Новые штрафы Роскомнадзора с 2025 года: кто обязан подать уведомление об обработке персональных данных и как избежать 300 000 рублей потерь

Если раньше многие бизнесы игнорировали эту формальность, то теперь за несоблюдение требований грозят серьезные санкции — для компаний штрафы достигают 300 тыс. руб., а для должностных лиц — до 50 тыс. руб. Роскомнадзор усилил надзор за этой сферой: в 2025 году ведомство активно проводит проверки и массово рассылает предписания нарушителям. В результате российский бизнес начал массово отправлять в Роскомнадзор уведомления об обработке персональных данных, стараясь успеть до штрафов.

Расскажем, кого касается обязанность уведомлять Роскомнадзор, что грозит за неподачу, как правильно подать уведомление и что делать, если вы опоздали с этой обязанностью.

Уведомление об обработке персональных данных должны подать практически все организации, ИП и самозанятые, которые работают с персональными данными клиентов, сотрудников или других физических лиц. Проще говоря, любой бизнес, так или иначе собирающий или используемый сведения о человеке (ФИО, телефон, email, адрес, паспортные данные и т. д.), обязан зарегистрироваться в Роскомнадзоре в качестве оператора персональных данных. Вот основные случаи, в которых подача уведомления обязательна:

• Сбор данных от клиентов или пользователей. Если вы собираете данные через анкеты, формы обратной связи на сайте, принимаете подписки на рассылку, регистрируете участников мероприятий или ведете запись клиентов — все это делает вашу компанию оператором персональных данных. Например, интернет-магазины, сервисы онлайн-записи, мобильные приложения, корпоративные сайты с формой связи — все они фиксируют имена, телефоны, email или другие сведения о пользователях и должны подать уведомление.

• Учет сотрудников и HR-процессы. Любой работодатель обрабатывает персональные данные работников (анкеты, приказы, личные дела, копии документов). Даже если в компании работает только один генеральный директор (без других сотрудников), обязанность уведомить Роскомнадзор всё равно сохраняется. Наличие даже одной персональной анкеты сотрудника на компьютере уже формально требует регистрации.

• Использование сторонних сервисов для обработки данных. Если вы передаете персональные данные третьим лицам — например, пользуетесь услугами колл-центра для обзвона клиентов, передаете сведения о заказах курьерской службе для доставки, либо привлекаете бухгалтерию на аутсорсе — уведомление подают все стороны. И ваша компания, и подрядчики по обработке данных выступают операторами ПДн и должны зарегистрироваться.

• Обработка чувствительных категорий данных. Если деятельность связана с особыми данными — информацией о здоровье клиентов (например, медицинские услуги, фитнес), биометрией, сведениями о политических взглядах, религиозных убеждениях, национальности и т. п. — требования закона еще строже. Такие операторы обязательно должны уведомляться Роскомнадзор, иначе штрафы могут быть максимально высокими.

Обратите внимание: исключения из обязанности уведомлять прописаны в ч. 2 ст. 22 закона № 152-ФЗ, но на практике они касаются редких случаев. Уведомление можно не подавать только если вы обрабатываете данные полностью без автоматизации (т.е. исключительно вручную, на бумаге) или являетесь госорганом в рамках специальных государственных информационных систем. Однако в современном бизнесе практически всегда используются компьютеры или смартфоны. Например, самозанятый парикмахер, который хранит телефонные номера и имена клиентов у себя в телефоне, уже считается оператором ПДн и должен уведомить Роскомнадзор. Таким образом, почти любой предприниматель или организация, ведущие дела в 2026 году, подпадают под обязанность «Роскомнадзор уведомление об обработке персональных данных» и должны заранее позаботиться о регистрации.

