Уведомление в Роскомнадзор об обработке персональных данных — не «бумажка для галочки», а юридическая точка входа в реестр операторов. Ошибка в уведомлении чаще оборачивается не штрафом «сразу», а возвратами, перепиской, потерей времени и повышенными рисками при жалобах или проверках.
Ниже — практический разбор: кто обязан подавать уведомление в Роскомнадзор в 2026 году, когда уведомление можно не подавать, как заполнить уведомление в Роскомнадзор и что делать после отправки (включая изменения и прекращение обработки).
Что такое уведомление Роскомнадзора и зачем оно нужно бизнесу в 2026 году
Уведомление об обработке (о намерении осуществлять обработку) персональных данных — это сообщение оператора уполномоченному органу о том, что он планирует обрабатывать персональные данные, с указанием ключевых сведений: целей, категорий данных и субъектов, правового основания, способов обработки, мер защиты и ряда иных параметров. Закон прямо требует подать такое уведомление до начала обработки, если вы не подпадаете под исключения.
По сути это и есть «регистрация оператора персональных данных в Роскомнадзоре» в привычном бизнес-языке: после поступления уведомления сведения вносятся в реестр операторов, а реестр является общедоступным (за небольшим исключением по сведениям о средствах безопасности).
Важно понимать два практических нюанса. Во‑первых, по закону уведомление можно подать на бумаге или в электронном виде, но оно все равно должно быть подписано уполномоченным лицом. Во‑вторых, сам портал предупреждает: сведения об ответственном за организацию обработки персональных данных из уведомления считаются общедоступными — выбирайте контактные данные осознанно.
Кто обязан подавать уведомление в 2026 году
С точки зрения 152‑ФЗ оператор — это не только юрлицо, но и физлицо, которое организует/осуществляет обработку и определяет ее цели и состав данных. А «обработка» — это любое действие с персональными данными (сбор, хранение, использование, передача, удаление и т. д.), как с автоматизацией, так и без нее.
Если говорить прикладно для бизнеса: в 2026 году уведомление оператора персональных данных нужно почти всем, кто работает «в цифре». Особенно если вы используете сайт, формы, CRM, телефонию, мессенджеры, рассылки, кадровые сервисы — это почти всегда обработка с использованием средств вычислительной техники, то есть автоматизированная обработка.
Отсюда ответы на частые вопросы в лоб:
Нужно ли подавать уведомление ИП? Да, если ИП обрабатывает персональные данные (клиенты, заявки, сотрудники, подрядчики и т. д.). Достаточно того, что вы как ИП организуете обработку и определяете ее цели.
Нужно ли подавать уведомление ООО? Да — по той же логике.
Самозанятый: формально это также физлицо, а закон распространяется на обработку персональных данных юрлицами и физлицами (кроме обработки исключительно для личных/семейных нужд). Если вы собираете данные клиентов для деятельности, это не «личные нужды».
Работодатель: обработка данных работников и соискателей — это обработка персональных данных, поэтому уведомление обычно требуется (если вы не подпадаете под исключения, которые после 01.09.2022 стали очень узкими).
Если вы собираете заявки на сайте, ведете клиентскую базу, принимаете резюме или используете CRM, велика вероятность, что уведомление уже требуется. Роском 24 помогает быстро определить обязанность, корректно собрать сведения для формы и подать уведомление без типовых ошибок — особенно когда в компании несколько целей обработки (маркетинг + продажи + HR).
Когда уведомление можно не подавать
С 1 сентября 2022 года в статье 22 152‑ФЗ фактически «срезали» большую часть старых исключений: пункты 1–6 части 2 статьи 22 утратили силу. В актуальной логике закона исключения остались точечными — и для типичного представителя малого и среднего бизнеса они почти никогда не подходят.
На практике уведомление можно не подавать, если вы подпадаете под пп. 7–9 ч. 2 ст. 22:
обработка включенных в государственные ИСПДн, созданные для защиты безопасности государства и общественного порядка;
обработка исключительно без использования средств автоматизации;
обработка в случаях, связанных с законодательством о транспортной безопасности (специальный контур).
Ключевое слово здесь — «исключительно». Закон отдельно определяет автоматизированную обработку как обработку с помощью средств вычислительной техники. Если вы ведете хоть какую-то базу на компьютере/телефоне (Excel, CRM, почта, облако), скорее всего, исключение «только без автоматизации» к вам не применимо.
