тем же 266-ФЗ. Она требует, чтобы для каждой цели обработки оператор указал категории персональных данных, категории субъектов, правовое основание обработки, перечень действий с персональными данными и способы обработки.

Именно это место обычно вскрывает, что на сайте нет внятной модели данных. Заполнить часть 3.1 честно нельзя, не ответив предварительно на вопросы: сколько у нас целей, какие данные собирает каждая форма, на каком основании и сколько мы их храним. Те же сведения нужны и для политики обработки персональных данных, поэтому разумно делать эту работу один раз.

Что происходит после подачи

Часть 4 статьи 22: Роскомнадзор в течение тридцати дней с даты поступления уведомления вносит сведения в реестр операторов. Сведения реестра, за исключением сведений о средствах обеспечения безопасности, являются общедоступными. То есть факт подачи проверяется любым желающим — включая конкурента и проверяющего.

Часть 5: расходы в связи с рассмотрением уведомления и внесением сведений в реестр на оператора не возлагаются. Уведомление бесплатное.

Часть 6: если сведения неполные или недостоверные, регулятор вправе потребовать их уточнения до внесения в реестр.

Формы уведомлений по части 8 устанавливает сам Роскомнадзор.

Про что забывают чаще всего: изменения и прекращение

Подать уведомление один раз недостаточно. Часть 7 статьи 22 устанавливает два отдельных срока.

При изменении сведений, указанных в части 3, оператор обязан уведомить регулятор обо всех произошедших изменениях не позднее 15-го числа месяца, следующего за месяцем, в котором изменения возникли.

При прекращении обработки персональных данных уведомить нужно в течение десяти рабочих дней с даты прекращения. Исключение сведений из реестра происходит в течение тридцати дней с даты поступления такого уведомления — это часть 4.1.

Переезд офиса, смена ответственного за организацию обработки, новая цель обработки, переход на другой сервис рассылок с иным местом хранения базы — всё это изменения сведений части 3, и на них есть срок.

Четыре заблуждения, из-за которых уведомление не подают

«У нас всего лишь имя и телефон». Объём данных на обязанность не влияет. Часть 1 статьи 22 говорит о намерении осуществлять обработку, а не о её масштабе, и порога в законе нет.

«Мы получаем данные по договору с клиентом». Освобождение по этому основанию действовало до 1 сентября 2022 года и отменено вместе с остальными пунктами 1–6 части 2.

«Заявки уходят прямо на почту, базы у нас нет». Почтовый ящик — это средство автоматизации и место хранения. Освобождение работает только там, где обработка идёт исключительно без использования средств автоматизации.

«Мы подавали уведомление несколько лет назад». Проверьте состав сведений. После правок 2022 года перечень изменился, а часть 3.1 с разбивкой по целям обработки появилась только тогда же. Если с момента подачи у вас изменились адрес, ответственное лицо, цели или место хранения базы, срок на уведомление об изменениях уже наступал.

Есть и смежная обязанность, о которой стоит помнить: статья 22.1 152-ФЗ посвящена лицам, ответственным за организацию обработки персональных данных в организациях. Именно эти сведения и уходят в уведомление по пункту 7.1 части 3 статьи 22, поэтому назначить ответственного придётся до подачи, а не после.

Ответственность

Раньше за неподачу уведомления привлекали по общим составам. С 30 мая 2025 года в статье 13.11 КоАП РФ есть отдельная часть 10, введённая Федеральным законом от 30 ноября 2024 года № 420-ФЗ. Она наказывает невыполнение или несвоевременное выполнение обязанности по уведомлению о намерении осуществлять обработку персональных данных: на граждан от 5000 до 10 000 рублей, на должностных лиц от 30 000 до 50 000 рублей, на юридических лиц от 100 000 до 300 000 рублей.

Здесь есть нюанс, который стоит запомнить индивидуальным предпринимателям. По примечанию 1 к статье 13.11 за правонарушения, предусмотренные частями 1.1 и 8–18, индивидуальные предприниматели несут ответственность как юридические лица. Часть 10 попадает в этот диапазон. То есть для ИП штраф за неподанное уведомление считается по «юрлицовской» шкале — от 100 000 до 300 000 рублей.

И ещё одно примечание, про которое почти не пишут: по примечаниям 2 и 3 в частях 10–18 под должностным лицом понимается должностное лицо государственного или муниципального органа либо некоммерческой организации, а под юридическим лицом — оператор, не являющийся государственным или муниципальным органом либо некоммерческой организацией. Для коммерческой компании это означает, что «мягкая» должностная шкала к ней просто не применяется. Полную картину санкций мы собрали в разборе штрафов по статье 13.11 КоАП.

Порядок действий

Уведомление логично подавать не первым шагом, а вторым — после того, как разобрались с фактическим составом данных. Иначе часть 3.1 придётся заполнять наугад, а потом уточнять.

• Соберите список целей обработки: каждая форма, подписка, чат, личный кабинет.
• Для каждой цели определите категории данных, категории субъектов, правовое основание, действия и способы обработки.
• Зафиксируйте, где физически находятся базы: CRM, почтовый сервис, хранилище файлов.
• Назначьте ответственного за организацию обработки и укажите его контакты.
• Приведите политику на сайте в соответствие с тем же составом сведений.
• Подайте уведомление и поставьте в календарь напоминание о сроке при изменениях.

Первые пять шагов — это и есть работа по приведению сайта в порядок; уведомление лишь фиксирует её результат. Мы делаем её в рамках отдельного проекта: приведение сайтов в соответствие 152-ФЗ.

Начать можно с бесплатной автоматической проверки — проверить свой сайт бесплатно: семнадцать проверок, оценка до 1000 баллов, результат сразу на экране, без регистрации.

Частые вопросы

Нужно ли подавать уведомление, если на сайте только форма обратной связи?

Да. Часть 1 статьи 22 говорит о намерении осуществлять обработку и не устанавливает порога по объёму данных или числу субъектов.

Освобождает ли от уведомления обработка без средств автоматизации?

Только если обработка идёт исключительно без них. Сайт, CRM и почтовый ящик — это средства автоматизации, поэтому для владельца сайта освобождение по пункту 8 части 2 не работает.

В какой срок сообщать об изменениях?

Не позднее 15-го числа месяца, следующего за месяцем, в котором изменения возникли. О прекращении обработки — в течение десяти рабочих дней.

Источники

• Статья 22 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»
• Статья 18.1 Федерального закона от 27.07.2006 № 152-ФЗ
• Статья 13.11 КоАП РФ