Уведомление Роскомнадзора об обработке персональных данных: пошаговая инструкция 2026
- 152-ФЗ · ст. 22 · РКН
- ИП · Юрлица · ИТ-директора
- Штрафы · Проверки · КоАП
- pd.rkn.gov.ru · Реестр операторов
1Зачем нужно уведомление: кто обязан, кто освобождён
Статья 22 Федерального закона №152-ФЗ «О персональных данных» устанавливает обязанность оператора до начала обработки персональных данных направить уведомление в уполномоченный орган по защите прав субъектов ПДн — Роскомнадзор. Цель уведомления — внесение оператора в реестр операторов персональных данных, который ведёт РКН. Это не разрешительная процедура, а уведомительная: РКН не выдаёт разрешения, а регистрирует факт обработки.
Оператором персональных данных является любое лицо — физическое, юридическое или индивидуальный предприниматель — которое организует и/или осуществляет обработку ПДн и определяет её цели. Практически каждый бизнес, имеющий сайт с формой, CRM-систему, базу клиентов или сотрудников, является оператором ПДн и обязан подать уведомление. Незнание закона не освобождает от ответственности.
- Юридические лица любой формы (ООО, АО, НКО)
- Индивидуальные предприниматели с сотрудниками или клиентами
- Сайты с формами обратной связи, регистрации, подписки
- Интернет-магазины с базой покупателей
- SaaS-платформы, обрабатывающие данные пользователей
- Образовательные организации (школы, вузы, EdTech-платформы)
- Работодатели с данными сотрудников
- Обработка ПДн только в рамках трудового договора (и никак иначе) — редко применимо изолированно
- Обработка ПДн только членов общественного объединения или религиозной организации — крайне узкое исключение
- Только общедоступные ПДн субъекта
- Разовая обработка без автоматизации исключительно для личных нужд — не для бизнеса
- Обработка данных только на бумаге — исключительно бумажный документооборот
Большинство компаний не могут воспользоваться исключениями из п.2 ст.22, потому что обрабатывают ПДн сразу по нескольким основаниям и в нескольких системах. Например, данные сотрудника хранятся в CRM (клиентская база), в бухгалтерской программе (1C), в корпоративном мессенджере и на корпоративном сайте — это уже выходит за рамки «исключительно трудовых отношений». Если есть хоть один cookie на сайте, хоть одна форма обратной связи или email-рассылка — уведомление обязательно.
Подробнее о комплексной юридической упаковке для России по 152-ФЗ — в нашем отдельном материале. Уведомление РКН — один из элементов этой системы, наряду с Политикой обработки ПДн, Приказом о назначении ответственного лица и Согласием субъектов.
2Когда подавать: что считается «началом обработки»
Закон требует подать уведомление до начала обработки персональных данных. Звучит однозначно, но на практике у многих возникает вопрос: что именно считать «началом»? Ответ: любое действие с ПДн — сбор, запись, систематизация, накопление, хранение — уже является обработкой. Вот типичные триггеры, при наступлении которых нужно уже быть в реестре РКН.
- 🌐Запуск сайта с формой
Любая форма на сайте (обратная связь, подписка на рассылку, регистрация, заявка) собирает имя, email или телефон — это ПДн. С момента публикации формы вы обрабатываете ПДн. Уведомление должно быть подано до запуска формы.
- 👤Первый сотрудник / трудовой договор
При оформлении трудового договора вы получаете паспортные данные, ИНН, СНИЛС сотрудника. Это обработка ПДн вне рамок простого «личного» использования. Уведомление нужно подать одновременно с оформлением первого сотрудника.
- 🛒Первый клиентский договор или заказ
Подписание договора с физическим лицом, оформление заказа в интернет-магазине, регистрация пользователя в сервисе — всё это создаёт базу данных клиентов. С первого клиента вы — оператор ПДн.
- 📊Подключение CRM / аналитики
Внедрение CRM-системы (AmoCRM, Bitrix24, Salesforce), систем веб-аналитики (Яндекс.Метрика, Google Analytics), email-маркетинга (Mailchimp, SendGrid) означает систематизированную обработку ПДн в автоматизированных системах.
