Получить консультацию
Отправьте заявку и наш специалист свяжется с вами
Уведомление в Роскомнадзор об обработке персональных данных: кто обязан, как подать и что за неподачу
#ПерсональныеДанные #Роскомнадзор #152ФЗ
О том, что компания должна уведомить Роскомнадзор, часто вспоминают не по своей инициативе. Вопрос про уведомление может возникнуть при проверке контрагента, в банке, на маркетплейсе или у крупного заказчика. Обязанность существует давно, но с 2022 года её границы изменились, а за неподачу теперь предусмотрен отдельный штраф. Ниже: кто обязан подавать уведомление, что в нём указать, как его отправить, когда сообщать об изменениях и сколько стоит ошибка.
Закон о персональных данных называет обязанным лицом оператора. Это тот, кто организует или проводит обработку персональных данных, будь то компания, ИП или государственный орган. Статья 22 закона № 152-ФЗ требует уведомить Роскомнадзор о намерении обрабатывать данные до начала обработки. Общее правило простое, а исключения перечислены в законе.
Сейчас их три. Уведомлять не нужно при обработке в государственных информационных системах, созданных для защиты безопасности государства и общественного порядка, при обработке по законодательству о транспортной безопасности и тем операторам, которые вообще не пользуются средствами автоматизации и ведут учёт только на бумаге.
Кто обязан уведомлять
Закон о персональных данных называет обязанным лицом оператора. Это тот, кто организует или проводит обработку персональных данных, будь то компания, ИП или государственный орган. Статья 22 закона № 152-ФЗ требует уведомить Роскомнадзор о намерении обрабатывать данные до начала обработки. Общее правило простое, а исключения перечислены в законе.
Сейчас их три. Уведомлять не нужно при обработке в государственных информационных системах, созданных для защиты безопасности государства и общественного порядка, при обработке по законодательству о транспортной безопасности и тем операторам, которые вообще не пользуются средствами автоматизации и ведут учёт только на бумаге.
Раньше от уведомления освобождал ещё ряд случаев. Эти пункты утратили силу с 1 сентября 2022 года по закону от 14.07.2022 № 266-ФЗ, и Роскомнадзор на своём портале пишет прямо, что уведомлять нужно о начале или осуществлении любой обработки, кроме названных исключений. Но что это значит на практике? Карточки сотрудников в 1С, база клиентов в CRM, таблица с кандидатами и заявки с формы на сайте, как правило, делают компанию оператором, которому нужно уведомление, если не подходит ни одно из трёх исключений.
Содержание уведомления определяют части 3 и 3.1 статьи 22. Оператор называет своё наименование и адрес, а затем цель обработки. По каждой цели отдельно нужно указать категории данных, категории людей, чьи данные обрабатываются, правовое основание, перечень действий и способы обработки. Следом идут меры защиты по статьям 18.1 и 19 закона, включая шифровальные средства, если они применяются, и ответственный за организацию обработки с телефоном, почтой и почтовым адресом. Кроме того, указывают дату начала обработки, срок или условие её прекращения, наличие трансграничной передачи, место нахождения базы данных с данными граждан России и сведения о безопасности по требованиям Правительства.
Чаще всего ошибаются в целях. Закон требует расписывать категории, основание и способы для каждой цели отдельно, поэтому одна общая строка вроде «ведение деятельности» не подходит. Работу с сотрудниками, договоры с клиентами и рассылки обычно оформляют разными целями. А вот сведения об ответственном за обработку попадают в открытый реестр, и личный телефон лучше заменить рабочим.
Формы уведомлений утверждены приказом Роскомнадзора от 28.10.2022 № 180. Отдельные формы есть для первичного уведомления, для изменений и для прекращения обработки. На Портале персональных данных можно сформировать и отправить документ тремя способами. Бумажный вариант уходит в территориальный орган Роскомнадзора. Электронный вариант подписывают усиленной квалифицированной электронной подписью. Либо оператор заходит через учётную запись на Госуслугах, то есть средства аутентификации ЕСИА.
Сама подача бесплатна, закон прямо запрещает возлагать на оператора расходы на рассмотрение уведомления. Роскомнадзор вносит сведения в реестр операторов в течение тридцати дней с даты поступления. Реестр общедоступен, кроме сведений о средствах защиты, поэтому проверить себя или контрагента можно на портале.
Но подачей первого уведомления обязанность не заканчивается. Если сведения изменились, оператор сообщает об этом не позднее 15-го числа месяца, следующего за месяцем изменения. Допустим, вы сменили ответственного за обработку или перенесли базу на другой сервер в октябре, тогда уведомление об изменениях нужно подать до 15 ноября, а если это выходной, безопаснее подать раньше. А если обработка прекращена, срок короче, десять рабочих дней с даты прекращения. Для каждого случая утверждена своя форма.
