Уведомление в Роскомнадзор: что проверить бизнесу, пока не пришел штраф до 300 тысяч

С 30 мая 2025 года действует часть 10 статьи 13.11 КоАП: за обработку персональных данных без уведомления Роскомнадзора компанию или ИП могут оштрафовать на сумму от 100 до 300 тысяч рублей. Наказывают за сам факт работы без уведомления, никакой утечки для этого не требуется. При этом, по моим наблюдениям, малый бизнес про эту обязанность массово не знает.

Весной я помогал знакомому предпринимателю отвечать на запрос Роскомнадзора. У него небольшая онлайн-школа, на сайте форма «оставьте имя и телефон». Ведомство спросило: на каком основании обрабатываете персональные данные и почему вас нет в реестре операторов? Разбор этой истории уложился в понятный чек-лист, которым делюсь.

Сначала о главном заблуждении. Фраза «у нас же не банк, какие персональные данные» не работает. Оператором по 152-ФЗ становится почти любая организация и почти любой ИП. Форма заявки на сайте: уже обработка персональных данных. База клиентов в CRM или в экселе: тоже. Кадровый учёт сотрудников: тем более. Бухгалтеру это важно понимать в первую очередь, потому что именно через бухгалтерию проходят данные работников: паспорта, СНИЛС, счета, справки.

Теперь чек-лист.

Первое. Проверьте, есть ли ваша организация в реестре операторов персональных данных. Это открытый реестр на сайте Роскомнадзора, поиск по ИНН занимает минуту. Если вас там нет, а данные вы обрабатываете, подайте уведомление. Оно бесплатное, форма заполняется на сайте ведомства. Исключений, когда уведомляться не нужно, в законе осталось совсем мало, и на типовой бизнес они, как правило, не распространяются.

Второе. Политика обработки персональных данных должна быть опубликована на сайте и должна описывать ваши реальные процессы: какие данные собираете, с какой целью, где храните, в какие сроки удаляете. Скачанный у конкурента шаблон формально закрывает дыру, но при запросе ведомства расхождение между текстом и реальными процессами сыграет против вас.

Третье. Под каждой формой сбора данных нужно согласие. Важная деталь, к которой проверяющие цепляются чаще всего: галочка согласия не должна быть проставлена заранее. Согласие даётся конкретным осознанным действием самого человека. Предзаполненный чекбокс согласием не признаётся.

Четвёртое. Внутренние документы: приказ о назначении ответственного за обработку персональных данных, перечень обрабатываемых данных, порядок удаления данных по запросу человека. Для данных сотрудников не забудьте согласия там, где они нужны сверх трудового законодательства, например на передачу данных в банк для зарплатного проекта.

Пятое. Храните доказательства согласий: дату, время, состав того, что человек отметил. В споре утверждение «галочка точно была» без логов не стоит ничего.

И отдельно про ситуацию, когда запрос ведомства уже пришёл. Худшая стратегия: игнорировать. В письме указан срок ответа. Правильный порядок такой: сначала устранить нарушения, подать уведомление, привести в порядок сайт и документы, затем ответить письменно по существу и приложить подтверждения. В истории моего знакомого всё закончилось на стадии переписки, без протокола и штрафа.

Времени на весь базовый комплект уходит немного: один вечер на разбор и документы плюс несколько дней на обработку уведомления. Это несопоставимо со штрафом и с нервами от общения с ведомством по протоколу.

Проверьте свой реестр, сайт и формы на этой неделе. А как у вас в компании закрыт вопрос с персональными данными: есть полный комплект или всё держится на честном слове?