Как подать уведомление в Роскомнадзор об обработке персональных данных ООО и ИП в 2026–2027 году

Важно понимать: уведомление в Роскомнадзор — это не просто «поставить галочку» и попасть в реестр операторов персональных данных. Это только один элемент системы работы по 152-ФЗ. Если подать уведомление, но оставить на сайте старую политику, неправильные чекбоксы и шаблонные согласия, риски не исчезают.

Разберем простым языком, кому нужна регистрация в Роскомнадзоре как оператору персональных данных, как ООО и ИП подать уведомление, какие ошибки чаще всего допускают и почему лучше проверять не только форму уведомления, но и весь контур обработки персональных данных.

Уведомление в Роскомнадзор — это сообщение оператора персональных данных о том, что он планирует обрабатывать персональные данные физических лиц. По общему правилу оператор обязан уведомить уполномоченный орган до начала обработки персональных данных, если не применяется исключение из закона. Это следует из статьи 22 закона № 152-ФЗ «О персональных данных». 

Оператором персональных данных может быть не только крупная компания. Закон относит к операторам юридических и физических лиц, которые организуют обработку персональных данных, определяют цели обработки, состав данных и действия с ними. Поэтому под требования 152-ФЗ могут попадать и ООО, и ИП, и онлайн-школа, и интернет-магазин, и медицинский центр, и сервис записи на консультации. 

На практике уведомление в Роскомнадзор часто требуется, если ООО или ИП:

• принимает заявки через сайт;

• собирает телефоны и email клиентов;

• ведет клиентскую базу в CRM;

• оформляет заказы в интернет-магазине;

• принимает оплату от физических лиц;

• записывает клиентов на услуги;

• ведет рассылки;

• обрабатывает данные сотрудников;

• собирает данные учеников, пациентов, покупателей, пользователей сервиса;

• использует формы обратной связи, квизы, онлайн-запись, личные кабинеты;

• передает данные подрядчикам: CRM, хостингу, коллтрекингу, email-сервисам, мессенджерам, сервисам аналитики.

Типовая ошибка предпринимателя — думать, что уведомление нужно только «большим компаниям» или тем, кто работает с паспортами. На самом деле персональные данные — это любая информация, относящаяся к прямо или косвенно определенному физическому лицу. Имя и телефон в форме заявки — уже персональные данные. 

Да, ИП тоже может быть оператором персональных данных.

Если индивидуальный предприниматель собирает данные клиентов, работников, учеников, пациентов или покупателей, он должен оценить обязанность по уведомлению Роскомнадзора. Организационно-правовая форма сама по себе не освобождает от требований 152-ФЗ.

Например, ИП может быть обязан подать уведомление, если он:

• продает товары через сайт;

• оказывает услуги по записи;

• ведет онлайн-курсы;

• собирает заявки на консультации;

• нанимает сотрудников;

• ведет клиентскую базу;

• использует рассылки и рекламные формы.

Поэтому вопрос нужно ставить не так: «Я ИП, нужно ли мне уведомление?», а так: «Какие персональные данные я обрабатываю, для каких целей, на каком основании и есть ли у меня исключение из обязанности уведомлять Роскомнадзор?».

Для ООО обязанность также зависит от фактической обработки персональных данных.

Если организация работает только с юридическими лицами, но при этом получает ФИО, телефоны и email представителей контрагентов, ведет переписку, оформляет договоры, хранит данные сотрудников и принимает заявки на сайте, персональные данные все равно обрабатываются.

Часто ООО думает: «Мы работаем в B2B, у нас нет персональных данных». Но у B2B-компании обычно есть:

• директор контрагента;

• контактное лицо;

• бухгалтер;

• менеджер;

• подписант договора;

• сотрудники;

• пользователи сайта;

• участники вебинаров;

• подписчики рассылки.

Поэтому даже B2B-бизнесу нужно проверить обязанность по регистрации в Роскомнадзоре как оператора персональных данных.

По общему правилу уведомление подается до начала обработки персональных данных. Это важный момент: сначала оператор уведомляет Роскомнадзор, а уже затем начинает соответствующую обработку, если она подпадает под обязанность уведомления. 

