Уведомление в Роскомнадзор об обработке ПДн: как подать

Уведомление об обработке персональных данных — самый простой из обязательных шагов по 152-ФЗ и одновременно один из самых пропускаемых. Его не нужно согласовывать, за него не берут пошлину, а заполняется оно за один-два часа, если заранее понимать, что писать в каждом поле. При этом за неподачу с 30 мая 2025 года действует отдельный штраф для организаций до 300 тыс. рублей.

Ниже — практический порядок: кто обязан подавать, какие сведения подготовить, как заполнить форму, что делать при изменениях и как проверить себя в реестре. Мы сами проходили эту процедуру для собственных сервисов — сайтов и облачных систем для автопроката, салонов и автосалонов, — поэтому опираемся не только на текст закона, но и на то, где обычно спотыкаются.

Кто обязан подавать уведомление

Часть 1 статьи 22 Федерального закона № 152-ФЗ «О персональных данных» требует от оператора уведомить Роскомнадзор о намерении обрабатывать персональные данные до начала обработки. Оператор — это любая организация или ИП, которые сами решают, зачем и как обрабатывать данные людей. Если у вас есть сотрудники, клиенты с телефонами в базе, форма заявки на сайте или онлайн-запись — вы оператор.

До 1 сентября 2022 года было много исключений: например, можно было не уведомлять, если вы обрабатывали только данные работников или данные, нужные для исполнения договора с клиентом. Федеральный закон от 14.07.2022 № 266-ФЗ эти исключения отменил. Сейчас в части 2 статьи 22 остались три случая, когда уведомление не нужно:

• данные включены в государственные информационные системы, созданные для защиты безопасности государства и общественного порядка;
• оператор обрабатывает данные исключительно без средств автоматизации, то есть только на бумаге;
• обработка ведётся по законодательству о транспортной безопасности.

Для малого бизнеса реально применимо только второе исключение, и оно почти никогда не работает. Excel-таблица с клиентами, CRM, бухгалтерская программа с данными сотрудников, переписка с клиентом в мессенджере — это уже обработка с использованием средств автоматизации.

Что грозит за неподачу

Федеральный закон от 30.11.2024 № 420-ФЗ ввёл в статью 13.11 КоАП отдельную часть 10 — за невыполнение или несвоевременное выполнение обязанности уведомить Роскомнадзор о намерении обрабатывать персональные данные. По тексту статьи в редакции на октябрь 2026 года:

Обратите внимание на ИП: по общему правилу КоАП предприниматель отвечает как должностное лицо, но для частей 1.1 и 8–18 статьи 13.11 примечание прямо приравнивает его к юрлицу. Поэтому для ИП неподача уведомления стоит так же дорого, как для ООО.

Неподача почти никогда не выявляется сама по себе. Обычно Роскомнадзор приходит по жалобе клиента или бывшего сотрудника, по мониторингу сайтов или после утечки — и тогда отсутствие в реестре добавляется к остальным нарушениям. Полную таблицу штрафов по всем частям 13.11 мы собрали в статье штрафы по 152-ФЗ в 2026 году, а посчитать свой риск можно в калькуляторе штрафов по 152-ФЗ.

Что подготовить до заполнения

Форма уведомления утверждена приказом Роскомнадзора от 28.10.2022 № 180. Сведения перечислены в части 3 статьи 22, а часть 3.1 требует расписать их отдельно для каждой цели обработки. Это ключевой момент: уведомление строится не «по компании», а «по целям». Удобно сначала составить черновую таблицу.

Помимо целей, подготовьте:

• полное наименование, ИНН, ОГРН и адрес оператора;
• перечень действий с данными (сбор, запись, систематизация, хранение, уточнение, использование, передача, удаление, уничтожение) и способ обработки — как правило, смешанный;
• описание мер защиты по статьям 18.1 и 19: кто назначен ответственным, какие локальные акты изданы, как разграничен доступ, используются ли средства криптозащиты и какие именно;
• ФИО, телефон, почтовый и электронный адрес ответственного за организацию обработки;
• дату начала обработки и условие её прекращения (обычно «ликвидация организации» или «прекращение деятельности»);
• сведения о трансграничной передаче — есть она или нет;
• место нахождения баз данных: страна, адрес дата-центра и наименование хостинг-провайдера.

Где подаётся уведомление

Есть три способа, все бесплатные (часть 5 статьи 22 прямо запрещает брать с оператора деньги за рассмотрение).

1. На портале персональных данных Роскомнадзора pd.rkn.gov.ru заполнить электронную форму, распечатать сформированный документ, подписать у руководителя и отправить заказным письмом в территориальное управление Роскомнадзора по месту регистрации.
2. Там же подписать и отправить уведомление усиленной квалифицированной электронной подписью руководителя — без бумаги.
3. Через Госуслуги — по услуге внесения в реестр операторов персональных данных. Для ИП это обычно самый быстрый вариант.

В течение 30 дней с поступления уведомления Роскомнадзор вносит сведения в реестр операторов (часть 4 статьи 22). Если сведения неполные, ведомство вправе запросить уточнения до внесения в реестр.