- 📋До этого момента — подать уведомление
Уведомление подаётся заблаговременно. РКН рассматривает его в течение 30 дней. Работать без уведомления в период рассмотрения — уже нарушение. Правильная последовательность: подготовил документы → подал уведомление → дождался внесения в реестр → запустил обработку.
Если компания уже ведёт деятельность, но уведомление в РКН не подавалось — подайте немедленно. За каждый день просрочки риск штрафа растёт: РКН проверяет операторов в том числе дистанционно, сверяясь с реестром. Чем раньше вы окажетесь в реестре — тем лучше ваша правовая позиция в случае любого инцидента или проверки.
3Пошаговая инструкция: подача уведомления на pd.rkn.gov.ru
Уведомление подаётся через официальный портал Роскомнадзора pd.rkn.gov.ru. Ниже — последовательность действий с пояснениями по каждому шагу.
- 1Регистрация и вход на pd.rkn.gov.ru
Перейдите на pd.rkn.gov.ru → раздел «Подать уведомление». Доступны два способа входа: через ЕСИА (Госуслуги) — рекомендуется для юрлиц и ИП, у которых уже есть подтверждённый аккаунт организации; либо через собственную систему авторизации РКН.
Для юрлица убедитесь, что в Госуслугах заведён аккаунт организации с актуальными данными ЕГРЮЛ/ЕГРИП. Подать уведомление от имени организации может только уполномоченный сотрудник (руководитель или лицо по доверенности).
Потребуется: ОГРН / ОГРНИП, ИНН, данные руководителя - 2Выбор типа уведомления
На портале доступны три типа уведомлений: первичное (при первой регистрации в реестре), информационное письмо об изменениях (при обновлении сведений) и уведомление о прекращении обработки. Для первой подачи — выбираем «Первичное уведомление».
Новый оператор → Первичное уведомление - 3Заполнение формы: 12 разделов
Форма уведомления включает 12 разделов: (1) сведения об операторе, (2) юридический адрес, (3) цели обработки, (4) описание мер защиты, (5) категории ПДн, (6) категории субъектов, (7) правовые основания обработки, (8) перечень действий с ПДн, (9) срок/условие прекращения обработки, (10) трансграничная передача, (11) ответственное лицо, (12) сведения об обеспечении безопасности.
Каждый раздел требует конкретного заполнения — не общих фраз. Подробно разбираем ключевые поля в следующем разделе.
Самая важная часть: разделы 3, 5, 6, 7, 10 - 4Подписание электронной подписью (КЭП)
Уведомление подписывается квалифицированной электронной подписью (КЭП) уполномоченного лица (руководителя организации или ИП). КЭП должна быть выдана аккредитованным удостоверяющим центром на юрлицо или ИП. Использование КЭП физического лица (даже директора «на себя») для подачи от имени организации — не допускается.
Если КЭП ещё нет — её можно получить в одном из аккредитованных УЦ (Контур, Тензор, СКБ Контур и др.) в течение 1–3 рабочих дней.
Нужна: КЭП на организацию / ИП - 5Отправка и получение подтверждения
После подписания уведомление отправляется. Система автоматически присваивает входящий номер и дату регистрации — сохраните их. На указанный при регистрации email придёт подтверждение о принятии уведомления.
Сохраните: входящий номер и дату - 6Ожидание внесения в реестр: 30 дней
РКН рассматривает уведомление в течение 30 рабочих дней. После внесения в реестр оператора ПДн вы получите уведомление с присвоенным регистрационным номером. Проверить статус можно в реестре операторов на сайте РКН: pd.rkn.gov.ru → Реестр операторов. Поиск по ИНН или наименованию организации.
Срок рассмотрения: до 30 рабочих дней
Подать уведомление можно также в бумажном виде — лично или почтой в территориальный орган РКН по месту нахождения организации. Форма та же, требуется оригинальная подпись руководителя и печать (при наличии). Электронная подача через pd.rkn.gov.ru значительно быстрее и рекомендуется как основной способ.
4Что указывать: 8 ключевых полей формы
Качество заполнения уведомления напрямую влияет на то, возникнут ли у РКН вопросы при первой проверке. Ключевые поля, где операторы чаще всего допускают ошибки — цели обработки, категории ПДн и трансграничная передача. Разбираем каждое.