Игнорирование обязанности уведомить Роскомнадзор чревато серьезными последствиями — как финансовыми, так и репутационными. Рассмотрим основные риски:

• Административные штрафы. Отсутствие уведомления официально считается административным правонарушением (ст.13.11 КоАП). Размер штрафа зависит от статуса нарушителя. Для индивидуальных предпринимателей он может достигать 50 000 руб., для организаций — до 300 000 руб.. Физических лиц (например, самозанятых без статуса ИП) могут оштрафовать на 5–10 тыс. руб., а должностных лиц компании — на 30–50 тыс. руб.. В 2025 году штрафы были увеличены в разы, поэтому цена бездействия существенно возросла.

• Проверки и предписания Роскомнадзора. Ведомство вправе провести проверку вашей компании, если заподозрит отсутствие уведомления или получит жалобу от граждан. Проверки могут быть как плановыми, так и внезапными. Если в ходе инспекции выяснится, что вы не зарегистрированы в реестре операторов, Роскомнадзор выдаст предписание — официальное требование устранить нарушение в определенный срок. Предписание обяжет подать уведомление и, возможно, исправить связанные недостатки. Невыполнение предписания грозит отдельной ответственностью и дополнительными штрафами, сверх штрафа за сам факт отсутствия уведомления. В 2025 году, по сообщениям бизнеса, Роскомнадзор активно использует этот инструмент и рассылает предписания компаниям, которые до сих пор не подали сведения.

• Риск блокировки сайта или сервиса. Если ваша деятельность связана с работой сайта, мобильного приложения или онлайн-сервиса, Роскомнадзор может приостановить к нему доступ при серьезных нарушениях. Проще говоря, в экстремальных случаях ваш сайт могут заблокировать, особенно если вы собираете персональные данные незаконно или игнорируете требования регулятора. Для бизнеса это означает потерю клиентов и доходов до устранения нарушений.

• Репутационные потери. Вопросы персональных данных — на особом контроле общества и государства. Все больше клиентов и партнеров обращают внимание, соблюдает ли компания закон о ПДн. Информация о том, зарегистрирована ли организация в реестре операторов, находится в открытом доступе. Если вашей записи там нет, это может вызвать недоверие у контрагентов. Государственные заказчики уже нередко требуют при закупках, чтобы подрядчик состоял в реестре Роскомнадзора, и могут не допустить к тендеру компанию, которая не выполнила эту обязанность. Таким образом, отсутствие уведомления — это не только юридическое нарушение, но и сигнал потенциальным клиентам о несерьезном отношении к законам, что может стоить вам упущенных возможностей.

Важно понимать, что цель государства — не собрать штрафы, а побудить бизнес соблюдать правила. Поэтому неподачу уведомления еще можно исправить без критических потерь, если действовать оперативно. Далее разберем, как правильно подать уведомление в Роскомнадзор и избежать ошибок.

Процедура уведомления Роскомнадзора об обработке персональных данных в 2026 году достаточно понятна и не требует личных визитов в ведомство. Подать уведомление можно тремя способами:

1. Через официальный портал Роскомнадзора (бумажный вариант). Зайдите на специализированный портал персональных данных Роскомнадзора и заполните форму уведомления в электронном виде. В конце у вас будет возможность скачать готовое уведомление в формате PDF. Распечатайте его на фирменном бланке организации, подпишите у руководителя и отправьте почтой в территориальное управление Роскомнадзора по месту регистрации компании. Датой подачи в этом случае будет дата получения письма ведомством, после чего начнется рассмотрение.

2. Через портал Роскомнадзора (электронно с ЭЦП). Это более быстрый способ. На том же сайте Роскомнадзора заполните форму уведомления и подпишите ее усиленной квалифицированной электронной подписью (УКЭП) вашего предприятия. Электронная подпись руководителя или уполномоченного лица необходима, чтобы отправить форму онлайн. Если уведомление подает сотрудник по доверенности, к форме прикрепляют файл доверенности с ЭЦП. Отправленное таким образом уведомление поступает напрямую в Роскомнадзор в электронном виде. Срок рассмотрения составляет до 30 дней с момента отправки. Результат — включение вашей организации в реестр операторов.

