Кто обязан подать уведомление
Часть 1 статьи 22 Федерального закона «О персональных данных» (ФЗ-152) устанавливает простое правило: любой оператор обязан уведомить Роскомнадзор до начала обработки персональных данных. Оператор — это любое лицо (юрлицо, ИП, самозанятый), которое определяет цели обработки ПДн и собирает их.
До 2022 года в законе было много исключений, и большинство компаний ими пользовались. Но ФЗ от 14.07.2022 N 266-ФЗ радикально сократил список исключений. С 1 сентября 2022 года уведомление обязательно практически для всех.
Вот кто точно обязан подать уведомление:
- Работодатели — если у вас есть хотя бы один сотрудник, вы обрабатываете его ФИО, паспорт, ИНН, СНИЛС
- Интернет-магазины — форма заказа собирает имя, телефон, адрес доставки
- Любой сайт с формой обратной связи — имя + телефон или email = персональные данные
- Компании с CRM-системой — AmoCRM, Битрикс24, 1С:CRM — это автоматизированная обработка
- Клиники, салоны красоты, фитнес-клубы — ведут запись клиентов с контактными данными
- ИП и самозанятые — если ведёте базу клиентов хоть в Excel — вы оператор
- Управляющие компании и ТСЖ — обрабатывают данные жильцов
Формулировка закона максимально широкая: если вы собираете, храните, используете чьи-либо ФИО, телефон, email, адрес — вы оператор ПДн. И вы обязаны быть в реестре.
3 исключения: кому уведомление не нужно
После реформы 2022 года в части 2 статьи 22 ФЗ-152 осталось только 3 случая, когда уведомление не требуется:
- Государственные информационные системы безопасности (п. 7) — это ФСБ, МВД и другие силовые ведомства. К бизнесу не относится
- Обработка исключительно без средств автоматизации (п. 8) — только бумажные картотеки, без компьютеров вообще
- Обеспечение транспортной безопасности (п. 9) — специфическое исключение для транспортных предприятий
Второй пункт — самый коварный. Многие думают: «я просто веду табличку в Excel». Но Excel — это средство автоматизации. Как и 1С, AmoCRM, Google Sheets, Яндекс.Формы и даже база контактов в телефоне, если она используется в коммерческих целях.
Исключение п. 8 работает только если вы храните данные на бумаге: картотека, бумажный журнал записи, рукописные анкеты в папке. Как только данные попадают в компьютер — исключение перестаёт действовать.
На практике это означает: если у вас есть компьютер и вы работаете с данными клиентов или сотрудников — вам нужно подать уведомление.
Что указать в уведомлении (9 обязательных пунктов)
Часть 3 статьи 22 ФЗ-152 определяет 9 обязательных пунктов, которые должны быть в уведомлении. Пропуск любого из них — основание для отказа.
| № | Пункт | Что указать |
|---|---|---|
| 1 | Наименование / ФИО и адрес | Строго по ЕГРЮЛ/ЕГРИП. Для юрлица — полное и сокращённое наименование, юридический адрес |
| 2 | Цели обработки | Конкретные цели для каждой категории: «исполнение трудового договора», «оказание услуг клиентам», «ведение бухгалтерского учёта» |
| 3 | Категории ПДн и субъектов | Какие данные: ФИО, телефон, email, паспорт. Чьи данные: сотрудники, клиенты, контрагенты |
| 4 | Правовое основание | НЕ «ФЗ-152»! Правильно: ТК РФ (для сотрудников), ГК РФ (для клиентов), согласие субъекта, договор оказания услуг |
| 5 | Меры безопасности | Описание мер по ст. 18.1 и 19 ФЗ-152: назначение ответственного, политика обработки, технические меры защиты |
| 6 | ФИО ответственного | Контактные данные лица, ответственного за обработку ПДн (может быть руководитель) |
| 7 | Дата начала обработки | Дата, с которой компания начала обрабатывать ПДн (можно указать дату регистрации юрлица) |
| 8 | Срок / условие прекращения | «Бессрочно» или «до ликвидации оператора» — для большинства бизнесов |
| 9 | Трансграничная передача и местонахождение БД | Если серверы в России — указать адрес дата-центра. Если есть передача за рубеж — указать страны |
Важный нюанс: правовое основание — это не «ФЗ-152» и не «Закон о персональных данных». ФЗ-152 регулирует обработку, но не является основанием для неё. Основания — это конкретные законы и документы:
- Трудовой кодекс РФ — для обработки данных сотрудников
- Гражданский кодекс РФ — для исполнения договоров с клиентами
- Согласие субъекта — для маркетинговых рассылок, формы на сайте
- Налоговый кодекс РФ — для бухгалтерского учёта
Эта ошибка — одна из самых частых. РКН может вернуть уведомление на доработку именно из-за неё.