Самое критичное поле. Цели должны быть конкретными и привязанными к реальным бизнес-процессам. Каждая цель указывается отдельно: заключение договоров, выполнение обязательств, маркетинг, исполнение трудовых обязательств и т.д. Все цели, которые вы планируете реализовывать в будущем, тоже должны быть включены — иначе потребуется подавать информационное письмо об изменениях.
❌ «Обработка ПДн в соответствии с законодательством РФ» — слишком общо, РКН может вернуть ✓ «Заключение и исполнение договоров с физическими лицами; выполнение требований трудового законодательства; проведение маркетинговых коммуникаций с согласия субъекта»Укажите все категории ПДн, которые вы обрабатываете. Типичный набор для интернет-сервиса: общие ПДн (ФИО, email, телефон, адрес), идентификационные данные (ИНН, паспортные данные — при заключении договоров), финансовые данные (реквизиты, история транзакций), технические данные (IP-адреса, cookies, идентификаторы устройств). Специальные категории (здоровье, биометрия, национальность) — только при реальной обработке, с особыми правовыми основаниями.
❌ Не забыть: IP-адреса и cookies — тоже ПДн (персонализированный идентификатор устройства) ✓ Указать все: ФИО, email, телефон, адрес, IP, cookies, данные из договоровПеречислите все группы лиц, чьи ПДн вы обрабатываете: сотрудники, клиенты — физические лица, контрагенты-ИП, посетители сайта, кандидаты на должности. Не ограничивайтесь только «клиентами» — большинство компаний обрабатывают ПДн сотрудников и посетителей сайта одновременно.
По ст. 6 и 10 152-ФЗ обработка ПДн допускается при наличии хотя бы одного из оснований: согласие субъекта (ч. 1 ст. 6), исполнение договора с субъектом (п. 5 ч. 1 ст. 6), исполнение законодательного обязательства оператора (п. 2 ч. 1 ст. 6), законные интересы оператора (п. 7 ч. 1 ст. 6). Для каждой цели — своё основание. В уведомлении укажите все применимые основания со ссылками на статьи закона.
Укажите конкретные виды действий: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение. Как правило, для большинства систем применимы все перечисленные действия.
Перечислите технические и организационные меры защиты ПДн. Минимум: ограничение доступа к ПДн (ролевая модель), использование средств защиты информации, шифрование при передаче, антивирусная защита, резервное копирование, обучение сотрудников, внутренние регламенты. Для информационных систем, содержащих биометрические или специальные категории ПДн, требуются более строгие меры (приказы ФСТЭК).
Укажите, осуществляется ли передача ПДн за рубеж. Критично: если сервер или хостинг находится за пределами РФ (AWS, Google Cloud, Hetzner — даже у немецкого хостинга), если используются зарубежные SaaS-инструменты (Google Workspace, Mailchimp, Slack, Notion, Intercom) — это трансграничная передача. Её нужно декларировать и обеспечить соответствие ст. 12 152-ФЗ.
❌ Частая ошибка: «Трансграничная передача не осуществляется» при использовании Google Analytics или зарубежного хостинга ✓ Указать страны передачи, получателей, правовые основания (согласие / международный договор)По ч. 1 ст. 18.1 152-ФЗ оператор обязан назначить лицо, ответственное за организацию обработки ПДн. Указывается ФИО, должность, контактные данные. Как правило — юрист, DPO (если назначен), или один из руководителей. Это лицо также указывается во внутреннем Приказе о назначении ответственного, который должен существовать как ЛНА.
5Типичные ошибки при подаче уведомления
Неправильно заполненное уведомление может быть возвращено РКН на доработку или, что хуже, создать несоответствие между задекларированными и реальными практиками — что само по себе нарушение. Вот самые распространённые ошибки.
«Обработка в соответствии с действующим законодательством» или «выполнение уставных задач» — не цель, а отсылка к закону. РКН требует конкретного описания бизнес-процессов: что именно вы делаете с данными и зачем.