Нужно ли подавать уведомление, если у вас только сайт, формы, сотрудники, CRM, рассылки
Самый частый самообман бизнеса в 2026 году звучит так: «Мы ничего такого не делаем, просто сайт и заявки». На практике уже этого достаточно: вы собираете контактные данные и дальше храните/используете их для продаж или сопровождения. Это обработка.
Отдельный маркер — веб‑аналитика и маркетинг. В форме уведомления прямо предусмотрены категории персональных данных вроде «сведения, собираемые посредством метрических программ», а в записях реестра встречаются и cookies как часть обрабатываемых данных. Это означает, что регулятор ожидает отражения подобных подсистем в целях/категориях, если вы их реально используете.
Короткие практические ситуации, чтобы соотнести правила со своим бизнесом:
ИП с сайтом и формой заявки. Вы собираете имя/телефон/почту, фиксируете заявки и, как правило, храните их в почте или CRM — уведомление нужно.
ООО, которое принимает резюме. Резюме и анкеты соискателей — персональные данные; хранение и рассмотрение обычно идет в электронном виде — уведомление нужно.
Онлайн‑школа с личным кабинетом. ЛК почти всегда означает смешанную/автоматизированную обработку (учетные записи, оплаты, прогресс, переписка) — уведомление нужно.
Интернет‑магазин с заказами и доставкой. Заказ = ФИО/телефон/адрес, передача в доставку/партнерам, учет оплат — уведомление нужно.
Компания уже обрабатывает данные, но уведомление не подавала. Закон говорит «до начала», а значит, лучше подать сейчас, чтобы закрыть формальный пробел и корректно отразить фактическую обработку.
Как подать уведомление в Роскомнадзор: пошаговая инструкция в 2026 году
Формы уведомлений (первичное, об изменении сведений, о прекращении обработки) утверждены приказом Роскомнадзора № 180, и именно эти формы «зашиты» в портал персональных данных. Поэтому безопаснее заполнять через портал: он ведет по обязательным полям и показывает актуальные блоки.
Портал прямо описывает несколько рабочих сценариев подачи.
Пошагово — без привязки к «юридическому языку», только действия:
1. Соберите исходные данные для формы: цели обработки (продажи/маркетинг/HR/исполнение договоров), категории субъектов (клиенты, работники, соискатели, посетители сайта), категории данных (контакты, реквизиты документов, «метрические данные» и т. п.), правовые основания, срок/условие прекращения обработки, меры защиты и контакты ответственного. Закон требует, чтобы уведомление содержало эти блоки, а также сведения о трансграничной передаче и о месте нахождения базы данных с ПД граждан РФ.
2. Выберите способ подачи:
Через портал без электронной подписи (гибридный вариант). Заполняете форму, отправляете ее в системе, затем распечатываете, подписываете и направляете в территориальный орган по месту регистрации.
Через УКЭП. Заполняете форму, подписываете усиленной квалифицированной подписью и отправляете; бумажная копия не требуется. Портал отдельно предупреждает о необходимости плагина КриптоПро Browser plug‑in.
Через Госуслуги / ЕСИА. Проходите аутентификацию, заполняете форму и направляете ее электронно; бумажная копия не нужна. Нужна подтвержденная учетная запись, а если подаете за организацию — учетная запись должна быть привязана к организации на Госуслугах.
3. Отдельно проверьте блок «Машиночитаемая доверенность» (он появляется в электронных сценариях на портале). Если подписывает не руководитель/лицо без доверенности, понадобится корректная доверенность в машиночитаемом формате — иначе подача «упрется» в полномочия.
4. Сохраните «код» и «ключ» уведомления, если портал их выдает. На портале это прямо указано как полезное для повторного направления/проверок.
Поможем подать уведомление в Роскомнадзор под ключ:
разберем, обязаны ли вы подавать уведомление;
подготовим сведения для формы под ваш бизнес (сайт/CRM/HR/маркетинг);
проверим рисковые формулировки и согласуем цели/основания;
сопроводим подачу и подскажем, что делать после включения в реестр.
Какие поля в уведомлении чаще всего вызывают ошибки
Ошибки обычно появляются не в «шапке» (ИНН/ОГРН), а в смысловых блоках, которые потом «не сходятся» между собой. При этом закон прямо дает Роскомнадзору право запросить уточнение, если сведения неполные или недостоверные, еще до внесения в реестр.
Поля, где бизнес чаще всего «спотыкается»:
Цели обработки: пишут слишком общо («ведение деятельности»), а потом не могут логично подобрать категории данных/правовое основание.
