Уведомление в Роскомнадзор об обработке персональных данных: когда обязательно и как подать

Почти любой оператор персональных данных обязан уведомить Роскомнадзор о своём намерении обрабатывать такие данные до начала их обработки — это требование статьи 22 152-ФЗ, и исключения из него узкие. Даже небольшой сайт или ИП с одной формой заявки, собирающей имя и email, формально подпадает под эту обязанность.

Кто обязан подавать уведомление

Оператором персональных данных может быть физическое лицо, самозанятый, ИП или юридическое лицо — с сотрудниками или без них. По сути, оператором становится практически любой, кто собирает и использует персональные данные сотрудников, клиентов или контрагентов — то есть подавляющее большинство работающих компаний и ИП.

Когда уведомление не требуется

Часть 2 статьи 22 152-ФЗ перечисляет исключения, но с 1 сентября 2022 года большинство из них утратили силу. Сейчас уведомление не требуется только в трёх случаях:

данные обрабатываются без использования средств автоматизации (то есть полностью на бумаге)
данные обрабатываются в рамках определённых государственных информационных систем, созданных для защиты безопасности страны и общественного порядка
обработка ведётся исключительно в целях транспортной безопасности

Для цифрового бизнеса первое исключение практически невыполнимо — если данные хоть как-то обрабатываются в электронном виде (сайт, CRM, таблица на компьютере), оно не действует.

Что нужно указать в уведомлении

Для каждой цели обработки в уведомлении указываются:

категории персональных данных, которые обрабатываются
категории субъектов, чьи данные обрабатываются
правовое основание обработки
перечень действий с персональными данными, которые планируется совершать

Как подать уведомление

Есть два способа:

Электронно — через портал Роскомнадзора (pd.rkn.gov.ru), с электронной подписью
На бумаге — заполнить форму, распечатать и доставить лично или почтой в территориальный орган Роскомнадзора по месту нахождения организации

Срок рассмотрения — до 30 рабочих дней. Если уведомление заполнено верно, Роскомнадзор вносит сведения об операторе в реестр — проверить свой статус можно там же, на портале, по ИНН или названию организации.

Что делать после подачи

Хранить подтверждение подачи уведомления — номер и ключ документа при электронной отправке, почтовую квитанцию при бумажной
Обновлять сведения при изменениях — срок не позднее 15 числа месяца, следующего за тем, в котором изменения произошли

Что грозит за отсутствие уведомления

Отсутствие поданного уведомления при факте обработки персональных данных — отдельное нарушение по части 10 статьи 13.11 КоАП РФ, за которое предусмотрен штраф отдельно от возможных штрафов за нарушения при самой обработке или утечке данных. С 30 мая 2025 года штрафы за это выросли и различаются по категории нарушителя:

для физлиц, включая самозанятых без статуса ИП — от 5 000 до 10 000 ₽
для должностных лиц — от 30 000 до 50 000 ₽
для организаций и ИП — от 100 000 до 300 000 ₽

Поводом для проверки часто становится не инициатива регулятора, а жалоба — от клиента, бывшего сотрудника или даже конкурента.

Как быстро проверить, готовы ли у вас документы к подаче уведомления

Перед тем как подавать уведомление, стоит убедиться, что политика конфиденциальности и внутренние документы соответствуют тому, что будет указано в самом уведомлении — категории данных, цели, основания должны совпадать.

Проверьте политику конфиденциальности бесплатно за 2 минуты → Загрузить документ