На практике многие компании вспоминают об этом позже: когда сайт уже работает, заявки собираются, CRM заполнена, сотрудники оформлены, а политика конфиденциальности скачана из интернета несколько лет назад.

Если бизнес уже обрабатывает персональные данные, лучше не откладывать приведение документов и уведомления в порядок. Чем дольше компания работает без корректного оформления, тем больше накапливается несоответствий: в целях обработки, согласиях, политике, формах сайта и внутренних документах.

На портале персональных данных Роскомнадзора оператор может сформировать и направить уведомление несколькими способами: в бумажном виде, в электронном виде с усиленной квалифицированной электронной подписью или через электронную форму с использованием ЕСИА. Формы уведомлений утверждены приказом Роскомнадзора от 28.10.2022 № 180. 

Обычно порядок выглядит так:

• определить, какие персональные данные обрабатывает ООО или ИП;

• выделить цели обработки;

• определить категории субъектов персональных данных;

• проверить правовые основания обработки;

• подготовить сведения для уведомления;

• заполнить форму на портале персональных данных Роскомнадзора;

• подписать и направить уведомление выбранным способом;

• дождаться внесения сведений в реестр операторов;

• сохранить подтверждения и сведения, указанные при подаче.

Если уведомление направляется через ЕСИА, для организации учетная запись лица, подающего уведомление, должна быть привязана к организации на портале Госуслуг. При подаче через электронную подпись бумажная копия не требуется. 

В уведомлении важно не просто указать название ООО или данные ИП. Нужно описать реальную модель обработки персональных данных.

Обычно в уведомлении отражают:

• сведения об операторе;

• адрес оператора;

• цели обработки персональных данных;

• категории персональных данных;

• категории субъектов персональных данных;

• правовые основания обработки;

• перечень действий с персональными данными;

• способы обработки;

• сведения о мерах защиты;

• дату начала обработки;

• срок или условие прекращения обработки;

• сведения о наличии или отсутствии трансграничной передачи;

• сведения о месте нахождения базы данных с персональными данными граждан РФ;

• сведения об ответственном за организацию обработки персональных данных.

Именно здесь чаще всего возникают ошибки. Предприниматель видит форму и думает: «Заполню по аналогии». Но у интернет-магазина, онлайн-школы, медицинского центра, маркетингового агентства и производственной компании разные цели, разные категории данных и разные риски.

У интернет-магазина могут быть такие цели:

• оформление заказа;

• доставка товара;

• прием оплаты;

• обработка обращений покупателей;

• направление сервисных уведомлений;

• маркетинговая рассылка при наличии правового основания.

У онлайн-школы:

• регистрация ученика на курс;

• заключение и исполнение договора;

• предоставление доступа к образовательной платформе;

• выдача документов об обучении, если применимо;

• техническая поддержка;

• рассылка информационных материалов.

У медицинской организации:

• запись пациента на прием;

• оказание медицинских услуг;

• ведение медицинской документации;

• исполнение требований законодательства;

• связь с пациентом;

• обработка специальных категорий персональных данных.

У обычного сайта услуг:

• обработка заявки;

• обратная связь;

• подготовка коммерческого предложения;

• заключение договора;

• консультирование клиента.

Если все эти разные процессы описать одной фразой «оказание услуг», уведомление может получиться слишком общим и не отражающим реальную обработку.

Формальный подход опасен по трем причинам.

1. Во-первых, Роскомнадзор вправе потребовать уточнения, если сведения представлены неполно или недостоверно. Закон прямо предусматривает такую возможность до внесения сведений в реестр. 

2. Во-вторых, сведения из уведомления должны соотноситься с документами оператора: политикой обработки персональных данных, согласиями, внутренними положениями, договорами с подрядчиками, формами сайта.

3. В-третьих, если в уведомлении указано одно, на сайте написано другое, а фактически бизнес делает третье, это создает дополнительные вопросы при жалобе субъекта персональных данных, запросе Роскомнадзора или проверке.

После поступления уведомления Роскомнадзор вносит сведения в реестр операторов в течение 30 дней. Сведения в реестре, кроме информации о средствах обеспечения безопасности персональных данных, являются общедоступными. 

