Уведомление в Роскомнадзор о персональных данных: кто подаёт и как

Уведомление в Роскомнадзор об обработке персональных данных — одна из немногих обязанностей по 152-ФЗ, которую можно выполнить за вечер и закрыть на годы. И одна из самых откладываемых: владельцы сайтов и магазинов не уверены, что они «операторы», и боятся ошибиться в форме. Цена откладывания конкретна: с 30 мая 2025 года за неподачу уведомления или опоздание с ним компании и ИП грозит штраф от 100 000 до 300 000 ₽ (часть 10 статьи 13.11 КоАП РФ).

Разбираем для владельца бизнеса и маркетолога: кто обязан подавать и кто освобождён по статье 22, как подать через портал pd.rkn.gov.ru со входом через Госуслуги, что писать в полях формы, какие сроки действуют, как проверить статус и что делать при изменениях. Нормы сверены с законом, КоАП и инструкцией Роскомнадзора на октябрь 2026 года. Общие требования к сайту собраны в инструкции по защите персональных данных, здесь речь только об уведомлении.

Кто обязан подавать уведомление и кто освобождён по статье 22

Статья 22 закона 152-ФЗ требует от оператора до начала обработки уведомить Роскомнадзор о намерении обрабатывать данные. Оператором вы становитесь не по регистрации, а по действию: как только собираете, храните или используете данные людей — заявку с сайта, телефон клиента, карточку сотрудника. Поэтому статус есть у ИП, ООО, самозанятого и некоммерческой организации. В форме уведомления шесть типов оператора: юридическое лицо, индивидуальный предприниматель, государственный орган, муниципальный орган, «физическое лицо» (в инструкции Роскомнадзора так обозначен самозанятый) и иностранный гражданин.

Три исключения, и ни одно не подходит обычному сайту

Без уведомления можно обрабатывать данные только в случаях из части 2 статьи 22. До 1 сентября 2022 года список был длиннее: он включал, например, данные сотрудников по трудовому законодательству. Закон от 14.07.2022 № 266-ФЗ послабления убрал, пункты 1–6 части 2 утратили силу. Осталось три случая:

1. данные в государственных информационных системах, созданных для защиты безопасности государства и общественного порядка (пункт 7);
2. обработка исключительно без использования средств автоматизации (пункт 8);
3. обработка по законодательству о транспортной безопасности (пункт 9).

Первый и третий пункты к коммерческому сайту отношения не имеют. Второй держится на слове «исключительно»: Excel, CRM, почта, мессенджер и форма на сайте — это автоматизация. Исключение возможно, когда данные живут только на бумаге и нигде не оцифровываются. У бизнеса с сайтом такой картины не бывает.

Подрядчик по поручению и одно уведомление на юрлицо

Оператор может поручить обработку другому лицу по договору (часть 3 статьи 6), и перед людьми отвечает он, а исполнитель — перед оператором (часть 5). Студия, которая хранит базу заказчика только по его поручению, оператором этой базы не считается, но по своим сотрудникам и клиентам — считается. Уведомление подаёт компания или ИП, а не сайт: три сайта, CRM и 1С описываются в одном документе, а инструкция РКН уточняет, что подаётся оно однократно.

Штраф за пропущенное уведомление: сколько стоит откладывание

Ответственность прописана в части 10 статьи 13.11 КоАП РФ. Её добавил закон от 30.11.2024 № 420-ФЗ, действует она с 30 мая 2025 года. Наказуемы неподача и несвоевременная подача: уведомление после начала обработки формально тоже нарушение.

