Регистрация оператора персональных данных в Роскомнадзоре по 152-ФЗ: документы, сроки и наши услуги.
Уведомление об обработке персональных данных — это первый и обязательный шаг для почти любого бизнеса, который работает с данными клиентов или сотрудников. По закону 152-ФЗ его подают до начала обработки, а с 2025 года цена ошибки выросла до сотен тысяч рублей. Ниже разбираем уведомление по существу: что это, кто обязан, как и куда подавать, какие сведения указать, в какие сроки и что грозит за пропуск.
Главное, что важно понять про уведомление: это не разрешение и не лицензия, а информирование Роскомнадзора о том, какие данные, с какими целями и на каком основании вы обрабатываете. Оператором вы становитесь автоматически, как только начали собирать данные, поэтому подавать уведомление нужно заранее, а не после запуска.
Кто обязан подать уведомление
Обязанность распространяется практически на всех, кто собирает персональные данные: юридические лица (включая ТСЖ, СНТ, НКО), индивидуальных предпринимателей, самозанятых и физлиц, оказывающих платные услуги, а также владельцев сайтов, интернет-магазинов и каналов с формами заявок. Объём данных значения не имеет — даже одна форма обратной связи на сайте означает сбор персональных данных.
Кому уведомление можно не подавать
Часть 2 статьи 22 закона 152-ФЗ перечисляет ограниченный набор исключений: обработка исключительно без средств автоматизации (на бумаге), отдельные случаи, связанные с государственной и транспортной безопасностью, и обработка для кадрового учёта собственных сотрудников в установленных пределах. Большинство коммерческих сценариев с клиентскими и пользовательскими данными под исключения не подпадает, а ссылаться на них «по аналогии» рискованно: доказывать основание при споре придётся самому оператору.
Распространённое заблуждение — считать, что освобождение от уведомления освобождает и от всего остального. Это не так: даже когда уведомление подавать не нужно, сохраняется обязанность обеспечить защиту данных, назначить ответственного и вести внутренние документы. Уведомление — лишь один из элементов соответствия закону, а не вся обязанность целиком.
Как и куда подать уведомление
Подача переведена в электронный формат, госпошлины за неё нет. Доступны три способа:
- через личный кабинет оператора на сайте Роскомнадзора;
- через портал Госуслуги — для ИП и организаций с подтверждённой учётной записью и электронной подписью;
- через представителя по доверенности.
После подачи Роскомнадзор вносит сведения в реестр операторов в срок до 30 календарных дней; на практике запись появляется за 2–3 недели. Проверить результат можно в публичном реестре операторов — отдельно мы разбираем, как узнать, есть ли регистрация оператора.
Какие сведения указать
В уведомлении оператор указывает наименование и ИНН, адрес обработки данных, категории субъектов (клиенты, сотрудники, подписчики) и категории данных, цели и правовое основание обработки, способы (автоматизированные или нет), меры безопасности по статьям 18.1 и 19, наличие трансграничной передачи, место нахождения базы данных граждан РФ и дату начала обработки. Для каждой цели сведения детализируются отдельно.
Самая частая причина отказа из нашей практики — размытые или скопированные из чужого уведомления цели обработки. Роскомнадзор сверяет заявленные цели с реальной деятельностью, и формулировка вроде «обработка в уставных целях» почти всегда возвращается на доработку. Цели стоит описывать так, как они выглядят у вас: «оформление заказов», «доставка», «рассылка по согласию».
Что происходит после подачи
Подача уведомления — не финальная точка, а начало работы оператора. После того как сведения внесены в реестр, вы получаете регистрационный номер, который подтверждает легальность обработки и который можно указывать в политике и договорах. Но вместе с номером появляются и постоянные обязанности: поддерживать актуальность сведений, отвечать на запросы субъектов в течение 10 рабочих дней, обеспечивать заявленные меры защиты и при проверке показывать, что реальная обработка совпадает с тем, что вы заявили.
Именно на этом расхождении чаще всего и строятся претензии. Если в уведомлении указаны одни цели и категории данных, а на сайте собираются другие, формальное наличие записи в реестре не спасёт. Поэтому уведомление стоит воспринимать не как разовую отписку, а как публичное обязательство, которому должна соответствовать практика.