Это значит, что информацию об операторе можно будет найти в реестре. Поэтому к содержанию уведомления нужно относиться аккуратно: оно не должно быть случайным набором формулировок.

Еще один важный момент: рассмотрение уведомления и внесение сведений в реестр не должны создавать для оператора расходов со стороны уполномоченного органа. Иными словами, государственная пошлина за внесение в реестр операторов персональных данных не взимается. 

Но это не означает, что подготовка к уведомлению «бесплатна» для бизнеса по трудозатратам. Нужно провести аудит процессов, правильно описать цели обработки, подготовить документы, проверить сайт и привести формы в порядок.

Да, если сведения изменились.

Например, ООО или ИП:

• добавило новую цель обработки;

• запустило рассылку;

• подключило новую CRM;

• изменило адрес;

• начало использовать новый сайт;

• изменило место хранения базы данных;

• начало трансграничную передачу;

• сменило ответственное лицо;

• добавило новые категории субъектов или данных.

В случае изменения сведений, указанных в уведомлении, оператор должен уведомить Роскомнадзор не позднее 15-го числа месяца, следующего за месяцем, в котором возникли изменения. При прекращении обработки персональных данных уведомление подается в течение 10 рабочих дней с даты прекращения обработки. 

Ошибка многих компаний — один раз подать уведомление и забыть о нем. Но бизнес меняется: появляются новые формы, подрядчики, рассылки, рекламные кабинеты, виджеты, сервисы аналитики. Если уведомление не обновлять, оно постепенно перестает соответствовать реальности.

Уведомление в Роскомнадзор не заменяет пакет документов по персональным данным.

Оператору обычно нужны:

• политика обработки персональных данных;

• согласия на обработку персональных данных;

• согласие на рекламную рассылку, если используется маркетинговая коммуникация;

• согласие на обработку разрешенных для распространения персональных данных, если такие данные публикуются;

• положение об обработке персональных данных;

• приказ о назначении ответственного лица;

• перечень обрабатываемых персональных данных;

• модели угроз и документы по защите информации, если применимо;

• регламенты доступа сотрудников к персональным данным;

• договоры или поручения обработки персональных данных с подрядчиками;

• порядок рассмотрения обращений субъектов персональных данных;

• документы по уничтожению или обезличиванию данных, если применимо.

Набор документов зависит от реальных процессов. Маленькому сайту с формой заявки нужен один объем. Медицинскому центру, онлайн-школе или сервису с личным кабинетом — другой.

Если оператор собирает персональные данные через сайт, он обязан опубликовать на сайте документ, определяющий политику в отношении обработки персональных данных, и обеспечить доступ к нему на страницах, где осуществляется сбор данных. 

Типовые ошибки:

• политика есть, но ссылка на нее спрятана только в футере;

• под формой заявки нет ссылки на политику;

• текст согласия не соответствует форме;

• чекбокс уже заранее проставлен;

• в политике указаны старые реквизиты;

• не описаны реальные цели обработки;

• нет информации о сервисах, которые фактически участвуют в обработке;

• политика скопирована у другой компании;

• политика называется «политика конфиденциальности», но не содержит обязательной логики документа по 152-ФЗ;

• сайт собирает данные через квиз, виджет или чат, но эти формы не проверены.

Именно сайт часто становится первой точкой риска. Пользователь может пожаловаться, конкурент может обратить внимание, а Роскомнадзор может запросить документы и пояснения.

Для бизнеса это кажется мелочью, но для персональных данных мелочей почти нет.

Под формой заявки желательно проверить:

• есть ли понятный текст согласия;

• есть ли ссылка на политику обработки персональных данных;

• не проставлен ли чекбокс заранее;

• можно ли отправить форму без согласия;

• соответствует ли согласие конкретной цели;

• отделено ли согласие на обработку данных от согласия на рекламную рассылку;

• корректно ли работают формы на мобильной версии сайта;

• есть ли отдельная логика для заявок, рассылок, регистрации, оплаты и личного кабинета.

Согласие должно быть конкретным, информированным и сознательным. Обязанность доказать получение согласия или наличие иного правового основания обработки лежит на операторе. 

