Уведомление в РКН об обработке персональных данных

Уведомление в Роскомнадзор об обработке персональных данных — это документ, которым оператор сообщает регулятору, что собирается работать с чужими данными: зачем, какими способами и как их защищает. Подать его нужно до начала обработки. Сведения из уведомления попадают в реестр операторов, и именно так проходит регистрация оператора персональных данных; подать уведомление можно через портал pd.rkn.gov.ru или на бумаге. Ниже разберём, как подать уведомление РКН без возвратов, что в нём указывать и где обычно ошибаются. Если не хочется разбираться самостоятельно, есть регистрация в Роскомнадзоре «под ключ»: анкета, подготовка уведомления, передача на подпись и сопровождение подачи.

Кто обязан подавать уведомление и кому можно не подавать?

Обязанность прописана в статье 22 закона 152-ФЗ «О персональных данных»: оператор до начала обработки персональных данных должен уведомить об этом Роскомнадзор. То же сказано на странице регулятора для операторов, где подача уведомления стоит первым пунктом в списке обязанностей (Роскомнадзор, раздел «Для операторов»). Оператором считается любое лицо, которое определяет цели и способы обработки: ООО, ИП, самозанятый с клиентской базой, владелец интернет-магазина, агентство, блогер с формой заявки на сайте. Достаточно собирать имена и телефоны в форме обратной связи или вести кадровый учёт сотрудников. Отдельного порога по числу субъектов нет: хватает самого факта обработки.

Исключения закреплены в той же статье, их немного. На портале Роскомнадзора среди них названы обработка в целях защиты безопасности государства и общественного порядка, транспортной безопасности, а также обработка исключительно без средств автоматизации (портал персональных данных). Полный перечень лучше читать в тексте статьи 22, а не в пересказах.

Частое заблуждение: «у меня только сотрудники, уведомление не нужно». Раньше действительно были послабления для кадровой обработки, но редакция закона изменилась, и опираться на старые советы нельзя. Если в 1С, таблице или CRM лежат данные работников, вы автоматизированно обрабатываете персональные данные. Исключение «исключительно без средств автоматизации» работает редко: бумажные журналы без единого файла сегодня есть почти у никого.

Если вы ИП, есть отдельная страница про регистрацию ИП в РКН, а для компаний — про ООО. Различаются они в деталях: у юрлица больше систем, подрядчиков и категорий сотрудников.

Какие сроки подачи уведомления в РКН и что будет при опоздании?

Главное правило такое: уведомление подаётся до начала обработки. Не после первой заявки с сайта и не после запуска рекламы, а раньше. Это и есть основные сроки подачи уведомления в РКН. Отсчёт идёт не от даты регистрации юрлица, а от момента, когда вы начинаете собирать данные: открыли приём заявок, наняли первого сотрудника, подключили CRM. Для действующего бизнеса, который про уведомление забыл, срок фактически уже нарушен. Тянуть дальше нет смысла: чем дольше обработка идёт без записи в реестре, тем неприятнее выглядит ситуация при проверке или жалобе.

Отдельная история — изменения. Если поменялись сведения из уведомления (адрес, ответственный, цели, системы, страны передачи данных), подаётся уведомление об изменении. Срок для него установлен в статье 22, и точные формулировки стоит проверять по действующей редакции закона на дату подачи. Форма для изменений отдельная, как и форма уведомления о прекращении обработки: они доступны на портале Роскомнадзора.

Размер штрафов за обработку без уведомления зависит от статьи КоАП и статуса нарушителя, и эти нормы меняются. Актуальную картину мы собрали на странице про ответственность за нарушение 152-ФЗ. Пугать суммами здесь не будем: рабочая позиция — не откладывать подачу.

Как подать уведомление РКН: пошаговая инструкция

Подать уведомление можно в электронном виде на портале персональных данных Роскомнадзора. Формы утверждены приказом Роскомнадзора от 28.10.2022 № 180: отдельные для уведомления о намерении обрабатывать данные, об изменении сведений и о прекращении обработки (источник). На практике процесс укладывается в пять шагов: собрать сведения о своей обработке, выбрать способ подачи, заполнить электронную форму, подписать и отправить, дождаться внесения в реестр. Самое трудоёмкое — первый шаг. Сама форма заполняется быстро, если вы заранее знаете цели, категории данных, системы и ответственного. Если нет, форма превращается в гадание, и результат будет таким же.

Порядок действий такой:

1. Опишите процессы. Какие данные собираете, у кого (клиенты, сотрудники, соискатели, подписчики), для чего, где храните, кому передаёте.
2. Назначьте ответственного за организацию обработки персональных данных. Его ФИО и контакты потребуются в форме.
3. Определите способ подачи (см. таблицу ниже).
4. Заполните форму на портале, указав реквизиты оператора и сведения об обработке.
5. Подпишите и отправьте. Подпись зависит от способа подачи.
6. Проверьте реестр. После рассмотрения сведения о вас появляются в общедоступном реестре операторов.

На странице формы уведомления указано, что подать его можно через сервис с входом в ЕСИА или другими способами, перечисленными там же (форма уведомления). На региональной странице ведомства также сказано: после заполнения и отправки формы её нужно распечатать и заверить надлежащим образом (материалы территориального управления). Порядок может уточняться, поэтому перед отправкой перечитайте инструкцию прямо на портале.

Что указать в уведомлении, чтобы его не вернули?