Посчитаем на условном примере. Допустим, магазин на ИП приносит 400 000 ₽ выручки в месяц. Минимальный штраф в 100 000 ₽ — четверть месячной выручки, максимальный в 300 000 ₽ — три четверти. Сама подача при этом бесплатна: по части 5 статьи 22 расходы на рассмотрение уведомления на оператора не возлагаются. Юридическим лицам из реестра МСП, отнесённым к малым и микропредприятиям, статья 4.1.2 КоАП позволяет снизить штраф вдвое: до 50 000–150 000 ₽ вместо 100 000–300 000 ₽ (части 2 и 3). Индивидуальных предпринимателей эта льгота не касается: часть 4 той же статьи исключает случаи, когда ИП отвечает как юрлицо, а по части 10 статьи 13.11 это именно так. Закладывать льготу в план нельзя.

За просрочку уведомления об изменениях и о прекращении обработки отдельной санкции в статье 13.11 нет. Это не делает просрочку безопасной: сроки установлены частью 7 статьи 22, а сведения реестра общедоступны.

Календарь оператора: пять сроков статьи 22 в одной таблице

Обработка начинается с первого действия с данными: пришла первая заявка из формы, оформлен первый сотрудник, внесён первый клиент в CRM. Уведомление готовят в одном графике с запуском сайта или наймом. Если данные уже обрабатываются, а уведомления нет, подавайте сейчас и указывайте фактическую дату начала: выдумывать более позднюю не нужно. Ждать записи в реестре для работы не требуется — закон обязывает направить уведомление до начала обработки, а запись появляется позже.

Три способа подачи: вход через Госуслуги, электронная подпись или бумага

Уведомление подаётся на портале персональных данных Роскомнадзора pd.rkn.gov.ru, в разделе «Реестр операторов». Формы утверждены приказом Роскомнадзора от 28.10.2022 № 180. Форма находится на портале РКН, а Госуслуги в одном из способов служат для входа и подтверждения личности через ЕСИА.

Для руководителя ООО или ИП с подтверждённой записью на Госуслугах это самый короткий путь: ничего не устанавливается, а данные об организации подтягиваются из ЕСИА и в форме не редактируются. УКЭП подойдёт, если сертификат уже есть для отчётности. Если УКЭП ставит сотрудник, а не руководитель, нужна машиночитаемая доверенность (файлы XML и SIG); когда доверенность не используется, в форме ставится отметка, что подписывает лицо, которое вправе действовать без доверенности.

Что собрать до входа на портал: чек-лист из десяти пунктов

Основное время уходит не на форму, а на сбор сведений. Соберите всё заранее: ссылка на черновик выдаётся один раз, и потерять её проще, чем кажется.

1. ИНН, ОГРН или ОГРНИП, коды ОКВЭД, ОКПО, ОКФС, ОКОГУ, ОКОПФ — подскажет бухгалтер.
2. Адрес местонахождения и почтовый адрес с индексом в написании ФИАС.
3. Телефон из 11 цифр и больше, e-mail, регионы обработки.
4. Перечень целей и по каждой — категории данных и людей, основание, действия, способы.
5. Описание мер защиты и перечень технических средств безопасности — от ответственного за ИТ.
6. Данные о шифровании: используется ли, класс, наименование, серийные номера.
7. Ответственный за обработку: ФИО, телефон, адрес, e-mail (эти сведения станут публичными).
8. Фактическая дата начала обработки и срок или условие прекращения.
9. Список сервисов с серверами за границей.
10. Страна, адрес ЦОДа и реквизиты хостера или владельца оборудования; доступ в Госуслуги или УКЭП.

Пошагово: подача через pd.rkn.gov.ru со входом через Госуслуги

Порядок для самого короткого пути, входа через ЕСИА, по официальной инструкции Роскомнадзора (редакция 2025 года).

