Уведомление в Роскомнадзор об обработке персональных данных: как подать в 2026 году
Уведомление подаётся до того, как компания начала собирать данные, а исключений в законе осталось всего три. Разбираем, что указывать в форме, как проверить запись в реестре операторов и какие сроки начинают идти после подачи.
Кто обязан уведомлять Роскомнадзор
Часть 1 статьи 22 152-ФЗ формулирует правило коротко: оператор обязан уведомить Роскомнадзор о намерении обрабатывать персональные данные до начала обработки. Оператор — это любое юридическое или физическое лицо, которое определяет цели обработки: размер компании, форма собственности и наличие сайта роли не играют.
На практике обязанность возникает раньше, чем кажется владельцу бизнеса. Момент «начала обработки» — это не запуск CRM, а первая запись данных: заполненная форма заявки, добавленный в базу e-mail, оформленный на сотрудника приказ.
«У нас нет базы клиентов — только форма обратной связи на сайте и счётчик посещаемости. Уведомлять не о чем».
Имя и телефон из формы — уже персональные данные, а значит, компания их собирает, хранит и передаёт: менеджеру, в почтовый сервис, в аналитику. Это обработка с использованием средств автоматизации, и она требует уведомления.
Три исключения — всё, что осталось от старого списка
До сентября 2022 года часть 2 статьи 22 позволяла не уведомлять по шести основаниям: обработка в рамках трудовых отношений, по договору с субъектом, только общедоступные данные, только фамилия, имя и отчество, разовые пропуска. Федеральный закон № 266-ФЗ от 14.07.2022 эти пункты отменил. Сейчас в норме остались три случая.
Проверяйте дату у инструкций в интернете. Часть материалов и даже шаблонов до сих пор ссылается на отменённые основания — чаще всего на «обработку в рамках трудового договора». Компания, которая на это ориентируется, считает себя освобождённой и получает штраф как не подавшая уведомление.
Что указывают в уведомлении
Состав сведений закреплён в части 3 статьи 22. Это не формальная анкета: именно по ней Роскомнадзор потом сверяет, совпадает ли заявленное с тем, что происходит на сайте и в компании.
- наименование и адрес оператора;
- цель обработки персональных данных;
- категории данных и категории субъектов, правовое основание, перечень действий и способы обработки;
- описание мер по статьям 18.1 и 19 закона, включая сведения о шифровальных средствах, если они применяются;
- ФИО и контакты ответственного за организацию обработки данных;
- дата начала обработки;
- срок или условие прекращения обработки;
- сведения о трансграничной передаче данных;
- место нахождения базы данных с персональными данными граждан России.
Ответственного назначают до подачи. В форме указывают конкретного человека с телефоном и адресом электронной почты, поэтому приказ о назначении ответственного за организацию обработки данных логично подписать заранее — вместе с политикой обработки персональных данных, которая должна быть опубликована на сайте.
Как подать: четыре шага
Выпишите все точки сбора данных: формы сайта, личный кабинет, рассылка, CRM, бухгалтерия, кадры, видеонаблюдение. По каждой — зачем собираете, на каком основании, кому передаёте и где физически лежит база. Эти же формулировки потом должны совпасть с текстами на сайте.
Электронная форма и порядок её заполнения размещены на портале персональных данных Роскомнадзора pd.rkn.gov.ru и на Госуслугах. Цели обработки описывайте по отдельности: «заключение и исполнение договоров», «рассмотрение обращений», «информирование о продуктах по подписке», а не общей фразой «в соответствии с законодательством».
Уведомление направляется в виде электронного документа, подписанного уполномоченным лицом, либо на бумажном носителе в территориальное управление Роскомнадзора. Электронный вариант быстрее: статус заявления виден в личном кабинете портала.
Роскомнадзор вносит сведения в реестр в течение 30 дней с даты поступления уведомления. Реестр общедоступен, кроме сведений о мерах безопасности, — найдите свою организацию и сверьте, что цели, адрес и данные ответственного отражены верно.
Готовим уведомление под реальные процессы компании: цели, категории данных, меры защиты и сведения об ответственном — и подаём его. Подача входит в комплект документов для сайта и компании.