Пошаговая инструкция подачи через pd.rkn.gov.ru
Электронная подача — самый быстрый и удобный способ. Весь процесс занимает 20-30 минут, если подготовить данные заранее.
- Перейдите на pd.rkn.gov.ru и нажмите «Подать уведомление»
- Авторизуйтесь через УКЭП (усиленная квалифицированная электронная подпись) или учётную запись Госуслуг. Для юрлиц рекомендуется УКЭП — это ускоряет обработку
- Заполните сведения об операторе — наименование, ИНН, ОГРН, юридический адрес. Все данные должны совпадать с ЕГРЮЛ/ЕГРИП. Проверьте на egrul.nalog.ru перед заполнением
- Укажите ответственного за обработку ПДн — ФИО, должность, телефон, email. Это может быть руководитель или назначенный приказом сотрудник
- Заполните цели обработки — для каждой цели создаётся отдельный блок. Типичные цели: кадровое делопроизводство, оказание услуг клиентам, маркетинг и рассылки. В каждом блоке укажите категории данных, категории субъектов и правовое основание
- Опишите меры безопасности — назначен ответственный, утверждена политика обработки, установлены пароли на компьютерах, данные хранятся на серверах в РФ. Не копируйте шаблонные формулировки — опишите то, что реально делаете
- Укажите даты — дата начала обработки (когда компания начала работать с данными) и срок прекращения (обычно «бессрочно» или «до ликвидации оператора»)
- Заполните блок трансграничной передачи — если используете зарубежные сервисы (Mailchimp, Google Analytics, AWS), укажите страны. Если все данные в России — отметьте «трансграничная передача не осуществляется»
- Подпишите и отправьте — проверьте все поля, подпишите УКЭП или через Госуслуги. После отправки вы получите номер уведомления — сохраните его
Срок внесения в реестр — 30 дней с даты получения уведомления (ч. 4 ст. 22 ФЗ-152). На практике — около 2 недель. Статус можно отслеживать на pd.rkn.gov.ru.
Если РКН обнаружит ошибки, уведомление вернут на доработку. Это не штраф, но процесс затянется. Поэтому важно заполнить всё правильно с первого раза.
