Как подать заявление в Роскомнадзор в 2026–2027 году: инструкция для операторов персональных данных

Официально документ называется уведомлением о намерении осуществлять обработку персональных данных. Но часто его называют заявлением оператора персональных данных, хотя юридически это именно уведомление.

После подачи документа сведения о компании или ИП вносятся в реестр операторов. Свидетельство о регистрации не выдается — подтверждением служит сама запись в открытом реестре.

Рассмотрим четыре ситуации, при которых нужны разные виды уведомлений.

Отдельно стоит остановиться на трансграничной передаче. Это любое действие, в результате которого персданные оказываются на территории иностранного государства. Ключевой критерий — географическое положение сервера или лица, получившего доступ к информации, а не его гражданство.

Трансграничной считается передача данных, например, иностранному отелю, зарубежной авиакомпании или консульству. Также это касается использования иностранных сервисов: если CRM, чат или аналитика работают на серверах за рубежом, данные уже передаются за границу.

Здесь все зависит от формы вашего бизнеса и от того, как вы работаете с данными.

• ООО с сотрудниками. Оператор подает заявление обязательно: ведется кадровый учет, обрабатываются паспортные данные, СНИЛС, зарплатные сведения.

• ИП с работниками. Заявление в Роскомнадзор обязательно подается: предприниматель обрабатывает данные сотрудников и отвечает за их защиту.

• ИП без работников, но с клиентской базой. Обязан подать, если собирает контакты клиентов через сайт, CRM или мессенджеры.

• Сайт с формой заявки. Уведомление подать нужно: формы сбора данных — это обработка с использованием автоматизации.

• Самозанятый. Плательщик НПД обязан направить заявление, если собирает данные клиентов через сайт, приложение или чат-бот. Исключение — работа только на бумаге: в таком случае ничего не подается.

• Полностью бумажная обработка. Уведомление не требуется, если данные не попадают в компьютеры, смартфоны или иные средства автоматизации.

Если заполнять форму без подготовки, ошибки почти неизбежны. Рассмотрим несколько важных пунктов, что нужно подготовить и проверить.

• Реквизиты оператора. Запросите актуальную выписку из ЕГРЮЛ или ЕГРИП. Из нее берутся полное и сокращенное наименование, ИНН, ОГРН, адрес, коды ОКВЭД. Не полагайтесь на память: реквизиты могли измениться, а уведомление с устаревшими данными — это расхождение, которое проверяющий заметит.

• Перечень целей обработки. Пройдитесь по каждому процессу: кадровый учет, бухгалтерия, исполнение договоров, рекламные рассылки и т.д. Для каждой цели нужна конкретная формулировка. Что-то общее вроде «обработка данных клиентов» не подходит.

• Категории субъектов. Определите, чьи данные вы обрабатываете: работники, соискатели, клиенты, посетители сайта, контрагенты, их представители. Каждая категория указывается отдельно.

• Какие именно ПДн собираются для каждой цели. Для кадрового учета — паспорт, СНИЛС, ИНН, трудовая. Для доставки заказов — ФИО, телефон, адрес. Для рассылки — e-mail, имя. Не смешивайте все данные в одну кучу.

• Правовое основание для каждой цели. Согласие, договор, требование закона или другое основание, предусмотренное ст. 6 ФЗ №152. Все основания должны быть связаны с категориями обрабатываемых ПДн и категориями субъектов.

• Какие действия совершаются с данными. Сбор, запись, хранение, использование, передача, удаление — отметьте все, что реально происходит.

• Где используются автоматизированные системы. Перечислите программы и сервисы: 1С, CRM, почтовые сервисы, облачные хранилища, сайт. Если данные попадают в компьютер или смартфон — это автоматизация.

• Где находятся базы данных. Проверьте, где физически расположены серверы: они должны быть на территории РФ.

• Какие меры защиты реально применяются. Не пишите про шифрование, если его нет. Укажите только то, что внедрено: парольная защита, антивирус, ограничение доступа, сейф для бумаг.