Как заполнить форму по шагам

1. Выберите тип уведомления — о намерении осуществлять обработку. Остальные два типа — об изменении сведений и о прекращении обработки.
2. Внесите реквизиты оператора. Адрес — юридический, как в ЕГРЮЛ или ЕГРИП. Ошибка в ИНН или ОГРН — самая частая причина возврата.
3. Добавьте цели. Для каждой цели по отдельности укажите категории данных, категории субъектов, правовое основание, перечень действий и способ обработки. Не пишите одну цель «осуществление уставной деятельности» — такую формулировку обычно возвращают на уточнение.
4. Опишите меры защиты. Достаточно перечислить реальные меры: назначение ответственного, издание политики и положения об обработке, разграничение прав доступа, антивирус, межсетевой экран, резервное копирование, учёт машинных носителей. Если используется шифрование (например, TLS на сайте и шифрование дисков), укажите наименования средств.
5. Укажите ответственного. Для юрлица его назначают приказом — это требование части 1 статьи 22.1.
6. Заполните сведения о базе данных: страна (Российская Федерация), адрес ЦОД, наименование провайдера. Если CRM облачная, адрес ЦОД запросите у поставщика — у нормального сервиса он есть в документации или договоре.
7. Отметьте наличие или отсутствие трансграничной передачи. Если вы пользуетесь зарубежными сервисами, куда уходят данные клиентов (формы, мессенджеры, аналитика), это трансграничная передача, и для неё нужно отдельное уведомление по статье 12.
8. Проверьте, сформируйте документ и отправьте выбранным способом.

Уведомление и политика должны совпадать

Роскомнадзор при проверке сравнивает три документа: уведомление в реестре, политику обработки персональных данных на сайте и тексты согласий в формах. Если в политике указана цель «рассылки», а в уведомлении её нет, или база в политике «в РФ», а сайт на зарубежном хостинге, это повод для вопросов. Порядок такой: сначала составьте перечень целей, потом по нему — политику (её можно собрать в нашем генераторе политики конфиденциальности), затем уведомление и тексты согласий. Как оформить согласие отдельно от остальных документов, мы разбирали в статье согласие на обработку ПДн отдельным документом.

Изменения: до 15-го числа следующего месяца

Подать уведомление один раз недостаточно. По части 7 статьи 22 при изменении сведений оператор обязан уведомить Роскомнадзор не позднее 15-го числа месяца, следующего за месяцем изменений. Типичные поводы:

• сменился адрес организации или ответственный;
• появилась новая цель: запустили онлайн-запись, программу лояльности, начали собирать паспортные данные;
• переехали на другой хостинг или в другую облачную CRM;
• начали передавать данные новому обработчику: колл-центру, службе доставки, сервису рассылок;
• стали использовать зарубежный сервис, и появилась трансграничная передача.

При прекращении обработки — например, при закрытии ИП — уведомление о прекращении подаётся в течение десяти рабочих дней. Сведения из реестра Роскомнадзор исключит в течение 30 дней.

Про уведомление об утечке у нас есть отдельный разбор — утечка ПДн: уведомление Роскомнадзора за 24 и 72 часа.

Как проверить, есть ли вы в реестре

Сведения реестра операторов общедоступны (кроме средств защиты). Поиск по ИНН или наименованию есть на портале pd.rkn.gov.ru. Проверьте себя, если не уверены, подавал ли уведомление прежний бухгалтер или юрист: часто компания числится в реестре с данными пятилетней давности, без сайта и онлайн-записи. Такое уведомление формально есть, но сведения в нём устарели, и это тоже нарушение части 7.

Частые ошибки

• Одна обобщённая цель на всё. Нужны отдельные цели с отдельными перечнями данных.
• Не указан сайт и форма заявки, хотя сбор идёт через интернет.
• База данных указана «в РФ», а сайт или CRM на зарубежных серверах. Это уже нарушение требования о локализации из части 5 статьи 18 152-ФЗ с отдельным штрафом от 1 до 6 млн рублей для организаций.
• Ответственный указан, но приказа о его назначении нет.
• Уведомление подано один раз, изменения не подавались годами.
• Перечислены меры защиты, которых в реальности нет. При проверке попросят документы.

Сколько времени это занимает

Если цели и данные уже описаны в политике, заполнение формы занимает 1–2 часа. Если документов нет вовсе, честная оценка — один-два рабочих дня: инвентаризация, где лежат данные клиентов и сотрудников, приказ об ответственном, политика, тексты согласий, уведомление. Минимальный пакет документов мы перечислили в статье документы по 152-ФЗ для малого бизнеса, а быстро пройтись по всем требованиям поможет чек-лист по 152-ФЗ.

Если ваши клиентские данные живут в облачной CRM, уточните у поставщика, где стоят серверы. Наши системы для автопроката, салонов красоты и автосалонов хранят данные на серверах в России, поэтому в уведомлении достаточно указать адрес ЦОД, который мы сообщаем клиентам. Если нужна помощь с аудитом сайта и форм перед подачей, напишите нам через контакты или посмотрите услугу кибербезопасности и 152-ФЗ.