7 типичных ошибок при подаче
Большинство возвратов уведомлений связаны с одними и теми же ошибками. Вот самые частые — и как их избежать:
| Ошибка | Почему это проблема | Как исправить |
|---|---|---|
| 1. Неверный адрес | Адрес в уведомлении не совпадает с ЕГРЮЛ | Проверьте актуальную выписку на egrul.nalog.ru и скопируйте адрес оттуда |
| 2. Неправильное наименование | Сокращения («ООО Ромашка» вместо «Общество с ограниченной ответственностью „Ромашка“») или опечатки | Указывайте полное наименование строго по ЕГРЮЛ + сокращённое |
| 3. Копипаст мер защиты | Шаблонные формулировки из интернета, не соответствующие реальности | Опишите реальные меры: антивирус, пароли, назначенный ответственный, утверждённая политика |
| 4. «ФЗ-152» как правовое основание | Закон регулирует обработку, но не является основанием для неё | Укажите: ТК РФ, ГК РФ, согласие субъекта, договор — в зависимости от цели |
| 5. Неполные категории данных | Указали только «ФИО и телефон», забыв про паспортные данные сотрудников или email клиентов | Пройдитесь по всем базам: 1С, CRM, сайт, Excel — и перечислите ВСЕ категории данных |
| 6. Подпись неуполномоченного лица | Уведомление подписал сотрудник без доверенности | Подписывает руководитель (по ЕГРЮЛ) или лицо с нотариальной доверенностью |
| 7. Не указан ответственный | Поле «ответственный за обработку ПДн» пустое или формальное | Назначьте ответственного приказом и укажите его ФИО, должность, контакты |
Совет: перед подачей уведомления подготовьте приказ о назначении ответственного, политику обработки персональных данных и согласие на обработку ПДн. Все три документа понадобятся при проверке РКН, и ссылки на них указываются в уведомлении.
Штрафы за неуведомление: таблица
До 30 мая 2025 года штраф за неуведомление был смехотворным — 3-5 тысяч рублей по ст. 19.7 КоАП. Многие бизнесы просто игнорировали обязанность. Но ФЗ от 30.11.2024 N 420-ФЗ изменил ситуацию радикально.
Штрафы с 30 мая 2025 года
| Нарушение | Физлица | Должностные лица | ИП и юрлица |
|---|---|---|---|
| Неуведомление РКН (ч. 10 ст. 13.11 КоАП) | 5 000 – 10 000 ₽ | 30 000 – 50 000 ₽ | 100 000 – 300 000 ₽ |
| Неуведомление об утечке (ч. 11 ст. 13.11 КоАП) | — | — | 1 000 000 – 3 000 000 ₽ |
| Повторное нарушение | Штрафы удваиваются | ||
| Утечка данных (оборотные) | До 3% годовой выручки (максимум 500 000 000 ₽) | ||
Разница — в 60 раз: вместо 5 000 ₽ — до 300 000 ₽. И это только за неуведомление, без учёта других нарушений ФЗ-152 (отсутствие политики обработки ПДн на сайте, обработка без согласия и т.д.). Полный список требований — в нашем чек-листе соответствия ФЗ-152.
Статистика показывает, что регулятор относится к вопросу серьёзно: за 2 месяца (май–июль 2025) реестр вырос с 987 000 до 2 380 000 операторов. Бизнес массово подаёт уведомления, и РКН активно проверяет тех, кто этого не сделал.
Дополнительный риск: при проверке по любому другому поводу (жалоба клиента, утечка, плановая проверка) отсутствие в реестре — это автоматический штраф сверху ко всем остальным.
Как проверить себя в реестре
Проверить, есть ли ваша компания в реестре операторов ПДн, можно за 30 секунд:
- Перейдите на pd.rkn.gov.ru/operators-registry/operators-list/
- Введите ИНН или наименование организации в строку поиска
- Если компания найдена — вы в реестре. Проверьте актуальность данных
- Если не найдена — нужно подать уведомление
Данные реестра публичны — их может проверить кто угодно: клиент, конкурент, проверяющий. Если ваш бизнес обрабатывает ПДн, а в реестре его нет — это видно всем.
Также можно проверить статус поданного уведомления на pd.rkn.gov.ru/operators-registry/notification_check/ — введите номер, который вы получили при подаче.
Что делать, если данные устарели
Если вы нашли себя в реестре, но данные неактуальны (сменился адрес, добавились цели обработки, изменился ответственный) — подайте информационное письмо через тот же портал pd.rkn.gov.ru. Закон обязывает уведомлять РКН об изменениях в течение 10 рабочих дней (ч. 7 ст. 22 ФЗ-152).
Несвоевременное уведомление об изменениях — тоже нарушение, хотя на практике за него штрафуют реже, чем за полное отсутствие в реестре.