Если компания или ИП обрабатывает персональные данные, в большинстве случаев нужно подать уведомление в Роскомнадзор и попасть в реестр операторов персональных данных. С 1 сентября 2022 года обязанность уведомлять Роскомнадзор действует практически для любой обработки персональных данных, за ограниченными исключениями.
Если не хочется разбираться в форме самостоятельно, можно обратиться в Роском 24 — сервис для операторов персональных данных, где помогают подать уведомление в Роскомнадзор, подготовить документы по 152-ФЗ и проверить сайт на основные риски.
Что такое уведомление Роскомнадзора
Уведомление Роскомнадзора об обработке персональных данных — это сообщение государственному органу о том, что компания или ИП планирует обрабатывать либо уже обрабатывает персональные данные.
После подачи уведомления сведения об операторе включаются в реестр операторов персональных данных. В уведомлении указывают не конкретных людей, а общие сведения о процессах обработки: цели, категории данных, категории субъектов, правовые основания, меры защиты, дату начала обработки, сведения о трансграничной передаче и другие данные. Закон прямо перечисляет сведения, которые должны быть в уведомлении.
Проще говоря, Роскомнадзор должен понимать: кто обрабатывает персональные данные, зачем, какие именно данные, чьи данные, на каком основании и как оператор обеспечивает их защиту.
Кому нужно подать уведомление в Роскомнадзор
Уведомление обычно нужно подать, если бизнес собирает или использует персональные данные физических лиц. Например:
интернет-магазин принимает заказы, телефоны, адреса доставки;
сайт собирает заявки через формы обратной связи;
онлайн-школа регистрирует учеников и принимает оплату;
медицинская организация ведет запись пациентов;
работодатель хранит данные сотрудников и соискателей;
сервис оформляет личные кабинеты пользователей;
компания работает с представителями контрагентов и клиентами-физлицами.
Даже если бизнес работает в B2B, персональные данные все равно могут быть: ФИО, телефон и e-mail менеджера клиента, данные подписанта договора, контакты представителя поставщика.
Частая ошибка — считать, что уведомление не нужно, если на сайте есть только форма «Оставьте телефон». Но имя, телефон, e-mail, мессенджер, IP-адрес, cookie-идентификаторы и данные из CRM могут относиться к персональным данным, если позволяют прямо или косвенно определить человека.
Когда уведомление может не потребоваться
Исключения есть, но их немного. По актуальной позиции Роскомнадзора операторы должны уведомлять о начале или осуществлении любой обработки персональных данных, кроме случаев, предусмотренных ч. 2 ст. 22 закона № 152-ФЗ: например, когда данные обрабатываются исключительно без средств автоматизации, либо в отдельных случаях, связанных с безопасностью государства, общественным порядком и транспортной безопасностью.
Для обычного бизнеса это означает простую вещь: если есть сайт, CRM, электронная почта, таблицы, сервис рассылок, онлайн-запись, касса, личный кабинет или база клиентов, рассчитывать на исключение рискованно.
Перед выводом «нам уведомление не нужно» лучше проверить реальные процессы компании. В таких случаях предприниматели часто обращаются в Роском 24, где помогают определить, нужно ли подавать уведомление, и подбирают пакет услуг под ситуацию.
Что нужно подготовить перед подачей уведомления
Форма уведомления выглядит простой только на первый взгляд. Ошибки часто появляются не из-за сложности интерфейса, а из-за того, что бизнес заранее не описал свои процессы обработки персональных данных.
Перед подачей нужно понять:
какие персональные данные собираются;
чьи данные обрабатываются: клиенты, сотрудники, посетители сайта, соискатели, ученики, пациенты;
для каких целей используются данные;
на каком правовом основании идет обработка;
какие действия совершаются с данными: сбор, хранение, использование, передача, удаление;
используются ли подрядчики: CRM, хостинг, сервисы рассылок, коллтрекинг, онлайн-кассы;
есть ли трансграничная передача данных;
где находятся базы данных с персональными данными граждан РФ;
кто отвечает за организацию обработки персональных данных.
На портале Роскомнадзора в форме уведомления действительно запрашиваются категории субъектов, правовые основания, перечень действий с персональными данными, способы обработки, меры защиты и сведения об ответственном лице.
Основные ошибки при самостоятельной подаче
Ошибка 1. Указать слишком общие цели обработки
Например: «ведение деятельности компании». Такая формулировка не объясняет, зачем именно обрабатываются данные. Цели лучше связывать с реальными процессами: обработка заявок, заключение и исполнение договоров, доставка товаров, оказание услуг, ведение кадрового учета, обратная связь с клиентами.
Ошибка 2. Забыть про сайт
Если на сайте есть формы заявок, подписка, онлайн-запись, квиз, чат, виджет обратного звонка или личный кабинет, это нужно учитывать. Само уведомление в Роскомнадзор не заменяет документы на сайте.
Обычно дополнительно нужны политика обработки персональных данных, корректные согласия, чекбоксы, ссылки под формами и понятные тексты рядом с кнопками отправки.