• Кто назначен ответственным. ФИО, должность, контакты. Назначение оформляется приказом.

• Используется ли трансграничная передача. Если данные уходят за рубеж — укажите, в какие страны они попадают.

Эта информация ляжет в основу уведомления и определит, насколько точно оно отразит реальные процессы.

Перед заполнением формы важно разобраться в реальных процессах компании: какие ПДн собираются, для каких целей, кто имеет к ним доступ, где находятся базы и используются ли зарубежные сервисы.

Определим, что нужно указать в уведомлении Роскомнадзора

Проверим вашу ситуацию и определим, какие сведения необходимо отразить в уведомлении, чтобы оно соответствовало фактической обработке данных

Проверить данные

Форма уведомления в Роскомнадзор размещена на официальном портале ведомства — pd.rkn.gov.ru. Она утверждена приказом Роскомнадзора от 28.10.2022 № 180.

Уведомление состоит из нескольких полей, которые нужно обязательно заполнить.

• Сведения об операторе. Полное и сокращенное наименование, ИНН, ОГРН, адрес, контакты. Сверяйте с выпиской из ЕГРЮЛ или ЕГРИП.

• Цель обработки. Указывайте конкретные цели: ведение кадрового учета, исполнение договоров, рекламные рассылки. Одна абстрактная цель — ошибка.

• Категории персданных. Отмечайте только те данные, которые реально собираете: ФИО, телефон, адрес, паспортные данные.

• Категории субъектов. Работники, клиенты, соискатели, посетители сайта, контрагенты.

• Правовое основание. Для каждой цели — свое: согласие, договор, требование закона.

• Перечень действий. Сбор, запись, хранение, использование, передача, удаление.

• Способ обработки. Автоматизированная, неавтоматизированная или смешанная.

• Меры безопасности. Описывайте только реально внедренные меры.

• Ответственный за обработку. ФИО, должность, контакты.

• Дата начала обработки. По практике — дата регистрации компании.

• Срок или условие прекращения. Когда обработка остановится: ликвидация, достижение цели.

• Трансграничная передача. Указывается, если данные уходят за рубеж.

• Место нахождения базы данных. Страна, адрес ЦОДа.

• Сведения об обеспечении безопасности. Подтверждение применяемых мер.

Образец заявления в Роскомнадзор из интернета содержит чужую информацию: другие цели, категории данных и субъектов. При проверке расхождения между реестром и реальностью расцениваются как недостоверные сведения. В результате вы рискуете как минимум получить предписание, как максимум — штраф. 

Проверка может выявить, что вы заявили одни данные, а обрабатываете другие. Доказывать, что шаблон был чужим, бесполезно — ответственность несет оператор.

Заполняйте форму на основе собственных процессов, а не копируйте чужие шаблоны.

• Шаг 1. Зайдите на официальный портал pd.rkn.gov.ru.

• Шаг 2. Авторизуйтесь: через Госуслуги с подтвержденной учетной записью или по квалифицированной электронной подписи.

• Шаг 3. Откройте форму уведомления о намерении осуществлять обработку персональных данных.

• Шаг 4. Заполните все разделы последовательно, используя подготовленные данные.

• Шаг 5. Проверьте сведения на соответствие ЕГРЮЛ и внутренним документам.

• Шаг 6. Подпишите документ КЭП или отправьте через Госуслуги.

• Шаг 7. Сохраните номер заявки и подтверждение отправки.

Подготовим уведомление в Роскомнадзор за вас

Соберем необходимые сведения, определим цели и категории обработки, проверим правовые основания, место хранения баз и другие обязательные данные. Подготовим уведомление с учетом реальных процессов вашей компании и поможем с его подачей

Подготовить

Роскомнадзор рассматривает уведомление в течение 30 календарных дней. По итогам компанию вносят в реестр операторов.

Вам нужно сохранить: номер заявки, скриншот отправки, подтверждение из личного кабинета. Если запись не появилась через 30 дней, обратитесь в территориальное управление для выяснения причин.

