Уведомление об обработке персональных данных — первый документ, который Роскомнадзор проверяет по любой жалобе: есть компания в реестре операторов или нет. С 30 мая 2025 года за его отсутствие штрафуют на суммы до 300 000 ₽, а с 1 сентября 2022 года обязанность распространяется почти на всех: исключения для кадрового учёта и договоров с клиентами отменены. Ниже — кто обязан подать уведомление, как заполнить его через Госуслуги за один вечер, какие сроки действуют при изменениях и как проверить себя в реестре.
Кто обязан подать уведомление
Оператор персональных данных — это любое лицо, которое определяет цели и состав обработки данных граждан: компания, предприниматель, самозанятый и даже физическое лицо (п. 2 ст. 3 Закона № 152-ФЗ). До 1 сентября 2022 года без уведомления можно было обрабатывать данные работников, сторон договора и ещё несколько категорий. Закон № 266-ФЗ эти исключения отменил, и теперь без уведомления обходятся только три узких случая.
| Ситуация | Нужно ли уведомление | Почему |
|---|---|---|
| ООО или ИП с сотрудниками | Да | кадровый учёт — обработка данных работников с использованием программ; исключение для трудовых отношений отменено с 1 сентября 2022 года |
| Сайт с формой заявки, корзиной, чатом или счётчиком аналитики | Да | сбор данных посетителей через интернет — автоматизированная обработка |
| Самозанятый, который ведёт базу клиентов в CRM, таблице или мессенджере | Да | гражданин, обрабатывающий чужие данные для своей деятельности, — тоже оператор |
| Бумажный журнал записи клиентов без компьютера | Нет | обработка исключительно без средств автоматизации — п. 8 ч. 2 ст. 22 Закона № 152-ФЗ |
| Данные только в государственных системах безопасности или по закону о транспортной безопасности | Нет | п. 7 и 9 ч. 2 ст. 22 — узкие исключения, к обычному бизнесу не относятся |
Практический критерий простой: если у вас есть хотя бы одна таблица, программа или сервис, где хранятся фамилии, телефоны или адреса клиентов и сотрудников, вы обязаны быть в реестре. Форма обратной связи на сайте тоже считается, и именно по сайтам Роскомнадзор чаще всего находит операторов, которых в реестре нет.
Сроки: когда подавать и когда обновлять
| Что произошло | Срок | Норма |
|---|---|---|
| Начинаете обрабатывать персональные данные | до начала обработки | ч. 1 ст. 22 Закона № 152-ФЗ |
| Изменились сведения из уведомления: цели, категории данных, ответственный, адрес | не позднее 15-го числа месяца, следующего за месяцем изменений | ч. 7 ст. 22 |
| Прекратили обработку | 10 рабочих дней с даты прекращения | ч. 7 ст. 22 |
| Собираетесь передавать данные за границу | до начала передачи, отдельным уведомлением | ч. 3 ст. 12 |
| Произошла утечка | 24 часа — первое уведомление, 72 часа — результаты расследования | ч. 3.1 ст. 21 |
| Роскомнадзор вносит сведения в реестр | 30 дней с даты поступления уведомления | ч. 4 ст. 22 |
Самая частая ошибка — подать уведомление один раз и забыть. Сведения в реестре должны совпадать с реальностью: поменяли адрес, сменился директор или ответственный, добавили новую цель вроде рассылки или программы лояльности — нужно информационное письмо об изменениях до 15-го числа следующего месяца. Несоответствие реестра практике проверяющие расценивают как недостоверные сведения.
Что подготовить до подачи
Форма уведомления утверждена приказом Роскомнадзора от 28.10.2022 № 180 и повторяет перечень сведений из ч. 3 и 3.1 ст. 22 Закона № 152-ФЗ. Чтобы заполнить её за один подход, соберите заранее:
- Реквизиты оператора. Наименование или ФИО, ИНН, ОГРН, адрес, контактный телефон и электронную почту.
- Ответственного за организацию обработки. Для юридического лица его назначение обязательно (ст. 22.1 Закона № 152-ФЗ), для ИП и самозанятого — это он сам. В уведомлении указывают ФИО, телефон, почтовый и электронный адреса; эти сведения попадут в открытый реестр.
- Цели обработки. Для каждой цели отдельно: категории данных (ФИО, телефон, паспортные данные, данные о здоровье), категории субъектов (клиенты, работники, соискатели, посетители сайта), правовое основание (договор, согласие, Трудовой кодекс), перечень действий (сбор, хранение, передача) и способы (с использованием средств автоматизации или смешанная).
- Меры защиты. Описание организационных и технических мер по ст. 18.1 и 19: политика обработки, локальные акты, разграничение доступа, антивирус, резервное копирование. Отдельно — есть ли шифровальные средства и какие.
- Место базы данных. Адрес сервера или название хостинга в России: с 2015 года базы с данными граждан РФ должны находиться в стране (ч. 5 ст. 18).
