Уведомление в Роскомнадзор: кто, когда и как подает в 2025–2026 годах

Что такое уведомление в Роскомнадзор и зачем оно нужно

Уведомление в Роскомнадзор — это официальное сообщение оператора персональных данных о намерении обрабатывать данные граждан. Требование закреплено в статье 22 Федерального закона № 152-ФЗ «О персональных данных». Подать уведомление нужно до начала обработки, то есть до того, как вы начнете собирать имена, телефоны, email или другие данные пользователей.

Оператором признается любое лицо — организация, ИП или самозанятый, — которое обрабатывает персональные данные с использованием средств автоматизации. Это не только CRM или базы данных, но и обычные таблицы Excel, облачные сервисы, формы на сайте и даже смартфон, если вы храните в нем контакты клиентов.

Главная цель уведомления — включение оператора в реестр Роскомнадзора. Реестр позволяет ведомству отслеживать, кто и какие данные обрабатывает, и проверять соблюдение законодательства. Отсутствие в реестре — первый признак нарушения, который проверяющие ищут при любой проверке.

Кто обязан подавать уведомление, а кто освобожден

Подавать уведомление обязаны практически все, кто работает с персональными данными граждан в электронном виде. Это касается:

• компаний и ИП, ведущих кадровый и бухгалтерский учет;
• онлайн-школ, собирающих данные студентов через формы на сайте;
• селлеров маркетплейсов, получающих ФИО и контакты покупателей;
• самозанятых, работающих с клиентами и контрагентами;
• владельцев сайтов с формами обратной связи, комментариями или личными кабинетами.

Закон предусматривает исключения (ч. 2 ст. 22 152-ФЗ), но на практике они применяются редко. Уведомление не требуется, если:

• вы обрабатываете данные только сотрудников в рамках трудовых отношений;
• получили данные напрямую от субъекта для разового договора и не передаете их третьим лицам;
• работаете только с общедоступными данными;
• обрабатываете данные без автоматизации — полностью вручную, без компьютеров и программ.

Последний пункт почти нереализуем в современном бизнесе: даже простая таблица в Excel считается автоматизированной обработкой. Поэтому безопаснее подать уведомление, чем пытаться обосновать исключение.

Когда подавать уведомление и как часто его обновлять

Уведомление подается один раз — до начала обработки персональных данных. Если вы уже работаете и не уведомили Роскомнадзор, лучше сделать это как можно скорее: закон не устанавливает срока давности для запоздалой подачи, а добровольное устранение нарушения учитывается при назначении наказания.

После подачи Роскомнадзор в течение 30 дней вносит оператора в реестр и присваивает регистрационный номер. Этот номер стоит указать в политике конфиденциальности на сайте — это повышает доверие пользователей и показывает добросовестность.

Уведомление нужно обновлять при изменении сведений. Сроки:

• при изменении данных, указанных в уведомлении, — не позднее 15-го числа месяца, следующего за месяцем изменений;
• при прекращении обработки — в течение 10 рабочих дней.

Типичные поводы для обновления: смена юридического адреса или названия, подключение нового иностранного сервиса, добавление новых категорий данных, запуск маркетинговых рассылок, изменение целей обработки.

Пошаговая инструкция: как заполнить и подать уведомление

Подать уведомление можно через официальный портал Роскомнадзора pd.rkn.gov.ru. Для электронной подачи нужна усиленная квалифицированная электронная подпись (УКЭП). Если УКЭП нет, можно распечатать заполненную форму, подписать от руки и отправить заказным письмом в территориальное управление РКН.

Чек-лист подачи:

1. Зайдите на pd.rkn.gov.ru, раздел «Подать уведомление».
2. Выберите способ подачи: электронно (с УКЭП) или на бумаге.
3. Заполните все разделы формы.
4. Проверьте, что указали трансграничную передачу, если используете иностранные сервисы.
5. Подпишите УКЭП и отправьте (или распечатайте, подпишите и отправьте почтой).
6. Сохраните подтверждение подачи или квитанцию об отправке.
7. Дождитесь присвоения регистрационного номера (до 30 дней).
8. Проверьте, что ваша организация появилась в реестре операторов ПДн.

