Уведомление Роскомнадзора об обработке персональных данных: кому нужно и как подать

«Мы маленькая компания, у нас только форма обратного звонка» — самый частый аргумент, почему уведомление в Роскомнадзор не подавали. До 2022 года он ещё как-то работал, сейчас — нет. Разбираем, кто обязан уведомить ведомство, как это сделать и что будет, если не сделать.

Кто обязан подать уведомление

По статье 22 закона № 152-ФЗ оператор обязан уведомить Роскомнадзор до начала обработки персональных данных. С 1 сентября 2022 года список исключений сократили до минимума: не уведомлять могут только те, кто обрабатывает данные исключительно без средств автоматизации, в рамках транспортной безопасности или в государственных информационных системах. Обработка данных сотрудников по трудовому договору из исключений исчезла, обработка «только контактных данных для связи» — тоже.

Итог простой: если у вас есть сайт с формой, база клиентов в Excel, CRM или хотя бы штатный сотрудник, вы оператор персональных данных и должны быть в реестре.

Что указывают в уведомлении

• наименование, ИНН, адрес оператора;
• цели обработки — «заключение и исполнение договоров», «обратная связь с посетителями сайта», «кадровый учёт»;
• категории данных: ФИО, телефон, e-mail, адрес и так далее;
• категории субъектов: клиенты, посетители сайта, сотрудники, соискатели;
• правовые основания: договор, согласие, Трудовой кодекс;
• перечень действий с данными и способы обработки;
• меры защиты и сведения об ответственном за организацию обработки;
• место нахождения базы данных — страна и адрес;
• сведения о трансграничной передаче, если она есть.

Заполнять нужно честно и в соответствии с политикой на сайте: при проверке содержание уведомления, политики и реальные процессы сверяют между собой.

Как подать

Уведомление подаётся через портал Роскомнадзора pd.rkn.gov.ru. Есть три способа: электронно с усиленной квалифицированной подписью, через Госуслуги или на бумаге — заполнить форму на портале, распечатать, подписать и отправить почтой в территориальное управление. Электронный способ быстрее: запись в реестре появляется в течение нескольких дней, бумажный — до месяца.

Государственной пошлины нет. Услуги «зарегистрируем в РКН за 15 000 рублей» — это заполнение формы за вас, не более.

Когда уведомлять повторно

Уведомление — не разовое действие. Если изменились сведения из него (сменили адрес, добавили цель обработки, начали хранить базу в другом месте), нужно подать уведомление об изменении — не позднее 15 числа месяца, следующего за месяцем изменений. О прекращении обработки — в течение 10 рабочих дней.

Отдельная история — трансграничная передача. Если данные посетителей уходят за рубеж (зарубежный хостинг, Google Analytics, иностранная CRM), с 1 марта 2023 года об этом уведомляют отдельно и заранее, а для ряда стран нужно дождаться решения Роскомнадзора. Проще убрать зарубежные сервисы, чем проходить эту процедуру.

Что будет, если не уведомить

Часть 10 статьи 13.11 КоАП: штраф для граждан 5–10 тысяч рублей, для должностных лиц 30–50 тысяч, для ИП и организаций 100–300 тысяч. Роскомнадзор находит операторов без уведомления просто: смотрит сайт, видит форму, сверяет ИНН из подвала с реестром. Автоматизированные проверки сайтов ведомство расширяет с 2025 года, поэтому «до нас не дойдут» — плохая ставка.

Кроме штрафа, отсутствие в реестре становится отягчающим обстоятельством при любом другом нарушении: утечке, жалобе клиента, проверке по заявлению конкурента.

Как проверить себя

На портале pd.rkn.gov.ru есть открытый реестр операторов — поиск по ИНН показывает регистрационный номер и дату уведомления. Наша проверка сайта по 152-ФЗ делает этот запрос автоматически: находит ИНН на вашем сайте и сверяет с реестром.

Если записи нет — подайте уведомление в ближайшие дни. Это час работы с формой и одно из самых дешёвых действий по 152-ФЗ, которое закрывает один из самых дорогих штрафов.