Ошибка 3. Использовать шаблон документов без привязки к бизнесу
Скачанная политика или согласие могут не совпадать с реальными процессами компании. Например, в документах указаны одни цели, в уведомлении — другие, а на сайте фактически собираются еще иные данные.
При проверке такие расхождения выглядят хуже, чем отсутствие красивого юридического текста. Документы по 152-ФЗ должны описывать реальность, а не абстрактную модель «как у всех».
Ошибка 4. Не обновлять сведения
Если сведения изменились, оператор обязан уведомить Роскомнадзор об изменениях не позднее 15 числа месяца, следующего за месяцем, в котором они возникли. При прекращении обработки персональных данных уведомление подается в течение 10 рабочих дней.
Например, компания добавила новый сайт, изменила цели обработки, подключила новый сервис, начала трансграничную передачу или сменила ответственное лицо. Это повод проверить, нужно ли обновлять сведения в реестре.
Как подать уведомление в Роскомнадзор в 2026 году
На портале персональных данных Роскомнадзора уведомление можно сформировать и направить несколькими способами: в бумажном виде, в электронном виде с усиленной квалифицированной электронной подписью или через средства аутентификации ЕСИА.
После подачи Роскомнадзор вносит сведения в реестр операторов в течение 30 дней с даты поступления уведомления. При этом рассмотрение уведомления и внесение сведений в реестр не должны создавать для оператора дополнительных расходов со стороны уполномоченного органа.
Но важно понимать: подача уведомления — это только часть работы. Она не отменяет обязанности подготовить документы по 152-ФЗ, привести сайт в порядок и организовать обработку персональных данных внутри компании.
Какие риски есть, если не подать уведомление
За невыполнение или несвоевременное выполнение обязанности уведомить Роскомнадзор о намерении обрабатывать персональные данные предусмотрена административная ответственность. Для юридических лиц штраф составляет от 100 000 до 300 000 рублей. Индивидуальные предприниматели по ряду составов ст. 13.11 КоАП несут ответственность как юридические лица.
Но штраф — не единственный риск. Проблема может всплыть после жалобы клиента, конфликта с сотрудником, запроса Роскомнадзора, утечки данных или проверки сайта. В такой ситуации обычно проверяют не только факт регистрации в реестре операторов, но и документы, согласия, политику, формы заявок и внутренний порядок работы с персональными данными.
Что проверить на сайте
Если бизнес собирает заявки через сайт, стоит отдельно проверить:
есть ли политика обработки персональных данных;
открывается ли ссылка на политику под каждой формой;
есть ли согласие на обработку персональных данных;
не стоит ли чекбокс согласия заранее;
понятно ли, на что именно соглашается пользователь;
учитываются ли формы обратной связи, заказа, регистрации, оплаты, подписки и онлайн-записи;
совпадают ли документы сайта с уведомлением в Роскомнадзор.
Если есть сомнения, можно получить консультацию в Роском 24: специалисты помогут оценить, что уже сделано правильно, а какие нарушения лучше исправить в первую очередь.
Минимальный маршрут для бизнеса
Чтобы снизить риски, бизнесу стоит действовать не хаотично, а по шагам.
Определить, какие персональные данные обрабатываются.
Проверить, нужно ли подавать уведомление в Роскомнадзор.
Подготовить сведения для формы уведомления.
Подать уведомление и проверить включение в реестр операторов.
Подготовить пакет документов по 152-ФЗ.
Проверить сайт, формы заявок, чекбоксы и согласия.
Назначить ответственного и поддерживать сведения в актуальном состоянии.
Для большинства компаний оптимальный подход — не просто «заполнить форму», а привести в соответствие всю систему: уведомление, документы, сайт и реальные процессы обработки данных.
Когда лучше не делать самостоятельно
Самостоятельная подача уведомления возможна. Но если у компании несколько сайтов, разные категории клиентов, сотрудники, подрядчики, CRM, рассылки, онлайн-оплата, медицинские или образовательные данные, лучше не ограничиваться шаблоном.
В таких случаях предприниматели часто обращаются в Роском 24, где помогают зарегистрироваться в Роскомнадзоре как оператору персональных данных, подготовить пакет документов по 152-ФЗ, провести аудит сайта и разобраться с рисками при запросах, предписаниях и проверках.
Можно начать с простого шага — рассчитать стоимость подготовки уведомления, документов по 152-ФЗ и проверки сайта под реальные процессы компании.
Главное
Уведомление Роскомнадзора об обработке персональных данных — это не формальность «для галочки». Для бизнеса это точка входа в систему требований 152-ФЗ.
Если компания собирает заявки, ведет клиентскую базу, оформляет сотрудников, принимает заказы через сайт или использует CRM, почти наверняка нужно проверить обязанность по уведомлению. А вместе с ней — документы, согласия, политику на сайте и порядок работы с персональными данными.
Чем раньше бизнес приведет эти элементы в порядок, тем ниже риск штрафов, претензий, запросов и срочных исправлений в момент проверки.
Реклама: ООО "ОНЛАЙН УСЛУГИ 24", ИНН 7751227590, erid: 2W5zFJGdZnZ
Начать дискуссию