Уведомление Роскомнадзора и реестр операторов персональных данных
Когда и как нужно регистрироваться — разбор обязанностей, исключений и актуальных требований для бизнеса
Правовая основа: кто считается оператором и при чём тут РКН
Почему закон требует уведомления и кого это касается
Кто обязан уведомлять РКН, а кто освобождён
Общее правило и перечень исключений из ч. 2 ст. 22 152-ФЗ
Пошаговая инструкция: как подать уведомление в Роскомнадзор
Форма, реквизиты и порядок подачи через портал pd.rkn.gov.ru
Реестр операторов: что публикуется и как актуализировать данные
Состав реестровой записи, проверка статуса и обязанность обновления
Поправки 2022–2024: что изменилось для операторов ПДн
Новые обязанности, расширенный состав уведомления и сокращённые сроки
Ответственность за нарушения и типичные ошибки
Штрафы, проверки РКН и как их избежать
По статье 22 Федерального закона № 152-ФЗ любой оператор персональных данных обязан уведомить Роскомнадзор о начале обработки ПДн до её начала. Это не рекомендательная норма — это законодательное требование для подавляющего большинства российских организаций.
Оператор персональных данных — любое юридическое или физическое лицо, которое самостоятельно или совместно с другими определяет цели и порядок обработки ПДн. Если компания хранит имена сотрудников, email клиентов или данные пользователей сайта — она уже является оператором, независимо от размера бизнеса и организационно-правовой формы.
Роскомнадзор (РКН) — уполномоченный орган по защите прав субъектов персональных данных в России. Ведёт реестр операторов и осуществляет надзор за соблюдением требований 152-ФЗ. Уведомление РКН — это регистрация намерения обрабатывать ПДн и первичная точка контакта с регулятором для каждого оператора.
- Форма обратной связи — имя + email = персональные данные
- CRM-система — контакты клиентов, история сделок
- 1С / ERP — данные сотрудников, подрядчиков
- Мобильное приложение — аккаунты пользователей
- База email-подписчиков — рассылочный сервис
- Видеонаблюдение с идентификацией — биометрические ПДн
Правовое основание для обязанности уведомления. Норма действует с 2006 года и существенно расширена поправками 2022–2023 годов: теперь уведомление содержит больше обязательных сведений.
Уведомление подаётся до старта обработки персональных данных — не после запуска сайта или внедрения CRM. Начало работы без уведомления — одно из самых распространённых нарушений.
Официальный портал РКН для подачи уведомлений и проверки реестра операторов. Форма заполняется онлайн с подписью усиленной квалифицированной электронной подписью.
Общее правило статьи 22 152-ФЗ: уведомление РКН обязательно для всех операторов персональных данных. Закон устанавливает исчерпывающий перечень исключений — если ваша ситуация не подпадает ни под одно из них, уведомить регулятора необходимо до начала обработки.
После поправок 2022 года перечень исключений был пересмотрен и стал строже. Важно понимать: исключения узкие и буквальные, расширительное толкование в пользу оператора не допускается. При любом сомнении — безопаснее уведомить.
✅ Обязаны уведомить
- Интернет-магазины и SaaS-сервисы — данные пользователей и клиентов
- Работодатели, обрабатывающие ПДн за пределами трудовых правоотношений
- Медицинские организации — особые категории ПДн (здоровье)
- Банки, страховщики, финансовые организации
- Операторы колл-центров и служб поддержки
- Рекламные платформы и маркетинговые агентства
- Все компании, передающие ПДн третьим лицам
◎ Исключения из ч. 2 ст. 22 (узкий перечень)
- Только ФИО субъекта — и никакие иные данные
- Данные работников — исключительно для исполнения трудового договора, без передачи третьим лицам
- Данные по договору — только для исполнения договора с самим субъектом, без распространения
- Общедоступные ПДн — из публично открытых источников
- Разовые пропуска — однократная выдача пропуска посетителю
Уведомление подаётся через официальный портал Роскомнадзора pd.rkn.gov.ru. Процедура последовательная — важно пройти все этапы корректно: неполное или некорректное уведомление не освобождает от ответственности.