✓ Исправление: указать каждую цель отдельно — договорная работа, HR, маркетинг, аналитика сайтаIP-адреса посетителей сайта и cookie-идентификаторы признаются персональными данными (при возможности идентификации субъекта). Многие операторы не указывают их в категориях ПДн, хотя фактически обрабатывают через системы аналитики и логирования.
✓ Исправление: добавить «технические идентификаторы: IP-адреса, cookie, идентификаторы устройств»Зарубежный хостинг, Google Analytics, Mailchimp, AWS, Cloudflare, Slack, Notion — использование любого из этих сервисов означает трансграничную передачу ПДн. Отметить «нет» при их фактическом использовании — ложные сведения в уведомлении.
✓ Исправление: перечислить все зарубежные системы, страны передачи, правовые основанияКомпания сменила наименование, реорганизовалась, изменила юридический адрес, добавила новые цели обработки или подключила новые сервисы — но уведомление в РКН не обновила. Реестр содержит неактуальные сведения, что при проверке расценивается как нарушение.
✓ Исправление: подать информационное письмо об изменениях в течение 10 дней с момента измененийУведомление подано, но внутренние документы (Политика ПДн, Приказ о назначении ответственного) либо отсутствуют, либо противоречат уведомлению. Например, в уведомлении указана цель «маркетинг», а в Политике ПДн её нет. При проверке РКН сверяет уведомление с сайтом и запрашивает ЛНА.
✓ Исправление: синхронизировать уведомление, Политику ПДн и ЛНА перед подачейНекоторые операторы пытаются подать уведомление с личной КЭП директора вместо КЭП организации, или с устаревшей/отозванной подписью. Электронное уведомление, подписанное неверной КЭП, не принимается системой.
✓ Исправление: убедиться, что КЭП актуальна и выдана на юрлицо или ИП, а не на физлицо6Изменение и отзыв уведомления
Уведомление — это «живой» документ. Как только что-либо существенное меняется в организации или в практиках обработки ПДн, нужно сообщить об этом в РКН. Закон устанавливает 10-дневный срок на подачу информационного письма об изменениях с момента, когда изменения произошли.
| Событие | Что делать | Срок |
|---|---|---|
| Смена наименования организации | Подать информационное письмо об изменениях с новыми реквизитами | 10 дней |
| Смена юридического адреса | Обновить сведения об операторе в уведомлении | 10 дней |
| Новые цели обработки | Подать информационное письмо с дополненным перечнем целей | 10 дней |
| Новые категории ПДн (например, начали обрабатывать биометрию) | Обновить уведомление, указать правовые основания для новых категорий | 10 дней |
| Подключение нового зарубежного сервиса (трансграничная передача) | Актуализировать раздел о трансграничной передаче | 10 дней |
| Смена ответственного лица за организацию обработки ПДн | Обновить ФИО, должность и контакты ответственного в уведомлении | 10 дней |
| Прекращение деятельности / ликвидация | Подать уведомление о прекращении обработки ПДн, исключить из реестра | 10 дней |
Информационное письмо об изменениях подаётся через тот же портал pd.rkn.gov.ru — выбирается тип «Информационное письмо». В нём указывается регистрационный номер первичного уведомления и описываются конкретные изменения. Форма подписывается КЭП так же, как первичное уведомление.
При реорганизации (слиянии, присоединении, разделении) правопреемник становится новым оператором ПДн и обязан подать новое первичное уведомление — не просто информационное письмо. Старое уведомление при этом следует закрыть уведомлением о прекращении обработки от имени реорганизованного юрлица. Синхронизация с юридической упаковкой обязательна: Privacy Policy и ЛНА также переоформляются на правопреемника.
7Штрафы за отсутствие уведомления и проверки РКН
Отсутствие уведомления об обработке ПДн или нарушение порядка его подачи
ст. 19.7 КоАП РФПовторное нарушение требований к уведомлению в течение года после первого штрафа
ч. 3 ст. 19.7 КоАП РФЗа утечку ПДн при отсутствии надлежащей защиты (в т.ч. без уведомления). С 30.05.2025
152-ФЗ оборотные штрафыПомимо штрафов за само отсутствие уведомления, важно понимать логику проверок РКН: регулятор всё активнее использует дистанционный контроль — проверку реестра операторов, мониторинг сайтов, анализ жалоб субъектов. Выездные проверки стали более предсказуемыми: они часто следуют за дистанционной проверкой, обнаружившей несоответствия.