3. Через портал «Госуслуги». В разделе для бизнеса на Едином портале госуслуг также реализована возможность уведомить Роскомнадзор. Для этого у организации должна быть подтвержденная учетная запись на Госуслугах, а у отправителя — доступ к ней (как руководителя или доверенного сотрудника). Процесс заполнения аналогичен: вы заполняете интерактивную форму и отправляете онлайн. Этот способ удобен тем, кто активно пользуется Госуслугами.

Важно: ведомство не рассылает подтверждений о регистрации. Чтобы убедиться, что все прошло успешно, рекомендуется спустя месяц зайти в реестр операторов ПДн и найти свою организацию по названию или ИНН. Если запись найдена — вы официально зарегистрированы. Если нет — стоит уточнить статус уведомления или повторно отправить данные.

Советы при заполнении уведомления: форма уведомления включает сведения о вашей организации (ИНН, ОГРН, адрес), цели и правовые основания обработки данных, категории данных и субъектов, меры безопасности и пр. К счастью, электронная форма снабжена подсказками и выпадающими списками, что минимизирует риск ошибок. Внимательно перечислите все категории персональных данных (например: ФИО, телефоны, emails клиентов и сотрудников) и цели их обработки (оказание услуг, учет кадров, исполнение договоров и т.д.), которые у вас есть сейчас или планируются. Если в будущем вы расширите перечень данных или целей, нужно будет подать дополнительное уведомление об изменении сведений. Также не забудьте указать, передаете ли вы данные за границу — например, пользуетесь ли зарубежными сервисами хранения данных, рассылок или аналитики. Этот пункт стал важен после изменений 2025 года, касающихся трансграничной передачи данных.

Подав уведомление, вы выполните лишь первый шаг в соблюдении закона о персональных данных. Далее на компании лежит обязанность соблюдать все требования 152-ФЗ: получать согласия от клиентов, хранить данные в России, обеспечивать их защиту, иметь необходимые политики и приказы. Но регистрация в Роскомнадзоре — отправная точка, без которой остальное теряет смысл. Ниже рассмотрим типичные ошибки, допускаемые при уведомлении, и как их избежать.

Процесс уведомления относительно несложен, однако бизнесы нередко совершают ошибки из-за невнимательности или незнания нюансов. Вот самые распространенные ошибки и рекомендации, как их предотвратить:

• Подача уведомления после начала обработки данных. Одна из ключевых поправок 2025 года требует уведомлять Роскомнадзор до того, как вы начнете обрабатывать персональные данные. Раньше компании часто отправляли уведомление «задним числом», уже имея базы данных. Теперь за это могут оштрафовать так же, как и за полное отсутствие уведомления.

Как избежать: планируйте подачу уведомления заранее. Если вы только запускаете бизнес или новый проект — отправьте форму до сбора первых данных от пользователей. Действующим компаниям, которые еще не уведомились, следует сделать это немедленно, не дожидаясь запроса от надзора.

• Неполное указание целей или категорий данных. В уведомлении нужно перечислить все цели обработки (например: ведение бухгалтерии и кадрового учета, оказание услуг клиентам, рекламные рассылки) и все категории персональных данных, которые вы собираете (контактные данные клиентов, сведения о сотрудниках и т.п.). Ошибка многих заявителей — указать что-то одно (скажем, только работу с клиентами) и упустить другие процессы.

Как избежать: перед заполнением проведите внутренний аудит — какие данные о физических лицах у вас есть и для чего они используются. Включите все актуальные цели и категории в уведомление, чтобы оно отражало реальную картину. Это избавит от претензий в случае проверки.

• Пропуск обновлений при изменениях. Жизнь бизнеса не стоит на месте: могут поменяться адрес или название компании, ответственный за работу с ПДн сотрудник, добавиться новые категории данных (например, вы начали собирать еще и копии паспортов помимо телефонов). Закон требует сообщать Роскомнадзору об изменении сведений, указанных в первоначальном уведомлении. Например, если вы назначили нового ответственного — уведомите об этом до 15 числа месяца, следующего за месяцем изменения. Если прекратили работу с персональными данными — подайте уведомление о прекращении обработки в течение 10 рабочих дней.