Поэтому фраза «Нажимая кнопку, вы соглашаетесь со всем» уже давно не выглядит надежной конструкцией. Лучше выстроить понятную систему: отдельные документы, корректные ссылки, осмысленные чекбоксы, сохранение подтверждений.

Предприниматель открывает форму и начинает заполнять ее «по памяти». В результате в уведомлении появляются общие фразы, которые не отражают реальную обработку.

Например, компания указывает только «обработка заявок», но фактически ведет рассылку, хранит базу в CRM, передает данные колл-центру и использует сервис аналитики.

Цель обработки — ключевой элемент. Закон требует, чтобы обработка была ограничена конкретными, заранее определенными и законными целями. Не допускается обработка, несовместимая с целями сбора персональных данных. 

Если цель сформулирована слишком узко, часть фактических действий может оказаться «за пределами» заявленной цели. Если слишком широко — формулировка может выглядеть формальной и не объяснять реальный процесс.

Категории субъектов — это группы людей, чьи данные обрабатываются.

Например:

• клиенты;

• потенциальные клиенты;

• работники;

• соискатели;

• представители контрагентов;

• ученики;

• пациенты;

• пользователи сайта;

• подписчики;

• участники мероприятий.

Если забыть какую-то категорию, уведомление будет неполным.

Многие ООО и ИП используют внешние сервисы: CRM, хостинг, email-рассылки, мессенджеры, IP-телефонию, платежные сервисы, облачные диски, бухгалтерские сервисы.

В уведомлении нужно указывать сведения о наличии или отсутствии трансграничной передачи персональных данных. Это особенно актуально, если бизнес использует зарубежные сервисы, иностранные платформы, облачные инструменты или международные системы коммуникации.

Важно не угадывать ответ, а проверить фактическую инфраструктуру.

Само по себе включение в реестр операторов не означает, что компания полностью соблюдает 152-ФЗ.

Если нет политики, согласий, внутренних документов, порядка обработки обращений субъектов, регламентов доступа и понятной логики хранения данных, риски остаются.

Иногда уведомление подано, документы подготовлены, но сайт остается проблемным:

• формы без ссылок;

• чекбоксы работают неправильно;

• политика устарела;

• в квизе собираются лишние данные;

• согласие на рассылку объединено с согласием на обработку заявки;

• в мобильной версии ссылки не видны.

С 2025 года ответственность за отдельные нарушения в сфере персональных данных стала заметно серьезнее.

За невыполнение или несвоевременное выполнение обязанности по уведомлению Роскомнадзора о намерении обрабатывать персональные данные предусмотрен штраф по части 10 статьи 13.11 КоАП: для граждан — от 5 000 до 10 000 рублей, для должностных лиц — от 30 000 до 50 000 рублей, для юридических лиц — от 100 000 до 300 000 рублей. 

Но неуведомление — не единственный риск.

Например, статья 13.11 КоАП также предусматривает ответственность за:

• обработку персональных данных в случаях, не предусмотренных законодательством, либо несовместимую с целями сбора;

• обработку без письменного согласия, когда оно требуется;

• отсутствие опубликованной политики обработки персональных данных;

• невыполнение обязанности предоставить субъекту информацию об обработке;

• нарушение требований при хранении и защите данных;

• нарушение требований локализации баз данных;

• неуведомление о факте неправомерной или случайной передачи персональных данных;

• утечки персональных данных.

За отсутствие опубликованной политики обработки персональных данных штраф для юридических лиц составляет от 30 000 до 60 000 рублей, а за обработку персональных данных без письменного согласия в случаях, когда оно требуется, — от 300 000 до 700 000 рублей для юридических лиц. 

Поэтому подход «сейчас быстро подадим уведомление, а документы потом» может быть рискованным. Логичнее выстроить систему: уведомление, документы, сайт, сотрудники, подрядчики, порядок реагирования на запросы.

Роскомнадзор как уполномоченный орган вправе запрашивать у физических и юридических лиц информацию, необходимую для реализации своих полномочий, и получать такую информацию безвозмездно. Также ведомство рассматривает обращения граждан и ведет реестр операторов. 