Форма содержит 10 разделов. Самые важные для большинства операторов — цель обработки, категории данных и перечень действий. Заполняйте их внимательно: именно эти поля проверяют в первую очередь.

Что указывать в ключевых разделах формы

Разберем основные разделы формы уведомления.

Наименование оператора — полное официальное название ООО или ФИО ИП, юридический адрес, ОГРН/ИНН, контакты. Данные должны совпадать с ЕГРЮЛ/ЕГРИП.

Цель обработки — ответ на вопрос «зачем вы обрабатываете данные». Например: оказание образовательных услуг, исполнение договора, маркетинговые рассылки. Каждую цель указывайте отдельной записью. Типичная ошибка — указать только «исполнение договора» и забыть про рассылки. Если вы отправляете email-маркетинг, это отдельная цель, требующая отдельного согласия и отражения в уведомлении.

Категории персональных данных — перечень данных, которые вы реально собираете: ФИО, email, телефон, платежная информация и т.д. Не указывайте то, что не собираете, — при проверке несоответствие будет нарушением.

Категории субъектов — клиенты, потенциальные клиенты, сотрудники, соискатели, контрагенты, посетители сайта. Указывайте только те, с чьими данными вы действительно работаете.

Правовое основание — согласие субъекта (ст. 9 152-ФЗ), исполнение договора (ст. 6 ч. 1 п. 5), защита жизни и здоровья и т.д.

Перечень действий — сбор, запись, систематизация, накопление, хранение, использование, передача, уничтожение.

Меры защиты — организационные и технические меры: ограничение доступа, шифрование, резервное копирование.

Трансграничная передача — указывайте «да», если используете иностранные сервисы (Mailchimp, Zoom, Stripe, Google Analytics и т.п.). Это отдельное основание по ст. 12 152-ФЗ.

Место хранения данных — адрес сервера или название облачного провайдера. Для данных граждан РФ — только серверы на территории России (ст. 18 ч. 5 152-ФЗ).

Ответственный за ПДн — ФИО и контакты сотрудника или руководителя.

Особенности для онлайн-школ, селлеров и самозанятых

Онлайн-школы, работающие на платформах вроде Getcourse или Tilda, часто ошибочно считают, что платформа несет ответственность за данные. На самом деле платформа — обработчик, а оператором остаетесь вы. Уведомление подает школа, а не платформа.

Селлеры маркетплейсов также признаются операторами. Даже если вы получаете только имя и фамилию покупателя, этого достаточно для квалификации как персональные данные. Данные из доверенностей, которые клиенты прикладывают к заказам, — тоже ПДн.

Самозанятые и ИП обязаны уведомлять РКН наравне с организациями. Исключений для малого бизнеса нет. Если самозанятый бухгалтер ведет учет клиентов в электронном виде, он оператор. При аутсорсе операторами становятся и компания, и бухгалтер — уведомление подают оба.

Нулевые фирмы, которые не ведут деятельность, но сдают отчетность через интернет, тоже должны уведомить РКН: передача сведений о руководителе в ФНС и СФР считается обработкой ПДн.

Штрафы за неподачу уведомления: что изменилось с 30 мая 2025 года

До 30 мая 2025 года штраф за неподачу уведомления был небольшим: для ИП — 300–500 рублей, для организаций — 3000–5000 рублей. С 30 мая 2025 года вступили в силу поправки в КоАП, которые существенно ужесточили ответственность.

Новые штрафы по ч. 10 ст. 13.11 КоАП РФ:

• для физических лиц — от 5000 до 10 000 рублей;
• для должностных лиц — от 30 000 до 50 000 рублей;
• для ИП — от 100 000 до 300 000 рублей;
• для юридических лиц — от 100 000 до 300 000 рублей.