Как избежать: ведите журнал изменений. Как только у вас произошли изменения, связанные с персонданными, заполните корректирующее уведомление через сайт Роскомнадзора (или отправьте письмо). Это достаточно быстро и убережет от штрафа за недостоверные данные.

• Отсутствие необходимых документов по ПДн. Некоторые считают, что достаточно один раз отправить уведомление — и на этом обязанности заканчиваются. На самом деле Роскомнадзор при проверке запрашивает пакет локальных нормативных актов по защите персональных данных. К ним относятся: политика компании в отношении обработки ПДн, согласия субъектов на обработку данных, приказ о назначении ответственного лица, перечень мер защиты, журнал учета обращений и прочее.

Как избежать: заблаговременно разработайте весь необходимый комплект документов. Это не только требование закона, но и ваша защита: наличие документов и соблюдение процедур смягчает ответственность при возможных инцидентах. На Клерке и других ресурсах доступны образцы и чек-листы, помогающие оформить все правильно.

Отдельно отметим: распространенная ошибка — не разместить на сайте Политику обработки персональных данных. Если вы собираете данные через веб-сайт, по закону у вас должна быть страница с Политикой конфиденциальности (обычно ссылку размещают внизу сайта). Также должен быть баннер или уведомление о использовании cookie (файлов, собирающих данные пользователей) с возможностью отказаться. Штраф за отсутствие Политики или необходимых предупреждений на сайте может составлять до 60 тыс. руб, даже если уведомление в Роскомнадзор вы подали. Поэтому приведите в порядок и публичные аспекты работы с данными — это часто проверяется.

Ситуация, когда компания уже начала работать с персональными данными, но еще не уведомила Роскомнадзор, сейчас весьма распространена. Если вы узнали о новом требовании поздно или откладывали «на потом» — не паникуйте. Закон не ставит крест на опоздавших, давая возможность исправиться. Вот план действий, который поможет минимизировать последствия:

1. Срочно подайте уведомление. Не ждите специального сигнала или проверки — отправьте уведомление как можно скорее. В идеале — немедленно, как только осознали пропуск. Роскомнадзор официально заявляет, что его основная цель — не наказать всех рублем, а «вывести из тени» операторов персональных данных. В первые месяцы после 30 мая 2025 многие компании массово подают уведомления, из-за чего на сайте РКН даже наблюдаются перегрузки. Если вы отправите данные добровольно, велика вероятность отделаться минимальными мерами. Согласно ч.1 ст.4.1.1 КоАП, за первичное нарушение для малого бизнеса возможно объявление предупреждения вместо штрафа. То есть, если вы раньше не привлекались к ответственности, Роскомнадзор может ограничиться требованием устранить нарушение. Но это возможно, только если вы сами проявили инициативу. Если же продолжать тянуть, рано или поздно нарушение обнаружат, и тогда штраф по ч.10 ст.13.11 КоАП — до 300 тыс. руб. для организаций — станет неизбежным.

2. Не скрывайте нарушение при общении с проверяющими. Если все же пришел запрос из Роскомнадзора или (что хуже) началась проверка до того, как вы успели уведомиться, выберите правильную линию поведения. Не пытайтесь отрицать проблему или «прятать концы». Лучшее решение — сразу признать, что уведомление не было подано вовремя, и тут же проинформировать, что вы уже подали документы или подадите их в ближайшее время. В ответ на официальный запрос можно направить письмо, пояснив ситуацию и приложив копию поданного уведомления. Такая открытость сыграет в вашу пользу: надзорный орган при наложении штрафа учитывает добровольное устранение нарушения и степень вины. Если вы продемонстрировали готовность исправиться и не намерены скрываться, наказание может быть мягче. На практике компаниям, которые быстро «сдаются» и выполняют требования, Роскомнадзор нередко назначает минимум штрафа или ограничивается предупреждением.