• Шаг 1. Откройте страницу реестра на pd.rkn.gov.ru.

• Шаг 2. Введите ИНН — самый надежный идентификатор.

• Шаг 3. Нажмите «Найти».

• Шаг 4. Откройте карточку оператора, если запись найдена.

• Шаг 5. Сверьте данные с реальными процессами.

Если записи нет, но вы подавали уведомление и 30 дней прошли, обратитесь в Роскомнадзор для уточнения причин.

• Ошибка №1: одна общая цель обработки вместо нескольких реальных.

Как избежать: указывайте конкретные цели для каждого процесса.

• Ошибка №2: все категории ПДн отмечены «про запас».

Как избежать: отмечайте только реально обрабатываемые данные.

• Ошибка №3: цель и категории данных не связаны.

Как избежать: для каждой цели определите свой набор данных.

• Ошибка №4: правовое основание не соответствует процессу.

Как избежать: сверяйтесь со статьей 6 закона № 152-ФЗ.

• Ошибка №5: не учтен сайт.

Как избежать: если есть формы сбора, укажите посетителей сайта как субъектов.

• Ошибка №6: неверно определено место базы данных.

Как избежать: проверьте, где физически находятся серверы.

• Ошибка №7: указаны меры безопасности, которых нет.

Как избежать: описывайте только внедренные меры.

• Ошибка №8: уведомление не совпадает с внутренними документами.

Как избежать: подготовьте локальные акты до заполнения уведомления.

• Ошибка №9: после изменений сведения не актуализировали.

Как избежать: подавайте уведомление об изменении в срок.

За невыполнение или несвоевременное выполнение обязанности по уведомлению Роскомнадзора предусмотрен штраф по части 10 статьи 13.11 КоАП.

Также есть штрафы по ст. 13.11 КоАП за другие правонарушения.

Оформить только документы недостаточно — нужно, чтобы все меры реально работали на практике.

• Ответственные лица. Ответственный за организацию обработки назначается приказом руководителя. Он контролирует соблюдение закона, обучает сотрудников и взаимодействует с Роскомнадзором. Администратор информационной безопасности отвечает за техническую защиту: настраивает доступы, следит за антивирусом, ведет журналы. В малом бизнесе обе роли может совмещать один человек.

• Доступы и матрица. Составьте список должностей, которым нужен доступ к данным. Для каждой определите уровень: чтение, редактирование, удаление. Матрица утверждается приказом. При увольнении сотрудника доступ блокируется в тот же день, при переводе — пересматривается.

• Учет носителей. Флешки, внешние диски, жесткие диски учитываются по заводским номерам в журнале. Хранятся в сейфе или запираемом шкафу. Вынос за пределы офиса — только по разрешению ответственного. Уничтожение — по акту с указанием способа.

• Парольная защита. Минимальные требования: длина от 8 символов, использование букв, цифр и спецсимволов, смена раз в 90 дней, запрет на одинаковые пароли для разных систем. Пароли не хранятся в открытом виде и не передаются по почте.

• Антивирусная защита. На всех рабочих станциях устанавливается антивирус с автоматическим обновлением. Проверки — по расписанию, не реже раза в неделю. Отключение антивируса сотрудниками запрещается.

• Резервное копирование. Копии создаются ежедневно или еженедельно в зависимости от объема данных. Хранятся на отдельном носителе, не в том же помещении, что основные данные. Восстановление проверяется тестовыми прогонами раз в квартал.

• Физическая защита помещений. Серверные и кабинеты с документами закрываются на ключ. Список допущенных — приказом. Факт сдачи и приема помещений фиксируется в журнале. Доступ посторонних — только с сопровождением.

• Обучение персонала. Первичный инструктаж — при приеме на работу. Повторный — раз в год или при изменении процессов. Сотрудники подписывают обязательство о неразглашении. В журнале фиксируются дата, тема и состав участников.