Важно: штраф за отсутствие уведомления — лишь вершина айсберга. Если РКН обнаружит, что вас нет в реестре, он проверит и другие аспекты обработки данных. Тогда возможны дополнительные санкции:

• отсутствие политики конфиденциальности — до 100 000 рублей;
• отсутствие согласий на обработку — до 150 000 рублей;
• хранение данных за рубежом без надлежащего оформления — до 6 млн рублей;
• утечка персональных данных — оборотные штрафы до 3% годовой выручки.

Отсутствие в реестре становится отягчающим обстоятельством при любой проверке.

Как исправить ошибки в уведомлении и что делать при изменении данных

Если вы допустили ошибку в уже поданном уведомлении, не паникуйте. Роскомнадзор сначала предупреждает об ошибке и дает время на исправление. Штраф налагается только если вы проигнорировали предупреждение.

Для исправления подается уведомление об изменении сведений через сайт РКН. Это же уведомление используется при любых изменениях: смена адреса, названия, добавление новых целей или категорий данных.

Если ваша организация подавала уведомление давно (например, в 2017 году), проверьте его актуальность. С 1 февраля 2023 года действует новая форма уведомления (приказ Роскомнадзора от 28.10.2022 № 180). Если в вашем уведомлении есть раздел «Список информационных систем и их параметры» — оно подано по старой форме, нужно подать корректирующее. Если есть раздел «Цели обработки персональных данных» — форма актуальная, но все равно проверьте, соответствуют ли сведения вашей текущей деятельности.

Проверить наличие в реестре можно самостоятельно на сайте pd.rkn.gov.ru, введя ИНН или название организации. РКН не рассылает уведомлений о включении в реестр.

Согласие на обработку персональных данных: новые требования с 1 сентября 2025 года

С 1 сентября 2025 года согласие на обработку персональных данных должно оформляться отдельным документом, а не включаться в текст договора, анкеты или заявления. Это требование касается всех операторов.

Письменное согласие должно содержать:

• ФИО, адрес, паспортные данные субъекта;
• ФИО, адрес, паспортные данные представителя (если согласие дает представитель);
• наименование и адрес оператора;
• наименование и адрес лица, которое будет обрабатывать данные по поручению оператора (если такое лицо есть);
• перечень действий с данными, на которые дается согласие;
• срок действия согласия и способ его отзыва.

Рекомендуется использовать принцип «одно согласие — одна цель». Например, отдельное согласие на оказание услуг, отдельное — на маркетинговые рассылки, отдельное — на напоминания по SMS. Это делает согласие конкретным и позволяет субъекту отозвать его частично, не нарушая другие процессы.

Если вы обрабатываете данные несовершеннолетних, согласие оформляет родитель или законный представитель. Оператор обязан проверить полномочия представителя.

Частые ошибки и практические рекомендации

Самые распространенные ошибки при подаче уведомления:

1. Указание только одной цели обработки, хотя фактически их несколько (например, забывают про рассылки).
2. Указание категорий данных, которые вы не собираете (например, паспортные данные, если вы их не запрашиваете).
3. Неверное указание места хранения данных — если сервер за рубежом, это отдельное нарушение.
4. Игнорирование трансграничной передачи при использовании иностранных сервисов.
5. Подача уведомления по старой форме.

Практические рекомендации:

• Подайте уведомление до запуска формы сбора данных, а не после.
• Сохраняйте подтверждение подачи и регистрационный номер.
• Укажите регистрационный номер в политике конфиденциальности.
• Регулярно проверяйте актуальность сведений в реестре.
• При использовании облачных CRM (например, «Клиентикс ERP») помните: оператором данных остаетесь вы, а не разработчик системы.
• Если вы работаете с иностранными сервисами, оформляйте трансграничную передачу отдельно.

Помните: уведомление — не «индульгенция». РКН может проверить и тех, кто подал уведомление, и тех, кто не подал. Поэтому параллельно нужно обеспечить выполнение всех требований 152-ФЗ: локальные акты, согласия, меры защиты, сроки хранения.

Вопросы и ответы