3. Наведите порядок в документации. Пока ваши документы на регистрацию рассматриваются (или сразу после отправки уведомления), воспользуйтесь временем, чтобы подтянуть внутренние правила работы с персонданными. Подготовьте и утвердите необходимые локальные нормативные акты: Политику обработки ПДн, Приказ о назначении ответственного, форму cогласия на обработку персональных данных, Журнал обращений субъектов и другие регламенты, которые требуются по закону. Полный перечень зависит от специфики вашего бизнеса, но в целом нужно закрыть все ключевые моменты хранения и защиты данных. Эта проактивная мера продемонстрирует Роскомнадзору вашу добросовестность. Если дело дойдет до проверки, наличие всех документов и выполненных требований может смягчить санкции. Даже если вы формально нарушили срок уведомления, но при этом уже приняли меры к исправлению и обеспечили соблюдение прочих норм, это будет учтено как смягчающее обстоятельство.

4. Проверьте сайт и точки сбора данных. Как отмечалось выше, убедитесь, что на вашем веб-сайте или в мобильном приложении выполнены все новые требования: есть уведомление о cookie, опубликована актуальная политика конфиденциальности, указаны реквизиты компании. Ведь если проблема «всплыла» из-за жалобы пользователя или мониторинга интернета, скорее всего, проверяющие будут смотреть и на сайт тоже. Пропущенное уведомление — хороший повод провести аудит всех процессов работы с персональными данными в вашей фирме: от анкет на ресепшене до защиты клиентской базы. Исправьте выявленные недочеты, чтобы в будущем избежать новых штрафов.

Важно: даже если вы нарушили срок подачи уведомления, это не приговор. Закон допускает, что оператор может уведомиться с опозданием. Если вы уже сделали все, что требуется, и можете доказать свою благонадежность, Роскомнадзор вероятно ограничится минимальными санкциями. Ваша задача — показать, что нарушение было не умышленным, вы быстро все исправили и теперь полностью соблюдаете нормы. Многие компании прошли через это в 2025 году, и в итоге избежали крупного штрафа, вовремя устранив проблему. Так что действуйте решительно и не откладывайте.

Разобраться во всех нюансах законодательства о персональных данных непросто, особенно владельцам малого бизнеса, у которых нет штатного юриста по этому направлению. Если у вас остались вопросы или вы чувствуете неуверенность, обратитесь за профессиональной помощью. Существует ряд компаний и сервисов, специализирующихся на сопровождении бизнеса в сфере 152-ФЗ. Например, компания «Роском 24» помогает предпринимателям и организациям подготовить полный пакет документов по персональным данным и подать уведомление в Роскомнадзор по всем правилам. Эксперты проверят ваш сайт на нарушения, проведут аудит процессов, подскажут, какие данные нужно внести в уведомление. Также они могут сопровождать вас при проверках: подготовить ответы на предписания Роскомнадзора, минимизировать юридические риски.

Требование подать в Роскомнадзор уведомление об обработке персональных данных в 2025 году — это новая реальность, которую бизнесу нельзя игнорировать. Государство явно дало понять, что намерено навести порядок в сфере персональных данных, и малыми компаниями займутся так же плотно, как и корпорациями.

Чтобы избежать штрафов и не попасть под блокировку, важно своевременно выполнить все требования: зарегистрироваться в реестре операторов, соблюдать обновленные правила по хранению и защите информации, обеспечить прозрачность для клиентов. Если вы еще не отправили уведомление — сделайте это прямо сейчас.

Для читателей нашего блога мы подготовили чек-лист по новым правилам и бесплатную консультацию эксперта. Вы можете прямо сегодня получить эти материалы и советы — просто оставьте заявку на сайте Роском 24. Ваша проактивность сегодня — залог того, что завтра к вам не нагрянет проверка с неприятными сюрпризами. Бережно относитесь к персональным данным и своему бизнесу, а о сложностях процедуры мы поможем позаботиться!

Реклама: ООО «ОНЛАЙН УСЛУГИ 24», ИНН 7751227590, erid: 2W5zFHVaPzQ