Первая ошибка связана с исключением для бумажного учёта. Оператор освобождён, только если он вообще не использует средства автоматизации. Если часть данных хранится в 1С, таблице или почте, исключение, судя по его формулировке, не применяется. Вторая ошибка касается целей: общая формулировка вместо отдельных целей противоречит части 3.1 статьи 22.
Третья ошибка проявляется через полгода после подачи. Компания меняет ответственного, адрес или подрядчика, у которого лежит база, и забывает сообщить об этом, а сведения в реестре остаются устаревшими. Четвёртая ошибка в том, что компания не учитывает сайт и внешние сервисы. Форма заявки, рассылка, облачная CRM почти всегда означают хранение данных и иногда передачу их за границу, а уведомление требует указать и то и другое, включая место нахождения базы. Если данные уходят зарубежному сервису, добавляется отдельная обязанность: о намерении передавать данные за границу сообщают Роскомнадзору до начала передачи, и это уведомление направляется отдельно от уведомления по статье 22 (часть 3 статьи 12 закона). Оно не разрешает сразу собирать данные граждан России в зарубежную базу: за базы за границей отдельно предусмотрена ответственность (часть 8 статьи 13.11 КоАП РФ).
Пятая ошибка в том, чтобы закрыть вопрос одной подачей. Уведомление подтверждает, что вы заявили об обработке, и не заменяет политику, согласия и защиту данных. Оператору ещё нужно опубликовать политику обработки, получать согласия там, где они требуются, при сборе данных граждан России использовать базы, расположенные в России, и защищать данные. За политику, согласия и базы за границей статья 13.11 предусматривает отдельные штрафы, и подача уведомления от них не освобождает.
С 30 мая 2025 года за нарушение этой обязанности действует отдельная часть 10 статьи 13.11 КоАП РФ, её ввёл закон от 30.11.2024 № 420-ФЗ. Штраф назначают как за неподачу первичного уведомления, так и за его несвоевременную подачу. Норма говорит об уведомлении о намерении обрабатывать данные, а о просрочке уведомления об изменениях прямо не говорит. Это не значит, что просрочка безопасна, поэтому изменения подавайте вовремя. Если обработка уже идёт, а уведомление не подавали, подайте его сейчас, не дожидаясь проверки. Как это скажется на ответственности за прошлый период, решает юрист по обстоятельствам.
Два уточнения из примечаний к статье. ИП отвечает как юридическое лицо. Для НКО закон предусматривает штраф на должностное лицо, а штраф для юридического лица по этой части относится к операторам, которые не являются госорганами, муниципальными органами или НКО. Для НКО, которая ведёт базу доноров или сотрудников, это отдельный повод проверить, подано ли уведомление.
Что указывают в уведомлении
Содержание уведомления определяют части 3 и 3.1 статьи 22. Оператор называет своё наименование и адрес, а затем цель обработки. По каждой цели отдельно нужно указать категории данных, категории людей, чьи данные обрабатываются, правовое основание, перечень действий и способы обработки. Следом идут меры защиты по статьям 18.1 и 19 закона, включая шифровальные средства, если они применяются, и ответственный за организацию обработки с телефоном, почтой и почтовым адресом. Кроме того, указывают дату начала обработки, срок или условие её прекращения, наличие трансграничной передачи, место нахождения базы данных с данными граждан России и сведения о безопасности по требованиям Правительства.
Чаще всего ошибаются в целях. Закон требует расписывать категории, основание и способы для каждой цели отдельно, поэтому одна общая строка вроде «ведение деятельности» не подходит. Работу с сотрудниками, договоры с клиентами и рассылки обычно оформляют разными целями. А вот сведения об ответственном за обработку попадают в открытый реестр, и личный телефон лучше заменить рабочим.
Как подать
Формы уведомлений утверждены приказом Роскомнадзора от 28.10.2022 № 180. Отдельные формы есть для первичного уведомления, для изменений и для прекращения обработки. На Портале персональных данных можно сформировать и отправить документ тремя способами. Бумажный вариант уходит в территориальный орган Роскомнадзора. Электронный вариант подписывают усиленной квалифицированной электронной подписью. Либо оператор заходит через учётную запись на Госуслугах, то есть средства аутентификации ЕСИА.
Сама подача бесплатна, закон прямо запрещает возлагать на оператора расходы на рассмотрение уведомления. Роскомнадзор вносит сведения в реестр операторов в течение тридцати дней с даты поступления. Реестр общедоступен, кроме сведений о средствах защиты, поэтому проверить себя или контрагента можно на портале.
Когда подавать изменения
Но подачей первого уведомления обязанность не заканчивается. Если сведения изменились, оператор сообщает об этом не позднее 15-го числа месяца, следующего за месяцем изменения. Допустим, вы сменили ответственного за обработку или перенесли базу на другой сервер в октябре, тогда уведомление об изменениях нужно подать до 15 ноября, а если это выходной, безопаснее подать раньше. А если обработка прекращена, срок короче, десять рабочих дней с даты прекращения. Для каждого случая утверждена своя форма.