• Инциденты. Заранее определите порядок: кто фиксирует факт, кто уведомляет Роскомнадзор, кто проводит внутреннее расследование. Уведомление — в течение 24 часов, отчет по итогам расследования — в течение 72 часов.

• Внутренний контроль. Раз в полгода проверяйте: совпадают ли данные в уведомлении с реальностью, актуальны ли локальные акты, нет ли лишних доступов. Результаты оформляйте актом.

• Уничтожение данных. При достижении цели обработки данные уничтожаются в течение 30 дней. По итогам — акт с указанием, какие данные, с какого носителя и каким способом удалены. Бумажные документы — через шредер, электронные — с гарантированным стиранием.

Внедрение этих мер занимает время, но создает систему, к которой не смогут придраться инспекторы. 

• Шаг 1. Изучите документ. Прочитайте предписание внимательно. В нем указано, какое нарушение выявлено, что нужно сделать и в какой срок. Обратите внимание на дату вынесения: от нее отсчитывается время на исправление.

• Шаг 2. Определите, что требуется. Предписание может содержать несколько требований: например, опубликовать политику, оформить согласие, удалить данные, актуализировать данные в реестре операторов. Составьте список конкретных действий.

• Шаг 3. Назначьте ответственного. Кто-то должен контролировать исполнение: собирать документы, вносить изменения, готовить отчет. Если ответственного нет, назначьте его приказом.

• Шаг 4. Устраните нарушение. Выполните каждое требование по порядку. Если речь о документах — подготовьте их. Если о данных — удалите или скорректируйте. Фиксируйте каждое действие: это понадобится для отчета.

• Шаг 5. Подготовьте отчет. В отчете укажите, что именно сделано, приложите подтверждения: копии документов, скриншоты, акты. Отчет направляется в то же подразделение, которое вынесло предписание.

• Шаг 6. Направьте отчет в срок. Соблюдайте срок, указанный в предписании. Обычно это 10–30 дней. Если не успеваете, лучше запросить продление, чем сорвать срок.

• Шаг 7. Проверьте, что нарушение устранено. Убедитесь, что все требования выполнены полностью. Если что-то упущено, Роскомнадзор может назначить повторную проверку.

Игнорирование предписания — это отдельное нарушение по статье 19.5 КоАП. Штраф для ИП — до 2 000 рублей, для юрлиц — до 20 000 рублей.

Сведения устаревают вместе с бизнесом, и за этим нужно следить. Их нужно проверять в ряде случаев. 

• После любых изменений. Новый сотрудник, новая CRM, запуск сайта с формой, смена адреса — каждый такой факт должен отражаться в уведомлении. Проверяйте реестр сразу после того, как процесс изменился.

• Раз в квартал для активного бизнеса. Если компания регулярно запускает новые сервисы, меняет подрядчиков или расширяет штат, самопроверка нужна чаще. Это занимает несколько минут: ввести ИНН, открыть карточку, сверить данные.

• Раз в год для стабильных процессов. Если ничего не меняется, достаточно ежегодной проверки. Но даже в стабильном бизнесе появляются новые сотрудники или обновляются программы — не игнорируйте эти изменения.

• Перед проверками и сделками. Перед визитом Роскомнадзора, перед сделкой с контрагентом или при участии в тендере проверьте реестр заранее. Это убережет от неприятных сюрпризов.

Регулярная самопроверка выявляет расхождения до того, как их заметит ведомство.

Проверьте, соответствует ли работа с ПДн требованиям

Проведем аудит: сверим сведения в реестре Роскомнадзора с фактическими процессами, проверим документы, сайт, согласия, порядок хранения и передачи данных. По итогам определим нарушения и составим перечень того, что необходимо исправить

Провести аудит ПДн

Вокруг реестра много мифов, из-за которых бизнес ошибается. Разберем каждый простыми словами.

