Регистрация в Роскомнадзоре: кому нужна, зачем проводится и что говорит закон

Вокруг «регистрации в Роскомнадзоре» много шума и мало ясности: одни считают её необязательной формальностью, другие — наоборот, своего рода сертификатом, который доказывает, что с персональными данными у них всё в порядке. Оба представления неверны. Разберёмся, что такое реестр операторов на самом деле, зачем он существует, кому нужно в нём быть и, главное, чего нахождение в реестре не означает.

Если коротко, главное удержать три мысли. Первая: «регистрация» это подача уведомления и внесение в публичный реестр операторов, а не разрешение и не лицензия. Вторая: быть в реестре обязаны почти все, кто обрабатывает чужие данные. Третья: само по себе нахождение в реестре не подтверждает, что вы соблюдаете закон, — это лишь заявление о том, что вы обрабатываете данные.

Что такое реестр операторов

Реестр операторов персональных данных это публичный список тех, кто заявил Роскомнадзору, что обрабатывает персональные данные. Попадают в него не по решению ведомства, а по собственному уведомлению оператора: вы сообщаете, какие данные, с какой целью и на каком основании обрабатываете, и вас вносят в реестр. Смысл реестра двойной: для граждан это прозрачность (можно увидеть, кто и зачем собирает их данные), а для регулятора — инструмент учёта и надзора.

Зачем нужно быть в реестре

Причины не сводятся к «чтобы не оштрафовали», хотя и это важно. Наличие записи в реестре всё чаще становится практическим требованием делового оборота:

• это прямая обязанность по закону для тех, кто обрабатывает персональные данные;
• запись проверяют банки, маркетплейсы и крупные заказчики при заключении договоров;
• в анкетах комплаенса и при аккредитации появляется вопрос о статусе оператора;
• отсутствие записи всплывает в самый неподходящий момент — перед сделкой или выходом на площадку.

Кто именно обязан подавать уведомление и в каких узких случаях это не требуется, мы подробно разбирали в материале о том, кто должен подавать уведомление.

Чего регистрация не означает

Здесь кроется самое опасное заблуждение. Внесение в реестр это не знак соответствия и не «прошёл проверку». Роскомнадзор не проверяет вашу обработку при подаче уведомления — он принимает заявленные сведения и вносит вас в список. Поэтому запись в реестре сама по себе не доказывает, что у вас есть политика, назначен ответственный, выстроена защита и соблюдаются права субъектов.

Иными словами, реестр отвечает на вопрос «заявил ли оператор о себе», а не «соблюдает ли он закон». Настоящее соответствие обеспечивают документы и процессы, а не строчка в списке.

Это различие на практике дорого обходится тем, кто его не понимает. Компания подаёт уведомление, видит себя в реестре и считает вопрос закрытым, а при проверке выясняется, что политики нет, ответственный не назначен, данные хранятся где попало. Запись в реестре в этой ситуации не защищает — наоборот, она подтверждает, что оператор знал о своих обязанностях. Поэтому правильнее воспринимать уведомление как первый шаг, а не как финал.

Как устроена процедура

Сама процедура несложная: уведомление подаётся электронно, с авторизацией через Госуслуги и электронной подписью, а внесение в реестр занимает до 30 дней. Детально порядок подачи мы описывали в материале о подаче уведомления через Госуслуги, а проверить, есть ли запись у вас или у контрагента, можно по ИНН — об этом материал о проверке регистрации в реестре.

Реестр и проверки: как это связано

Ещё одно частое заблуждение — что запись в реестре либо защищает от проверок, либо, наоборот, привлекает их. Ни то, ни другое. Плановые проверки бизнеса сейчас ограничены мораторием, а внеплановые приходят не из-за наличия или отсутствия записи, а по конкретному поводу: жалоба субъекта, сообщение об утечке, обращение в Роскомнадзор.

Запись в реестре играет роль уже во время самой проверки. Проверяющий сверяет заявленные в реестре сведения с тем, что компания делает на самом деле. Если они совпадают и подкреплены документами — это в пользу оператора. Если запись есть, но устарела или не отражает реальную обработку, расхождение работает против него. Поэтому реестр не щит и не мишень, а зеркало: он показывает, насколько ваши заявления совпадают с практикой.

Чем грозит отсутствие записи

Отсутствие уведомления наказывается по части 10 статьи 13.11 КоАП: для ИП и юрлиц это 100 000–300 000 рублей. Но штраф — не единственный риск. На фоне общего ужесточения санкций за персональные данные отсутствие в реестре всё чаще закрывает доступ к контрактам и площадкам, где статус оператора стал условием работы. Полный разбор составов и сумм — в обзоре штрафов и ответственности за персональные данные.

Суммы и сроки, которые стоит держать перед глазами

С 30 мая 2025 года статья 13.11 КоАП переписана Федеральным законом от 30 ноября 2024 г. № 420-ФЗ: ответственность за неподанное уведомление вынесена в отдельную часть 10, а рядом появились составы за утечки — от них и отсчитывается вся шкала.

Три примечания к статье меняют то, как эти цифры читаются, и их почти никогда не приводят рядом с суммами. Первое: по частям 8 – 18 индивидуальные предприниматели отвечают как юридические лица — то есть ИП без записи в реестре рискует теми же 100–300 тысячами, а не «должностной» вилкой. Второе: в частях 10 – 18 под должностным лицом понимается должностное лицо государственного или муниципального органа либо некоммерческой организации. Третье: под юридическим лицом в тех же частях понимается оператор — юридическое лицо, не являющееся государственным или муниципальным органом либо некоммерческой организацией. Идентификатор, которым меряют масштаб утечки, — это уникальное обозначение сведений о физическом лице в информационной системе оператора.

Теперь сроки. Их в процедуре всего четыре, и все они — из статьи 22 Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных».

Последняя строка — самая забываемая. Уведомление подают один раз, а сведения в нём живые: сменился адрес, ответственный за обработку, цели или перечень данных — и запись в реестре начинает расходиться с практикой. Расхождение играет против оператора ровно в тот момент, когда проверяющий сверяет реестр с реальностью. Обратите внимание и на то, что срок привязан не к дате изменения, а к 15-му числу следующего месяца: изменения, случившиеся 2 марта и 30 марта, закрываются одним и тем же дедлайном — 15 апреля.

И ещё раз о смысле тридцати дней из части 4: это не срок рассмотрения заявки и не время ожидания разрешения. Обрабатывать данные можно с момента подачи уведомления — тридцать дней Роскомнадзору нужны на внесение сведений в реестр, а не оператору на ожидание ответа.

Суммы и сроки проверяйте на дату обращения: шкала штрафов за персональные данные пересматривалась дважды за последние два года, и следующая правка КоАП изменит именно цифры, а не логику составов.

Совет из практики: относитесь к записи в реестре как к входному билету, а не как к гарантии. Билет нужен, без него не пускают, но сам по себе он не делает обработку законной. Поэтому одновременно с подачей уведомления стоит привести в порядок политику, назначить ответственного и выстроить базовую защиту — тогда запись в реестре будет подкреплена реальным соответствием, а не висеть в воздухе.

Источники

• Статья 22 ФЗ №152-ФЗ (КонсультантПлюс) — уведомление об обработке и реестр операторов.
• Статья 18.1 ФЗ №152-ФЗ (КонсультантПлюс) — обязанности оператора по обеспечению соответствия закону.
• Реестр операторов персональных данных (Роскомнадзор) — публичный список операторов.