Портал персональных данных: что где находится
Вся работа с уведомлениями идёт через портал персональных данных Роскомнадзора — это отдельный сайт регулятора, не тот, где новости и реестры запрещённых ресурсов. Люди часто ищут его по адресу и теряются уже внутри, поэтому коротко о том, какой раздел за что отвечает.
| Раздел портала | Для чего нужен |
|---|---|
| Форма уведомления об обработке | Первичная подача: заполняется и отправляется в территориальный орган по месту нахождения компании |
| Форма уведомления об изменении сведений | Когда поменялись ответственный, адрес, цели или категории данных |
| Форма уведомления о прекращении обработки | Чтобы компанию исключили из реестра |
| Реестр операторов | Публичный поиск по ИНН, ОГРН или наименованию — проверить себя или контрагента |
| Уведомление об инциденте | Сообщение об утечке: 24 часа на факт и 72 часа на результаты расследования |
| Уведомление о трансграничной передаче | Отдельная форма, подаётся независимо от основного уведомления |
Подача уведомления и появление в реестре — это не одно действие, а последовательность: сначала форма, потом рассмотрение, потом внесение сведений. Пока запись не появилась, компания формально не числится оператором, хотя уведомление уже отправлено. Как найти себя в реестре и что означает регистрационный номер — в отдельном разборе реестра операторов.
Ошибки, из-за которых уведомление возвращают
«Обработка в соответствии с законодательством РФ» ничего не описывает. Цели должны читаться как перечень бизнес-процессов, иначе уведомление возвращают на доработку.
Зарубежная рассылка, аналитика, облако или мессенджер — это передача данных за границу. Её указывают в уведомлении и оформляют отдельно.
Для данных граждан России нужно назвать, где физически находится база. Тема связана с требованием локализации: первичный сбор и хранение должны идти на серверах в России.
В форме заявлены три цели, а на сайте собираются cookie, работает рассылка и личный кабинет. На проверке расхождение видно сразу — сверяйте уведомление с политикой и формами согласий.
Сменился адрес, ответственный или появилась новая цель — нужно отдельное уведомление об изменениях. Про срок часто забывают, хотя он жёсткий (ниже).
Сроки, которые начинают идти после подачи
Подача — не финальная точка, а начало обязанностей, у каждой из которых свой срок.
| Событие | Что нужно сделать | Срок |
|---|---|---|
| Уведомление подано | Роскомнадзор вносит сведения в реестр операторов | 30 дней с даты поступления |
| Изменились сведения из уведомления | Направить уведомление об изменениях | Не позднее 15-го числа месяца, следующего за месяцем изменений |
| Обработка прекращена | Уведомить о прекращении обработки | 10 рабочих дней с даты прекращения |
| Подано уведомление о прекращении | Роскомнадзор исключает сведения из реестра | 30 дней |
| Произошла утечка данных | Сообщить в Роскомнадзор, затем направить результаты расследования | 24 часа и 72 часа |
Сроки по утечкам установлены частью 3.1 статьи 21 закона и действуют с 1 сентября 2022 года. Это отдельная обязанность: она не заменяется первичным уведомлением и не зависит от того, попала ли компания в реестр.
Что грозит за нарушение
Ответственность установлена статьёй 13.11 КоАП РФ. С 30 мая 2025 года размеры штрафов повышены, а за утечки введены оборотные санкции — подробный разбор штрафов по 152-ФЗ в 2026 году собран отдельно.
| Нарушение | Норма | Штраф для юрлица |
|---|---|---|
| Уведомление не подано или подано с нарушением | ч. 10 ст. 13.11 КоАП | 100 000 – 300 000 ₽ |
| Политика обработки данных не опубликована | ч. 3 ст. 13.11 КоАП | 30 000 – 60 000 ₽ |
| Обработка без надлежащего согласия | ч. 2 ст. 13.11 КоАП | 300 000 – 700 000 ₽ |
Если срок уже пропущен. Отдельного наказания за «опоздание» нет — есть ответственность за отсутствие уведомления. Чем раньше компания подаст сведения и приведёт документы в порядок, тем меньше материала для проверки. Начать разумно с ревизии: что собирается на сайте, что написано в документах и что из этого попадёт в форму. Это и есть содержание аудита по 152-ФЗ.
Частые вопросы об уведомлении в Роскомнадзор
Нужно ли уведомление индивидуальному предпринимателю?
А если на сайте нет форм — только текст и телефон?
Сколько ждать после подачи?
Можно ли подать на бумаге?
Как найти компанию на портале после подачи?
Нужно ли платить за подачу уведомления?
Что делать, если данные компании изменились?
Связанные материалы
Документы и уведомление в Роскомнадзор
Готовим комплект документов под то, как работает ваш сайт и компания, и подаём уведомление об обработке персональных данных. Подача входит в пакет.