Методы дистанционного контроля РКН:
- Проверка реестра операторов: РКН сверяет наличие оператора в реестре. Если сайт обрабатывает ПДн, а оператор в реестре не числится — основание для возбуждения дела об административном правонарушении.
- Мониторинг сайтов: анализ содержания сайта — наличие форм, Privacy Policy, cookie banner, механизма согласия. Отсутствие Privacy Policy или несоответствие cookie banner требованиям — признак нарушения.
- Обработка жалоб субъектов: жалоба любого пользователя может стать основанием для проверки. Особенно высокий риск при массовых рассылках или утечках данных.
- Анализ открытых источников: публичная информация о компании (вакансии, договоры, API-документация) может указывать на обработку ПДн без уведомления.
Уведомление РКН — это первый и обязательный шаг, но не единственный. При проверке РКН смотрит также на: наличие Privacy Policy на сайте, наличие ЛНА (Политика ПДн, Приказ об ответственном), механизм получения согласия субъектов, пользовательское соглашение и соответствие реальных практик задекларированным в уведомлении. Полная юридическая упаковка по 152-ФЗ включает все эти элементы в системе.
8Реестр операторов и чек-лист из 8 пунктов
После внесения в реестр ваши данные публикуются на официальном портале РКН: pd.rkn.gov.ru → Реестр операторов. Поиск доступен по ИНН, ОГРН или наименованию организации.
Что видят проверяющие в реестре: полное наименование оператора, ИНН/ОГРН, юридический адрес, дата внесения в реестр, цели обработки ПДн, категории ПДн, сведения о трансграничной передаче, контакты ответственного лица. Именно с этими данными РКН сверяет фактические практики при дистанционной проверке.
Важно: отсутствие организации в реестре при наличии на сайте форм сбора ПДн — прямое основание для административного производства. Проверить свои данные следует сразу после получения подтверждения от РКН и периодически — для контроля актуальности.
- Провести инвентаризацию обработки ПДн — перечислить все точки сбора (формы, CRM, бухгалтерия, HR-системы, аналитика), категории данных и цели
- Определить все юрисдикции обработки — какие сервисы используются, где расположены серверы, есть ли зарубежные субпроцессоры (хостинг, аналитика, email)
- Подготовить и принять ЛНА — Политику обработки персональных данных, Приказ о назначении ответственного лица, Регламент обработки и защиты ПДн
- Опубликовать Privacy Policy на сайте — документ должен соответствовать реальным практикам и содержать все обязательные разделы по 152-ФЗ
- Получить КЭП организации — убедиться, что КЭП актуальна, выдана на юрлицо или ИП, не отозвана
- Зарегистрировать организацию в Госуслугах как юрлицо или ИП (ЕСИА) — это упростит подачу уведомления и работу с другими госсервисами
- Сформулировать конкретные цели обработки — не «в соответствии с законодательством», а конкретные бизнес-процессы: договорная работа, HR, маркетинг, техподдержка
- Проверить раздел о трансграничной передаче — если используется хоть один зарубежный сервис, раздел должен быть заполнен с указанием стран, получателей и правовых оснований
?Частые вопросы
Нужно ли подавать уведомление ИП без сотрудников, у которого есть только сайт с формой?
Можно ли работать в период рассмотрения уведомления (30 дней)?
Нужно ли уведомление, если сайт хранит данные только в cookies без сервера?
Что будет, если РКН вернёт уведомление на доработку?
Нужно ли подавать уведомление заново при смене организационно-правовой формы (из ООО в АО)?
Есть ли разница, в какой территориальный орган РКН подавать уведомление?
Уведомление подаётся до первой формы на сайте, первого сотрудника, первого клиента. Работать без уведомления — нарушение со штрафом до 300 000 ₽.
Размытые формулировки целей и забытые категории (IP, cookie, трансграничная передача) — самые частые причины возврата уведомления на доработку.
Смена наименования, новые цели, новые сервисы — 10 дней на подачу информационного письма. Устаревшее уведомление = нарушение при проверке.