Содержание уведомления определяет часть 3 статьи 22 закона, и форма устроена в соответствии с ней. Для оператора это значит: нужно ответить на вопросы, которые сводятся к одному — что вы делаете с данными на самом деле. В форме указывают наименование и адрес оператора, цель обработки, категории данных и категории субъектов, правовое основание, описание мер по защите, сведения об ответственном лице, дату начала обработки, срок или условие её прекращения, информацию о трансграничной передаче и о местах хранения баз данных. Сложнее всего с целями и категориями: именно здесь формулировки «в маркетинговых целях» или «для ведения деятельности» оказываются слишком общими, а реальная обработка включает куда больше.

Где обычно возникают трудности:

• Цели. Для сотрудников, клиентов и соискателей они разные, и сливать их в одну строку нельзя.
• Категории данных. Если на сайте есть форма заявки, трекинг и платёжный модуль, данных больше, чем «ФИО и телефон».
• Базы данных. Нужно понимать, где физически находятся серверы и какие сервисы получают данные. С 1 июля 2025 года вступили в силу изменения в закон 152-ФЗ: первичный сбор, запись, хранение и извлечение персональных данных граждан РФ, в том числе через сайты, должны осуществляться на серверах в России. Подробнее — в материале что проверить на сайте после 1 июля 2025 года.
• Трансграничная передача. Если данные уходят за рубеж (почтовые рассылки, аналитика, облака), это отражается отдельно, а сам факт передачи оформляется специальным уведомлением.

Заполняйте форму по реальным процессам, а не по образцу из интернета. Образец подскажет структуру, но не знает вашей CRM и ваших подрядчиков.

Какие ошибки при подаче уведомления встречаются чаще всего?

Уведомление, подписанное и отправленное, ещё не гарантирует, что всё в порядке. Типичные проблемы лежат не в технике, а в несоответствии заявленного реальному. Главный принцип, по которому мы работаем в «Роском 24»: сайт, реестр Роскомнадзора, документы и процессы должны описывать одно и то же. Если в уведомлении написано одно, в политике конфиденциальности другое, а на сайте стоит скрипт, о котором никто не вспомнил, расхождение видно сразу. Проверяющему не нужно искать глубоко: достаточно открыть сайт и сверить его с записью в реестре.

На что стоит обратить внимание:

• Подача «для галочки». Форма заполнена минимально, цели обобщены, системы не перечислены. Формально уведомление есть, по сути — нет.
• Забытые сотрудники. Оператор описал только клиентскую базу, а кадровый учёт, табели и банковские реквизиты работников остались за кадром.
• Не обновлено после изменений. Сменили адрес, подключили зарубежный сервис, сменили ответственного — а уведомление об изменении не подали.
• Нет политики на сайте. Документ, определяющий политику обработки, нужно опубликовать или иным образом обеспечить к нему неограниченный доступ (Роскомнадзор). Какие документы нужны сайту, мы разбирали отдельно.
• Путаница с видом деятельности. Блогерам и владельцам каналов с большой аудиторией иногда кажется, что это одно и то же. Нет: владельцы страниц и каналов в соцсетях с аудиторией более 10 тысяч подписчиков передают сведения о себе в Роскомнадзор по другому закону (№ 303-ФЗ), а не по 152-ФЗ; механизм действует с 1 ноября 2024 года, а при отсутствии регистрации действуют ограничения, например на размещение рекламы.

Есть и неочевидная ловушка: уведомление — лишь один элемент. Оно не заменяет политику, согласия, приказы и локальные акты. Состав комплекта зависит от того, как работает конкретная компания, универсальной «папки на все случаи» не существует. Что входит в такой пакет, описано на странице про разработку документов по персональным данным.

Что происходит после отправки и когда нужна помощь специалиста?

После отправки уведомление рассматривается регулятором, и при успехе сведения появляются в реестре операторов. Срок рассмотрения определяется ведомством, он не равен сроку подготовки документов, и обещать конкретную дату никто честно не может. Поэтому после подачи полезно не расслабляться, а проверить запись в реестре и сверить её с тем, что написано на сайте. Заметили расхождение — подавайте уведомление об изменении, не дожидаясь вопросов от регулятора.

Самостоятельно подать уведомление реально, если бизнес маленький, процессы простые, системы известны, а сайт не собирает ничего, кроме имени и телефона. Помощь нужна там, где данных много и они расползлись: несколько юрлиц, интернет-магазин с аналитикой и CRM, сервисы за рубежом, филиалы, большие кадровые базы. В таких случаях ошибка в исходных сведениях тянет за собой ошибки во всех документах.

У «Роском 24» порядок такой: получаем анкету-заявление, анализируем процессы по сведениям клиента, учитываем системы и категории сотрудников, готовим уведомление, передаём для подписания и отправки, сопровождаем подачу. В эту услугу не входят аудит сайта и контроль появления записи в реестре, эти задачи решаются отдельно. Если сайт вызывает сомнения, посмотрите анализ сайта по 152-ФЗ, а если нужно оценить компанию целиком, подойдёт аудит бизнеса. Стоимость зависит от задачи, актуальные цены собраны на странице тарифов. Нас выбирали более 425 клиентов по персональным данным, а отзывы можно прочитать самим.

И последнее. Если уведомление не подано, а проверка или запрос уже пришли, ситуация другая. Тогда сначала разбирается ответ на запрос или предписание, а подача идёт параллельно. Для спокойной подготовки заранее есть материал о том, как проходит проверка Роскомнадзора.

Что делать прямо сейчас?

Ответьте на три вопроса: подавали ли вы уведомление, совпадает ли запись в реестре с вашей фактической работой, есть ли на сайте актуальная политика. Если на любой вопрос ответ «не знаю», начните с проверки. Скачайте бесплатный чек-лист «Как выполнить требования Роскомнадзора в 2026 году» или сразу закажите регистрацию в Роскомнадзоре: специалисты «Роском 24» соберут сведения, подготовят уведомление и передадут его на подпись. Вопросы можно задать через контакты компании.