Это не так. Закон не делит операторов на больших и маленьких. Если вы — ИП с одним сайтом, где есть форма обратной связи, вы уже оператор и обязаны состоять в реестре. Если вы — самозанятый, который собирает телефоны клиентов через мессенджер, вы тоже оператор. Масштаб бизнеса не имеет значения: важна сама обработка данных.

Подать уведомление — только первый шаг. Дальше начинается постоянная работа. Вы обязаны отвечать на запросы людей, чьи данные обрабатываете, — в течение 10 рабочих дней. Если случилась утечка, сообщить в Роскомнадзор за 24 часа. Если изменились процессы — актуализировать сведения в реестре. Регистрация не освобождает от этих обязанностей, а, наоборот, фиксирует их за вами.

Никакого свидетельства не существует. После подачи уведомления вы просто появляетесь в открытом реестре на сайте Роскомнадзора. Любой может ввести ваш ИНН и увидеть запись. Подтверждением регистрации служит сама запись, а не бумажный документ.

Устаревшие сведения — такое же нарушение, как и отсутствие уведомления. Если вы переехали, сменили ответственного или начали обрабатывать новые данные, а в реестре все по-старому, проверяющий зафиксирует расхождение. Изменения вносятся не позднее 15-го числа месяца, следующего за месяцем, когда они произошли.

Это правда только при полном отсутствии автоматизации: данные записываются исключительно в бумажные журналы, не попадают в компьютер, смартфон или облако. Но как только вы переносите те же данные в Excel, заносите в CRM или отправляете по электронной почте, обработка становится автоматизированной — и обязанность подать уведомление возникает.

• Назначен ответственный за обработку.

• Разработана и утверждена политика.

• Подготовлены формы согласий.

• Данные сверены с ЕГРЮЛ или ЕГРИП.

• Цели обработки соответствуют категориям данных.

• Указаны только реально обрабатываемые сведения.

• Меры безопасности описаны честно.

• Документ подписан уполномоченным лицом.

• Сохранен номер заявки после отправки.

Подать заявление в Роскомнадзор — это первый шаг. За ним следует постоянная работа по поддержанию системы в актуальном состоянии. Чем раньше выстроены процессы, тем ниже риски.

Приведите работу с персональными данными в соответствие с требованиями

Не уверены, что одного уведомления в Роскомнадзор достаточно? Проверим, как в компании организована обработка ПДн, подготовим необходимые документы, поможем зарегистрироваться или актуализировать сведения в реестре и устранить нарушения

Привести в порядок

Да. Для этого нужна подтвержденная учетная запись. Если действуете от имени организации, ваш аккаунт должен быть привязан к профилю компании на портале.

Образцы есть на официальном сайте ведомства, но использовать их нужно с осторожностью: чужие цели и категории данных не совпадут с вашими процессами. Лучше заполнять форму на основе собственного аудита.

Соберите данные до начала работы с формой: реквизиты, цели, категории субъектов и данных, правовые основания, меры защиты. Сверьте все с ЕГРЮЛ или ЕГРИП и внутренними документами. Не отмечайте лишнего.

Это внесение в реестр операторов ПДн. Свидетельство не выдается — подтверждением служит сама запись в открытом реестре.

Да, если ИП обрабатывает персданные: ведет кадровый учет, собирает контакты клиентов через сайт или CRM. Исключение — обработка только на бумаге.

Да, любая организация с сотрудниками или клиентской базой обязана подать уведомление. Даже если обработка минимальна, но автоматизирована, обязанность возникает.

Да, если самозанятый собирает данные клиентов через сайт, приложение или мессенджер. Если работа ведется только на бумаге, уведомление не требуется.

Важно! Мы разработали сервис «Мобиз» для бесплатной проверки контрагентов!

• Выгружайте отчеты.

• Добавляйте списки контрагентов.

• Проявляйте должную осмотрительность.

• Эти и другие возможности Мобиз доступны бесплатно!

Попробовать бесплатно

Реклама: АО «Консалтинг онлайн», ИНН: 2310203967, erid: 2W5zFGGamLD