На практике у оператора могут запросить:

• политику обработки персональных данных;

• согласия субъектов;

• сведения о целях обработки;

• документы по назначению ответственного лица;

• локальные акты;

• информацию о сайте и формах сбора данных;

• сведения о подрядчиках;

• пояснения по жалобе субъекта;

• подтверждение устранения нарушений.

Если документы готовились шаблонно, отвечать на запрос сложнее. Нужно не просто отправить файл, а показать, что у компании действительно есть понятная и работающая система обработки персональных данных.

Опишите, где в бизнесе появляются персональные данные:

• сайт;

• телефонные звонки;

• мессенджеры;

• email;

• CRM;

• договоры;

• оплата;

• доставка;

• рассылки;

• кадровый учет;

• обучение;

• медицинские документы;

• личный кабинет;

• рекламные формы.

Лучше идти не от закона, а от реального пути клиента: где человек оставляет данные, кто их видит, куда они передаются и сколько хранятся.

Не смешивайте все в одну цель.

Отдельно могут быть:

• обработка заявки;

• заключение договора;

• исполнение договора;

• доставка;

• поддержка;

• рассылка;

• кадровый учет;

• бухгалтерский учет;

• выполнение требований закона;

• рассмотрение обращений;

• участие в мероприятии;

• обучение.

Чем точнее цели, тем проще связать их с документами и формами сайта.

Для каждой цели нужно понять, какие данные действительно нужны.

Например, для обратного звонка обычно достаточно имени и телефона. Для доставки — адреса. Для трудового договора — значительно большего объема данных. Для медицинской услуги могут обрабатываться специальные категории персональных данных.

Принцип 152-ФЗ простой: объем данных должен соответствовать заявленным целям, а данные не должны быть избыточными. 

Не вся обработка строится только на согласии.

Возможны разные основания: исполнение договора, требование закона, согласие субъекта, законный интерес при соблюдении условий и другие основания, предусмотренные законом. Важно не назначать согласие «на всё», если фактически обработка идет по другому основанию.

На сайте нужно проверить:

• все формы заявок;

• квизы;

• всплывающие окна;

• формы подписки;

• онлайн-запись;

• личный кабинет;

• корзину;

• оплату;

• чат-виджеты;

• ссылки на политику;

• чекбоксы;

• тексты согласий.

Именно здесь хорошо работает практический аудит: юрист смотрит не только документы, но и пользовательский путь.

После анализа процессов готовятся документы. Не наоборот.

Если сначала скачать шаблон, а потом пытаться подстроить под него бизнес, почти всегда появляются несостыковки. Документы должны описывать реальность, а не существовать отдельно от нее.

Когда понятно, какие данные и для каких целей обрабатываются, можно корректно заполнить уведомление в Роскомнадзор.

Для многих предпринимателей этот этап выглядит техническим, но фактически он требует юридической точности. Ошибка в цели, категории данных, субъектах или трансграничной передаче может привести к уточнениям и дальнейшим вопросам.

После регистрации в реестре важно обновлять документы и уведомление при изменении процессов.

Запустили новый сайт — проверьте политику и формы. Подключили новую CRM — проверьте договор и поручение обработки. Начали рассылку — проверьте согласие и механизм отписки. Добавили новый вид услуг — проверьте цели обработки.

Самостоятельная подача возможна, если у предпринимателя есть время разобраться в требованиях и правильно описать процессы. Но есть ситуации, когда ошибка может стоить дороже, чем помощь специалиста.

Лучше обратиться за сопровождением, если:

• на сайте несколько форм и квизов;

• есть CRM и подрядчики;

• используется рассылка;

• бизнес работает с медицинскими, образовательными или детскими данными;

• есть личный кабинет;

• обрабатываются данные сотрудников;

• используются зарубежные сервисы;

• есть сомнения по трансграничной передаче;

• уже пришел запрос или предписание;

• политика и согласия давно не обновлялись;

• уведомление уже подано, но сведения могли устареть.

Роском 24 — сервис для операторов персональных данных, который помогает ООО и ИП привести обработку персональных данных в порядок без лишней юридической сложности.