1. На pd.rkn.gov.ru откройте «Реестр операторов», электронные формы заявлений и выберите «Перейти к заполнению формы электронного уведомления».
2. Выберите способ через ЕСИА и нажмите «Перейти к сервису ЕСИА».
3. Войдите в Госуслуги и укажите организацию, от имени которой подаёте уведомление.
4. Проверьте предзаполненные поля: данные из ЕСИА менять нельзя.
5. Заполните блоки: сведения об операторе, цели обработки, общие сведения, местонахождение баз данных, обеспечение безопасности, данные исполнителя.
6. Отметьте, что ознакомились с порядком подачи и согласны на передачу данных по открытым каналам интернета.
7. Если нужно прерваться, нажмите «Сохранить черновик», введите защитный код и сохраните выданную ссылку: второй раз её не покажут.
8. Нажмите «Отправить»; поля с ошибками подсветятся красным — исправьте их и отправьте снова.
9. Запишите номер и ключ уведомления: страница с ними показывается один раз. На e-mail придёт сообщение об обработке.

При подаче с УКЭП внизу формы появляется панель доверенности, а вместо «Отправить» нужно нажать «Подписать и отправить электронное уведомление» и выбрать сертификат; если он не отображается, дело в плагине КриптоПро или доступе браузера к хранилищу. На бумаге форма отправляется кнопкой «Отправить электронное уведомление и подготовить форму к распечатке», затем печатается, подписывается и уходит в территориальный орган. Окно с печатью открывается один раз.

Сведения об операторе: как заполнить первый блок формы

Инструкция Роскомнадзора требует писать сведения об операторе без сокращений, как в налоговой, паспорте и классификаторах. Тип оператора меняет набор полей: у юрлица и госоргана открываются полное и сокращённое наименование, у ИП и самозанятого — документ, удостоверяющий личность; его заполнять необязательно, как и СНИЛС самозанятого.

Цели обработки: главный блок формы и пять параметров каждой цели

Цель в форме — не лозунг, а описание реальной деятельности: по инструкции Роскомнадзора это то, ради чего в рамках фактической работы оператора обрабатываются данные. Выбирайте значение из списка (в нём есть, например, кадровый и бухгалтерский учёт и договорные отношения). Если подходящего нет, выбирается «иная» с полем для одной конкретной цели. Для каждой цели часть 3.1 статьи 22 требует пять параметров.

Если основание — согласие, в уведомлении достаточно отметить сам случай; каким согласие должно быть, разобрано в термине про согласие на обработку персональных данных. Одна цель — один реальный процесс: интернет-магазину обычно хватает трёх-четырёх, и слитая в одну «иную» цель делает уведомление неточным. Новый блок создаёт кнопка «Добавить цель обработки», ошибочный удаляется после подтверждения. Формы, чаты и подписки на сайте тоже должны быть покрыты какой-то целью, а что делать со счётчиками и cookie, объясняет термин про cookie-баннер.

Меры защиты, шифрование и ответственный за обработку: общие сведения

Главная опасность в этом блоке — описать меры, которых в компании нет. Всё, что вы напишете, должно подтверждаться документами и настройками.

Меры по статьям 18.1 и 19

В текстовом поле описываются меры по статьям 18.1 и 19 закона, включая сведения о шифровальных средствах, и организационные и технические меры защиты от неправомерного доступа, уничтожения, изменения, блокирования, копирования и распространения. Пишите то, что есть: приказ о назначении ответственного, политику обработки, список допущенных сотрудников, разграничение прав в системах, антивирус, резервное копирование. Отдельное поле «Средства обеспечения безопасности» в реестре не публикуется. В блоке безопасности перечисляются меры по требованиям постановления Правительства от 01.11.2012 № 1119.

Шифрование

Поле принимает значения «используется» и «не используется». При «используется» открываются поля для класса СКЗИ (КС1, КС2, КС3, КВ, КА), наименования, изготовителей и серийных номеров. Как квалифицировать защиту канала на сайте или шифрование дисков, решайте с тем, кто отвечает за информационную безопасность: сведения о шифровании входят в обязательное содержание уведомления (пункт 7 части 3 статьи 22).

