Уведомление Роскомнадзора об обработке персональных данных: кто подаёт и как заполнить

Что это за уведомление

По ст. 22 152‑ФЗ оператор персональных данных (ПДн) до начала обработки сообщает Роскомнадзору (РКН) о своём намерении её вести. Оператор — компания или ИП, которые решают, зачем и как обрабатывать данные людей: клиентов, посетителей сайта, работников.

Уведомление описывает, кто вы, какие данные и зачем обрабатываете, где стоят базы и как вы их защищаете. В течение 30 дней с получения уведомления РКН вносит сведения в публичный реестр операторов. Рассмотрение бесплатное. Разрешения на обработку уведомление не даёт и проверку не запускает, но его отсутствие — самостоятельное нарушение.

Кто обязан подавать и кого освободили

С 1 сентября 2022 года Федеральный закон от 14.07.2022 № 266‑ФЗ отменил шесть из девяти исключений. Раньше без уведомления можно было, например, обрабатывать данные работников по трудовому законодательству или данные клиентов, полученные в связи с договором. Сейчас от уведомления освобождены только три случая.

Отдельного освобождения для ИП, малого бизнеса или самозанятых в ст. 22 нет. Подавать уведомление нужно, если вы:

• принимаете заявки, заказы или обращения через сайт, формы, чат или мессенджер;
• ведёте клиентскую базу в CRM или таблице, делаете рассылки и звонки;
• используете счётчики аналитики и рекламные пиксели на сайте;
• ведёте кадровый и бухгалтерский учёт работников в программе;
• передаёте данные подрядчикам: службе доставки, колл-центру, агентству.

Типичные сценарии по отраслям: интернет-магазин, салон красоты, онлайн-школа, SaaS-сервис.

Когда подавать

До начала обработки: для нового бизнеса — до запуска сайта с формами или до приёма первого клиента и сотрудника. Ждать внесения в реестр закон не требует, начинать обработку можно после отправки уведомления. Если компания работает давно и уведомление не подавала, подайте его сейчас: переходных сроков нет, а нарушение длится, пока вы обрабатываете данные без уведомления.

Сначала проверьте себя в реестре операторов на портале персональных данных РКН по ИНН. Если запись есть, повторно подавать уведомление не нужно — достаточно актуализировать сведения.

Что подготовить перед заполнением

• Реквизиты: полное и сокращённое наименование как в ЕГРЮЛ (для ИП — ФИО), ИНН, ОГРН, адрес с индексом.
• Список целей обработки: обработка заявок с сайта, исполнение договоров, анализ посещаемости, рассылки, кадровый учёт.
• Для каждой цели — категории субъектов, состав данных, правовое основание, действия с данными и способ обработки.
• ФИО, телефон, почтовый адрес и email ответственного за организацию обработки ПДн.
• Где физически хранятся базы: хостинг-провайдер, ЦОД, адрес, облачная CRM.
• Описание мер защиты и сведения о средствах криптографической защиты, если они используются.
• Дату начала обработки и срок или условие её прекращения, например «ликвидация организации».
• Есть ли передача данных за рубеж: иностранные счётчики, CRM, почтовые сервисы.
• Доступ к подтверждённой учётной записи Госуслуг организации или усиленную квалифицированную электронную подпись руководителя.

Сведения в уведомлении должны совпадать с политикой обработки ПДн. Если политики ещё нет, соберите её в генераторе политики — цели и категории данных из неё перенесутся в уведомление. Что реально собирает ваш сайт, покажет бесплатная проверка: формы, счётчики, иностранные сервисы.

Как заполнить форму на pd.rkn.gov.ru

На портале в разделе для операторов есть электронные формы трёх документов: уведомление о намерении осуществлять обработку ПДн, информационное письмо о внесении изменений в сведения реестра и уведомление о прекращении обработки. Для первой подачи выберите уведомление о намерении. Форма утверждена приказом Роскомнадзора, названия полей в интерфейсе портала могут немного отличаться от приведённых ниже.

Порядок заполнения: откройте форму, заполните сведения об операторе, добавьте первую цель и все её параметры, затем по кнопке добавления создайте блоки для остальных целей. После этого заполните меры защиты, ответственного, даты, трансграничную передачу и место хранения баз. Перед отправкой портал проверит обязательные поля и подсветит ошибки.

Пример целей для сайта компании

Как отправить уведомление

При печати портал присваивает уведомлению номер. Сохраните его, копию поданного документа и подтверждение отправки — они понадобятся, если РКН попросит уточнений или при проверке.

Что происходит после подачи

РКН проверяет сведения и в течение 30 дней вносит их в реестр. Если данные неполные или противоречивые, ведомство вправе запросить уточнение до внесения в реестр — ответьте в срок, указанный в запросе. Через месяц найдите себя в реестре по ИНН: запись появится с датой уведомления. Сведения о мерах защиты в открытый реестр не попадают.

Изменения и прекращение обработки

Если сведения изменились, оператор подаёт информационное письмо о внесении изменений не позднее 15-го числа месяца, следующего за месяцем изменений. О прекращении обработки сообщают в течение 10 рабочих дней. Поводы для информационного письма:

• появилась новая цель: запустили рассылку, личный кабинет, программу лояльности;
• начали собирать новые категории данных или работать с новыми категориями субъектов;
• сменился ответственный за обработку ПДн или его контакты;
• перенесли сайт или CRM к другому хостинг-провайдеру или в другой ЦОД;
• сменились наименование или адрес организации.

Если вы подавали уведомление до сентября 2022 года, сверьте его с действующей редакцией ст. 22: теперь категории данных, субъектов, правовые основания, действия и способы обработки указывают отдельно для каждой цели. Устаревшую запись обновляют тем же информационным письмом.

Передача данных за рубеж оформляется отдельно. О намерении осуществлять трансграничную передачу уведомляют РКН до её начала по ст. 12 152‑ФЗ, это самостоятельный документ на том же портале. Подробнее — в статье о трансграничной передаче.

Типичные ошибки при заполнении

• Наименование и адрес не совпадают с ЕГРЮЛ: нет индекса, улицы или номера дома, «Ромашка» вместо ООО «Ромашка».
• Цели размыты: «ведение хозяйственной деятельности» вместо конкретных целей.
• В категориях данных «и др.», «анкетные данные», «иная информация».
• Пропущены субъекты: указаны работники, но забыты соискатели, уволенные, представители клиентов.
• Указано отсутствие трансграничной передачи, хотя на сайте стоят Google Analytics, reCAPTCHA или иностранная CRM.
• Место хранения баз указано формально, без хостинга и облачной CRM. Требования к хранению — в статье о локализации ПДн.
• Меры защиты скопированы из образца целиком, включая те, которых в компании нет.
• Уведомление подписал сотрудник без полномочий, доверенность не приложена.

Штраф за неподачу

Неуведомление РКН о намерении обрабатывать ПДн — самостоятельный состав по ст. 13.11 Кодекса об административных правонарушениях (КоАП). В редакции Федерального закона от 30.11.2024 № 420‑ФЗ, которая действует с 30 мая 2025 года, юридическому лицу грозит штраф от 100 до 300 тыс. рублей.

Отсутствие компании в реестре видно любому, поэтому нарушение обычно всплывает при первой жалобе клиента или проверке по другому поводу. Вместе с ним РКН смотрит политику, согласия в формах и счётчики на сайте. Все составы и размеры штрафов собраны в статье о штрафах по ст. 13.11 КоАП.