Обычно предприниматели обращаются, когда нужно:

• зарегистрироваться в Роскомнадзоре как оператор персональных данных;

• подготовить и подать уведомление в Роскомнадзор;

• подготовить пакет документов по 152-ФЗ;

• проверить сайт и формы заявок;

• исправить политику обработки персональных данных;

• проверить согласия, чекбоксы и ссылки под формами;

• разобраться с подрядчиками и передачей данных;

• подготовиться к возможному запросу Роскомнадзора;

• ответить на предписание или снизить риски проверки.

Главное преимущество такого подхода — сопровождение под реальные процессы компании. Не просто «выдать шаблон», а понять, как именно бизнес собирает, хранит, использует и передает персональные данные.

Перед тем как подать уведомление в Роскомнадзор, проверьте:

• понятно ли, какие персональные данные вы собираете;

• описаны ли все цели обработки;

• определены ли категории субъектов;

• есть ли правовые основания по каждой цели;

• не собираете ли вы лишние данные;

• есть ли актуальная политика обработки персональных данных;

• опубликована ли политика на сайте;

• есть ли ссылки на политику под формами;

• корректно ли настроены чекбоксы;

• разделены ли согласия на обработку данных и рекламу;

• оформлены ли отношения с подрядчиками;

• понятно ли, где хранятся базы данных;

• проверена ли трансграничная передача;

• назначено ли ответственное лицо;

• готовы ли документы на случай запроса Роскомнадзора.

Да, со стороны уполномоченного органа расходы за рассмотрение уведомления и внесение сведений в реестр операторов не возлагаются на оператора. Но подготовка корректных сведений, документов и сайта требует времени и компетенции. 

Во многих случаях — да, нужно оценить обязанность уведомления. Имя и телефон относятся к персональным данным, если позволяют прямо или косвенно определить физическое лицо. Важно смотреть не только на форму, но и на то, что происходит с данными дальше: CRM, звонок, рассылка, договор, передача менеджеру или подрядчику.

Технически скачать можно, но это плохая практика. Шаблон часто не отражает реальные цели обработки, категории данных, сервисы, подрядчиков, сроки хранения и формы сайта. При запросе Роскомнадзора такой документ может не помочь, а наоборот показать формальный подход.

Вопрос нужно оценивать индивидуально. В 152-ФЗ есть исключения и специальные случаи, но после изменений законодательства многие операторы, которые раньше считали себя освобожденными, пересматривали подход. Лучше проверить конкретные процессы, а не ориентироваться на общие советы.

Нужно проверить, изменились ли сведения, которые были указаны в уведомлении. Если да, оператор обязан уведомить Роскомнадзор об изменениях в установленный срок — не позднее 15-го числа месяца, следующего за месяцем возникновения изменений. 

Опасно и то и другое. За неуведомление предусмотрен отдельный штраф. Но неправильный сайт может повлечь дополнительные нарушения: отсутствие политики, некорректные согласия, обработка без надлежащего основания, избыточный сбор данных. Поэтому лучше решать задачу комплексно.

Подать уведомление в Роскомнадзор об обработке персональных данных ООО или ИП — важная обязанность оператора. Но сама регистрация в реестре не закрывает все требования закона.

Бизнесу нужно понимать:

• какие данные он собирает;

• зачем он их обрабатывает;

• на каком основании;

• где данные хранятся;

• кому передаются;

• какие документы это подтверждают;

• как настроены формы на сайте;

• что делать при запросе Роскомнадзора или обращении субъекта персональных данных.

Именно комплексный подход снижает риски. Уведомление, документы по 152-ФЗ, политика, согласия, чекбоксы, сайт, подрядчики и внутренние процессы должны работать вместе.

Если нет уверенности, что все оформлено правильно, можно получить консультацию в Роском 24. Специалисты помогут определить объем обязанностей, подать уведомление в Роскомнадзор, подготовить документы по 152-ФЗ и проверить сайт на основные риски — без лишнего давления, но с учетом реальных требований к операторам персональных данных.

Реклама: ООО «ОНЛАЙН УСЛУГИ 24», ИНН 7751227590, erid: 2W5zFHhRFWy