Ответственный за организацию обработки

Выбирается тип — физическое лицо или сторонняя организация, которой оператор поручил обработку по договору. Указываются ФИО или наименование, телефоны, почтовый адрес и e-mail. Эти сведения будут общедоступны в реестре, поэтому вписывайте рабочий телефон и общий ящик, а не личный номер сотрудника. Контакты должны совпадать с теми, что указаны в политике обработки персональных данных на сайте.

Даты и исполнитель

Дата начала обработки — фактическая. Срок задаётся датой или условием окончания, например прекращением деятельности оператора. В конце указывается исполнитель — тот, кто заполнил и отправил форму; им не обязан быть ответственный. При подписании УКЭП вносятся данные владельца подписи.

База данных в уведомлении: что писать про ЦОД, хостинг и зарубежные сервисы

Блок о местонахождении баз данных с персональными данными граждан РФ вызывает вопросы, потому что ответ лежит не у вас, а у провайдера. Для каждой базы заполняются:

• страна и адрес ЦОДа — для России адрес выбирается из справочника, для других стран вводится вручную; адрес запросите у провайдера хостинга;
• собственный ЦОД: да или нет — для арендованного хостинга ответ «нет»;
• организация, ответственная за хранение — тип, наименование или ФИО, ОГРН, ИНН, страна и адрес; для хостинга это реквизиты провайдера.

Баз может быть несколько: сайт на хостинге, облачная CRM у вендора, 1С на сервере в офисе. Каждая вносится отдельной записью кнопкой «Добавить сведения».

Если часть данных попадает на серверы за границей — через сервис рассылок, чат, облачную почту, — в общем блоке выбирается «осуществляется», а в сведениях о базе указывается фактическая страна. Кроме того, о трансграничной передаче подаётся отдельное уведомление по статье 12 до начала передачи; в нём нужно указать дату и номер ранее поданного уведомления об обработке, поэтому сохраните их. Что считается передачей, объясняет термин про трансграничную передачу персональных данных.

Панель о лицах, имеющих доступ к государственным и муниципальным информационным системам, заполняют только их владельцы и операторы. Остальным её нужно удалить кнопкой «Удалить»: если оставить, форма потребует обязательные поля, которых у вас нет.

Заполненное уведомление на примере условного интернет-магазина

Допустим, магазин товаров для дома работает на ИП: четыре сотрудника, сайт с формой заказа, рассылка клиентам, российский хостинг. Это иллюстрация логики формы, а не шаблон для копирования.

После отправки: тридцать дней, проверка статуса и поиск в реестре операторов

Роскомнадзор в течение 30 дней с даты поступления вносит сведения в реестр операторов (часть 4 статьи 22). За это время уведомление могут отклонить или вернуть на уточнение: по части 6 ведомство вправе требовать уточнить неполные или недостоверные сведения до внесения в реестр.

Как проверить статус

В разделе «Реестр операторов» откройте страницу «Проверка состояния уведомления», введите номер и ключ, защитный код с картинки и нажмите «Проверить» — появится окно со статусом. Если через 30 дней вас в реестре нет, а статус причину не проясняет, обратитесь в электронную приёмную Роскомнадзора: этот шаг назван в инструкции ведомства.

Как найти компанию в реестре

Поиск в подразделе «Реестр» принимает наименование, ИНН или регистрационный номер. Точнее всего искать по ИНН; по названию вводите одно характерное слово без организационно-правовой формы, кавычек и сокращений. В ответе показываются не более 50 операторов. Сведения общедоступны, кроме данных о средствах обеспечения безопасности, поэтому так можно проверить и себя, и контрагента, с которым вы делитесь базой клиентов.

Если форму вернули или в ней ошибка

Заново вводить всё не нужно: действие «Заполнить форму данными из ранее направленного уведомления» подтянет поля по номеру, ключу и защитному коду. Инструкция описывает этот путь для уведомлений, отклонённых или направленных на уточнение.