Ошибки, которые встречаются чаще всего
Первая ошибка связана с исключением для бумажного учёта. Оператор освобождён, только если он вообще не использует средства автоматизации. Если часть данных хранится в 1С, таблице или почте, исключение, судя по его формулировке, не применяется. Вторая ошибка касается целей: общая формулировка вместо отдельных целей противоречит части 3.1 статьи 22.
Третья ошибка проявляется через полгода после подачи. Компания меняет ответственного, адрес или подрядчика, у которого лежит база, и забывает сообщить об этом, а сведения в реестре остаются устаревшими. Четвёртая ошибка в том, что компания не учитывает сайт и внешние сервисы. Форма заявки, рассылка, облачная CRM почти всегда означают хранение данных и иногда передачу их за границу, а уведомление требует указать и то и другое, включая место нахождения базы. Если данные уходят зарубежному сервису, добавляется отдельная обязанность: о намерении передавать данные за границу сообщают Роскомнадзору до начала передачи, и это уведомление направляется отдельно от уведомления по статье 22 (часть 3 статьи 12 закона). Оно не разрешает сразу собирать данные граждан России в зарубежную базу: за базы за границей отдельно предусмотрена ответственность (часть 8 статьи 13.11 КоАП РФ).
Пятая ошибка в том, чтобы закрыть вопрос одной подачей. Уведомление подтверждает, что вы заявили об обработке, и не заменяет политику, согласия и защиту данных. Оператору ещё нужно опубликовать политику обработки, получать согласия там, где они требуются, при сборе данных граждан России использовать базы, расположенные в России, и защищать данные. За политику, согласия и базы за границей статья 13.11 предусматривает отдельные штрафы, и подача уведомления от них не освобождает.
Что грозит за неподачу
С 30 мая 2025 года за нарушение этой обязанности действует отдельная часть 10 статьи 13.11 КоАП РФ, её ввёл закон от 30.11.2024 № 420-ФЗ. Штраф назначают как за неподачу первичного уведомления, так и за его несвоевременную подачу. Норма говорит об уведомлении о намерении обрабатывать данные, а о просрочке уведомления об изменениях прямо не говорит. Это не значит, что просрочка безопасна, поэтому изменения подавайте вовремя. Если обработка уже идёт, а уведомление не подавали, подайте его сейчас, не дожидаясь проверки. Как это скажется на ответственности за прошлый период, решает юрист по обстоятельствам.
| Кто отвечает | Штраф |
|---|---|
| Организация (кроме государственных и муниципальных органов и НКО) и ИП | от 100 000 до 300 000 рублей |
| Должностное лицо государственного или муниципального органа либо НКО | от 30 000 до 50 000 рублей |
| Гражданин | от 5 000 до 10 000 рублей |
Два уточнения из примечаний к статье. ИП отвечает как юридическое лицо. Для НКО закон предусматривает штраф на должностное лицо, а штраф для юридического лица по этой части относится к операторам, которые не являются госорганами, муниципальными органами или НКО. Для НКО, которая ведёт базу доноров или сотрудников, это отдельный повод проверить, подано ли уведомление.
С чего начать
Подготовка занимает больше времени, чем сама подача. Сначала выясните, где у вас лежат персональные данные. Это учётные системы, CRM, почта, облачные хранилища, сайт с формами, кадровые таблицы. Затем разделите обработку по целям и для каждой определите категории данных, основание и срок. После этого назначьте ответственного, проверьте, где физически находится база и передаются ли данные зарубежным сервисам. Только когда эта карта готова, заполняйте форму на портале.
Подать уведомление самостоятельно можно и бесплатно. Помощь юриста пригодится, когда целей и систем много, часть данных уходит в зарубежные сервисы или уведомление нужно подать к определённой дате. У нас подготовка и подача уведомления в Роскомнадзор стоит 8 000 рублей без НДС, пакет документов по обработке персональных данных от 25 000 рублей, а аудит сайта на соответствие закону от 35 000 рублей. Подробности на странице «Персональные данные по 152-ФЗ». Если же вопрос в данных работников, начните с кадрового учёта, потому что именно там возникает большая часть персональных данных любой компании.
Статья описывает общие правила и не является юридической консультацией: состав уведомления зависит от целей и систем конкретной компании. Материал подготовлен 26 октября 2026 года. Закон № 152-ФЗ и КоАП РФ меняются, перед подачей сверьте текст статей 22 закона и 13.11 КоАП РФ на дату обращения.
Читайте также
Услуга юридического отдела: Персональные данные по 152-ФЗ: уведомление, документы, аудит сайта.
Поделиться статьей
Вам понравилась статья?