Категории персональных данных: забывают про «метрические данные»/cookies, если на сайте стоят счетчики и пиксели. При этом в форме такие категории предусмотрены.
Категории субъектов: отдельно работники/соискатели/клиенты/посетители сайта — и это тоже есть в форме.
Правовое основание: важно выбрать основание, которое реально соответствует сценарию (например, договор/согласие/обязанность по закону). В форме основания перечисляются как варианты, но ответственность за корректный выбор несет оператор.
Место нахождения базы данных с ПД граждан РФ: это отдельный блок, который нельзя «проскочить», если вы обрабатываете данные граждан РФ.
Ответственный: помните про публичность сведений об ответственном в реестре — лучше указывать рабочие контакты.
На практике бизнес чаще ошибается не в самом факте подачи, а в формулировках целей обработки, перечне категорий данных, основаниях обработки и описании мер защиты. Исправление после запроса уточнений может занять больше времени, чем изначально корректная подача.
Что делать после отправки уведомления
По закону уполномоченный орган в течение 30 дней с даты поступления уведомления вносит сведения в реестр операторов. Это полезный ориентир для ожиданий: «на следующий день» запись может и не появиться.
Проверить, внесли ли оператора в реестр, можно через поиск по реестру операторов: наиболее точный вариант — по ИНН; поиск по названию лучше делать по уникальной части наименования. На странице реестра также фиксируется актуальная статистика по количеству операторов и дата обновления (это удобно, чтобы понимать «свежесть» данных).
Если вы подавали уведомление через портал, предусмотрена и форма проверки состояния уведомления (для электронных подач), где используются реквизиты уведомления.
Как внести изменения в уведомление и когда подается уведомление о прекращении обработки
Если сведения изменились (например, добавили новые цели обработки, сменили ответственного, поменяли инфраструктуру хранения), оператор обязан уведомить об этом в течение 10 рабочих дней с даты изменения. Такой же срок — 10 рабочих дней — установлен и для уведомления о прекращении обработки, если обработка прекращена.
На портале предусмотрены отдельные электронные формы:
Уведомление об изменении сведений, содержащихся в ранее поданном уведомлении.
Уведомление о прекращении обработки персональных данных (заявление об исключении сведений из реестра): форма содержит обязательные поля, включая регистрационный номер записи в реестре и основание прекращения (например, ликвидация, реорганизация, наступление условия прекращения и т. п.).
Отдельно: закон закрепляет, что после поступления уведомления о прекращении обработки уполномоченный орган исключает сведения из реестра в течение 30 дней.
Чем грозит отсутствие уведомления или неверные сведения, и когда выгоднее делегировать подачу
Риски здесь лучше понимать трезво. За неподачу/несвоевременную подачу уведомления и за нарушения обязанности уведомлять об изменениях/прекращении предусмотрена административная ответственность; с 30.05.2025 действует часть 10 статьи 13.11 КоАП с «заметными» штрафами, включая штрафы для юридических лиц в диапазоне до 300 тыс. руб. (по санкции нормы).
Параллельно остается практический риск «организационной нагрузки»: если уведомление составлено неполно или с недостоверными сведениями, у органа есть право запросить уточнение до внесения в реестр, а это затягивает процесс и возвращает вас к сбору данных по целям/основаниям/категориям.
Почему бизнесу часто проще подать уведомление с юристами:
быстрее собрать «карту обработки» (сайт, лидогенерация, CRM, HR, бухгалтерия) и не забыть цели;
согласовать формулировки так, чтобы они были и правдой, и логичными внутри уведомления;
заранее учесть поля, которые любят «ломаться» (ответственный, базы данных граждан РФ, трансграничные сценарии, доверенность).
Не уверены, как заполнить уведомление без ошибок? Получите консультацию и пошаговое сопровождение по подаче уведомления Роскомнадзора для ИП или ООО — без лишней переписки и переделок.
В 2026 году уведомление в Роскомнадзор об обработке персональных данных стало базовой обязанностью почти любого бизнеса, который работает с клиентами/сотрудниками и использует цифровые инструменты. Исключения по статье 22 152‑ФЗ узкие, а подача через официальный портал сводит к минимуму риск «промахнуться» по форме и обязательным блокам.
Планируете подать уведомление сами — или хотите сделать это один раз и без возвратов?
Роском 24 — защита операторов персональных данных
Реклама: ООО «ОНЛАЙН УСЛУГИ 24», ИНН 7751227590, erid: 2W5zFJeJTDB