Изменения и закрытие: что подаётся после внесения в реестр

Часть 7 статьи 22 требует при изменении сведений подать новое уведомление не позднее 15-го числа месяца, следующего за месяцем изменения. Допустим, 12 марта вы сменили хостинг, а 28 марта поменялся ответственный. Срок для обоих общий — до 15 апреля, подать можно одно уведомление.

Для изменений на портале есть отдельная форма. Обязательны регион, регистрационный номер записи в реестре и дата изменения, остальные поля заполняются только там, где что-то поменялось. Способы подачи те же. Слово «информационное письмо» встречается в инструкции Роскомнадзора в названии страницы проверки статуса, но в законе его нет: часть 7 говорит об уведомлении об изменении сведений, а форму утвердил тот же приказ № 180.

Прекращение обработки

О прекращении нужно уведомить в течение 10 рабочих дней (часть 7), после чего Роскомнадзор в течение 30 дней исключает сведения из реестра (часть 4.1). В форме выбирается основание: ликвидация оператора; прекращение деятельности при реорганизации; аннулирование лицензии, условия которой исключают передачу данных без письменного согласия; наступление срока или условия из уведомления; решение суда. Закрытие сайта прекращением обработки не считается, пока данные клиентов остаются в базе: хранение — тоже обработка.

Десять ошибок в уведомлении, которые стоят времени и денег

1. Подача после начала обработки. Часть 10 статьи 13.11 наказывает и за неподачу, и за опоздание.
2. Сокращения в сведениях об операторе. Инструкция требует писать как в налоговой и паспорте.
3. Адрес вне справочника или без индекса. Адрес берётся из ФИАС; нужного значения нет — проверьте на fias.nalog.ru.
4. Закон 152-ФЗ как основание обработки. Основанием служат случаи из части 1 статьи 6.
5. Цель «иная» вместо подходящей из списка. Общая формулировка делает уведомление неточным.
6. Неудалённая панель госсистем. Её заполняют только владельцы и операторы таких систем.
7. Потерянные номер, ключ и ссылка на черновик. Каждая из этих страниц показывается один раз.
8. Не та организация при входе через Госуслуги. Выбирайте организацию, сведения которой вносите, иначе предзаполненные данные будут чужими.
9. Нет отметки о подписи без доверенности. Без доверенности её нужно поставить при подаче с УКЭП.
10. Забытые изменения. Новый хостинг, ответственный, адрес или цель вносятся до 15-го числа следующего месяца.

Не только статья 22: чем уведомление о намерении отличается от сообщений о передаче за границу и об утечке

Последнее держите в голове отдельно: за невыполнение или несвоевременное выполнение обязанности сообщить об утечке часть 11 статьи 13.11 предусматривает для юрлиц штраф от 1 до 3 млн ₽, и ИП отвечают как юрлица.

Подать самим или привлечь подрядчика: критерии выбора

Простую конфигурацию можно оформить самостоятельно за вечер, если сведения собраны: одно юрлицо или ИП, сайт, CRM и 1С на российских серверах, нет данных о здоровье и биометрии, нет зарубежных сервисов, ответственный назначен, меры защиты описаны и работают. Подключайте специалиста, если у компании несколько юрлиц или филиалов, на сайте много форм и сервисов и вы не знаете, куда уходят заявки, есть зарубежные сервисы, данные о здоровье или биометрия, либо обработка идёт давно, а уведомления нет.

В BigPanda по направлению соответствия 152-ФЗ мы проверяем, какие формы, счётчики и внешние сервисы собирают данные и где лежат базы. Дальше удобна поддержка сайта: изменения проходят через одних людей, и они подскажут, что смена хостинга или новая форма означает уведомление об изменении. Саму подачу выполняет оператор — со входом руководителя или ИП либо с его подписью. Пароль от Госуслуг подрядчику не передавайте: готовьте сведения вместе, а отправляйте сами или оформите доверенность. Начать можно с бесплатного аудита: напишите, что вопрос в 152-ФЗ, и мы скажем, что нужно отразить в уведомлении.

Частые вопросы