Сроки: до начала, при изменениях и при прекращении
Здесь три разных срока, которые часто путают между собой:
| Ситуация | Срок |
|---|---|
| Первичная подача | до начала обработки персональных данных |
| Изменение сведений (адрес, цели, ответственный) | до 15-го числа месяца, следующего за месяцем изменения |
| Прекращение обработки | в течение 10 рабочих дней с даты прекращения |
Дату 30 мая 2025 года иногда называют «крайним сроком регистрации» — это ошибка. В этот день вступили в силу новые повышенные штрафы по 420-ФЗ, а не универсальный дедлайн подачи. Обязанность подать уведомление по-прежнему привязана к началу обработки, а не к календарной дате.
Ответственность за неподачу
С 30 мая 2025 года за отсутствие или просрочку уведомления действует отдельный состав — часть 10 статьи 13.11 КоАП РФ. Прежние «до 75 000 рублей» неактуальны, штрафы выросли в разы:
| Категория нарушителя | Штраф |
|---|---|
| Граждане (физлица) | 5 000–10 000 ₽ |
| Должностные лица | 30 000–50 000 ₽ |
| ИП и юридические лица | 100 000–300 000 ₽ |
По примечанию к статье 13.11 ИП отвечают как юридические лица, то есть по верхней планке. Штраф возможен за сам факт отсутствия записи в реестре, без жалоб и утечек, а поводом для проверки нередко становится обращение клиента или бывшего сотрудника.
Штраф — не единственное последствие. За отсутствием уведомления обычно тянутся и смежные нарушения: нет политики обработки на сайте, не назначен ответственный, не оформлено согласие. Поэтому одна проверка по неподанному уведомлению часто оборачивается набором требований сразу по нескольким статьям. Дополнительно возможны внеплановые проверки, предписания об устранении нарушений и гражданские иски от субъектов данных, а для сайтов — ограничение доступа к ресурсу по решению суда.
Отдельно стоит сказать про самозанятых: многие уверены, что уведомление их не касается, раз нет юрлица. Но если самозанятый ведёт базу клиентов, рассылает сообщения или принимает заявки через сайт, он такой же оператор, как и компания. При этом штраф для него идёт по «гражданской» планке, а вот ведение деятельности через ИП уже переводит в категорию со штрафом до 300 000 рублей.
Вопросы и ответы
Короткие ответы на вопросы, которые чаще всего возникают при подготовке документов и подаче заявки.
Нужно ли уведомление, если на сайте только форма обратной связи?
Нужно. Даже одна форма, собирающая имя и телефон, — это обработка персональных данных, а значит, действует обязанность уведомить Роскомнадзор до её запуска.
Можно ли подать уведомление самостоятельно?
Можно, через Госуслуги или сайт РКН. Чаще всего отказы связаны с неточным описанием целей и категорий данных, поэтому эти разделы стоит заполнять особенно внимательно.
Что делать, если пришёл отказ?
Прочитать причину в уведомлении ведомства, исправить именно её (как правило, это цели обработки или регион) и подать повторно. Госпошлины за повторную подачу нет.
В какой срок подавать обновление при изменении данных?
Не позднее 15-го числа месяца, следующего за месяцем изменения. Это не тот же срок, что для прекращения обработки — там 10 рабочих дней.
Касается ли обязанность самозанятых?
Да, если самозанятый собирает данные клиентов. Освобождены только физлица, обрабатывающие данные исключительно для личных и семейных нужд.
Сколько ждать появления записи в реестре?
До 30 календарных дней, обычно 2–3 недели. Если срок прошёл, а записи нет, статус стоит уточнить через Госуслуги или территориальное управление Роскомнадзора.
Источники
- Статья 22 ФЗ №152-ФЗ (КонсультантПлюс) — обязанность уведомления, исключения и сроки актуализации сведений.
- Статья 13.11 КоАП РФ (КонсультантПлюс) — штрафы за неподачу уведомления по части 10 и примечание об ИП.
- Подача уведомления оператора (Роскомнадзор) — официальный порядок подачи и состав сведений.