Подготовьте сведения об организации
Понадобятся: полное наименование, ИНН, ОГРН, юридический и фактический адреса, ФИО и контакты ответственного за обработку ПДн. Если ответственное лицо отличается от руководителя — назначьте его официально приказом до подачи уведомления.
Опишите обработку персональных данных
Для каждой категории ПДн укажите: цели обработки, перечень данных, категории субъектов (сотрудники / клиенты / пользователи сайта), правовое основание, перечень действий с ПДн, сроки хранения. Это самая объёмная и содержательная часть уведомления.
Опишите меры по защите персональных данных
Укажите организационные и технические меры: наличие политики конфиденциальности, разграничение доступа, шифрование, антивирусная защита, резервное копирование. Уровень защиты (УЗ-1..УЗ-4) определяется по ПП РФ № 1119 и приказу ФСТЭК № 21.
Сообщите о трансграничной передаче (если применимо)
Если данные передаются за рубеж — необходимо указать страны-получатели и правовые основания. После поправок 2022 года о планируемой трансграничной передаче нужно уведомить РКН отдельно до начала передачи. Для стран без «адекватного уровня защиты» требуется предварительное разрешение регулятора.
Подпишите форму УКЭП и получите подтверждение
Заполненную форму на pd.rkn.gov.ru необходимо подписать усиленной квалифицированной электронной подписью (УКЭП). После подачи РКН вносит оператора в реестр — обычно в течение 30 дней. Сохраните подтверждение регистрации: оно понадобится при проверке.
После подачи уведомления оператор вносится в Реестр операторов персональных данных, который ведёт Роскомнадзор. Реестр публичный — любой может проверить, зарегистрирована ли компания. Это создаёт репутационные риски для тех, кто уклоняется от регистрации.
Запись содержит информацию, предоставленную оператором при уведомлении. При изменении любого из включённых сведений оператор обязан подать уточнённое уведомление — эта обязанность часто игнорируется, особенно при смене адреса или расширении целей обработки.
Наименование, ИНН/ОГРН, адрес, контакты ответственного за обработку ПДн. Именно эта информация публично отображается в реестре при проверке оператора.
Цели обработки ПДн, категории субъектов (сотрудники, клиенты, пользователи), перечень обрабатываемых данных и правовые основания для каждой цели.
Описание технических и организационных мер, место хранения данных (страна локализации), сроки обработки и хранения каждой категории ПДн.
Когда необходимо подать уточнённое уведомление:
В 2022–2023 годах 152-ФЗ претерпел наиболее масштабные изменения за всю свою историю. Поправки существенно расширили состав уведомления, ужесточили режим трансграничной передачи, ввели обязательного ответственного за обработку ПДн и повысили штрафы.
Если ваша компания уведомляла РКН до 1 сентября 2022 года, необходимо проверить актуальность сведений — состав обязательных данных в уведомлении изменился. Устаревшая запись в реестре формально означает ненадлежащее уведомление.
Расширен состав уведомления
С 01.09.2022Уведомление теперь должно содержать: описание мер по обеспечению безопасности ПДн (организационные и технические), сведения о стране нахождения баз данных (локализация), цели трансграничной передачи — если она осуществляется. Операторы, уведомившие РКН до этой даты, обязаны подать уточнённое уведомление.
Новый порядок трансграничной передачи
С 01.03.2023Для передачи ПДн в страны без «адекватного уровня защиты» введена процедура предварительного уведомления РКН. Оператор направляет уведомление и ждёт 10 рабочих дней — в этот период регулятор вправе запретить передачу. Список стран с адекватным уровнем защиты утверждается приказом РКН.
Обязательное назначение ответственного за обработку ПДн
С 01.09.2022Оператор обязан назначить лицо, ответственное за организацию обработки ПДн (аналог DPO в GDPR). Сведения об этом лице указываются в уведомлении и должны быть актуальными. При смене ответственного — обновить уведомление в течение 10 рабочих дней.
Повышенные штрафы за нарушения
С 01.09.2022Внесены изменения в ст. 13.11 КоАП РФ. Появилась специальная норма за нарушения в сфере ПДн, включая обработку без уведомления. Максимальный штраф для юридических лиц — до 500 000 руб. За утечки крупного масштаба оборотный штраф — до 15 млн руб. или 3% от выручки.