- Трансграничная передача. Есть или нет. Если данные уходят в зарубежный сервис, нужно отдельное уведомление по ст. 12.
- Дата начала обработки и условие прекращения. Обычно «до достижения целей обработки» или «до ликвидации организации».
Параллельно проверьте, что политика обработки опубликована на сайте (ч. 2 ст. 18.1) и что формы берут согласие: без этого уведомление в реестре не спасёт от штрафа при первой же жалобе. Если документов нет, их готовит юрист по персональным данным.
Как подать уведомление через Госуслуги: пошагово
- Откройте портал Роскомнадзора по персональным данным, раздел «Реестр операторов» → «Подать уведомление». Доступны три способа: бумажный документ, электронный с усиленной квалифицированной подписью и электронный с входом через Госуслуги. Последний самый простой: подпись не нужна.
- Войдите через Госуслуги. Для организации вход выполняет руководитель или сотрудник, которому в учётной записи компании выданы полномочия; для ИП и самозанятого — личная подтверждённая учётная запись.
- Заполните сведения об операторе. Часть реквизитов подтянется из ЕГРЮЛ или ЕГРИП, остальное — вручную по списку выше.
- Добавьте цели обработки. Каждая цель — отдельная карточка с категориями данных, субъектов, основанием и действиями. Для типового бизнеса достаточно трёх-пяти целей: исполнение договоров с клиентами, кадровый учёт, подбор персонала, обратная связь на сайте, рассылки.
- Опишите меры защиты и место базы данных. Укажите российский хостинг и перечислите меры из политики обработки.
- Проверьте и отправьте. Портал выдаст номер уведомления и дату — сохраните их, они понадобятся для уведомления об изменениях и о трансграничной передаче.
- Через 2–4 недели найдите себя в реестре по ИНН. Если записи нет через 30 дней, проверьте статус уведомления на портале: при неполных сведениях Роскомнадзор возвращает его на уточнение (ч. 6 ст. 22).
Госпошлины и других платежей нет: закон прямо запрещает возлагать на оператора расходы в связи с рассмотрением уведомления и ведением реестра (ч. 5 ст. 22).
Штраф за неподачу уведомления
До мая 2025 года неподача уведомления наказывалась по ст. 19.7 КоАП РФ символическими суммами. Закон № 420-ФЗ ввёл в ст. 13.11 отдельную часть 10, и с 30 мая 2025 года штрафы выглядят так:
| Кто нарушил | Штраф за неподачу или просрочку | Норма |
|---|---|---|
| Гражданин, в том числе самозанятый | 5 000 – 10 000 ₽ | ч. 10 ст. 13.11 КоАП РФ |
| Должностное лицо государственного или муниципального органа, НКО | 30 000 – 50 000 ₽ | ч. 10 ст. 13.11, примечание 2 к ст. 13.11 КоАП РФ |
| Организация и индивидуальный предприниматель | 100 000 – 300 000 ₽ | ч. 10 ст. 13.11, примечание 1 к ст. 13.11 КоАП РФ |
Штраф выписывают за каждое нарушение: неподача, просрочка, неподанное уведомление об изменениях. Предприниматели по этой части отвечают как организации (примечание 1 к ст. 13.11 КоАП РФ), скидка 50 % при быстрой оплате на ст. 13.11 не распространяется. Отдельные составы и суммы крупнее действуют за утечку, за неуведомление о ней и за обработку без согласия — их мы разобрали в обзоре штрафов по персональным данным, а полную таблицу санкций для предпринимателей — в статье о штрафах для ИП в 2026 году.
Информационное письмо об изменениях и прекращении
Подаётся на том же портале. Изменились цели, категории данных, адрес, ответственный, состав мер защиты, место хранения базы — сообщите обо всех изменениях за месяц одним письмом не позднее 15-го числа следующего месяца. Прекратили обработку (закрыли бизнес, ликвидировали компанию) — уведомление о прекращении в течение 10 рабочих дней; Роскомнадзор исключит запись из реестра в течение 30 дней (ч. 4.1 ст. 22).
Что делать после подачи
- Сохраните номер и дату уведомления — они указываются в последующих письмах и в уведомлении о трансграничной передаче.
- Сверьте реестр с политикой обработки на сайте: цели и категории должны совпадать.
- Заведите папку документов по 152-ФЗ: приказ об ответственном, политика, перечень лиц с доступом, формы согласий, журнал обращений субъектов.
- Поставьте напоминание на проверку сведений раз в квартал: новая CRM, новый сайт или подрядчик по рассылкам — повод для информационного письма.
- Подготовьте порядок действий на случай утечки: 24 часа на первое уведомление — срок, в который без готового шаблона не уложиться.
Для компаний, которые не хотят держать это в голове, ведение реестра, обновление документов и ответы на запросы Роскомнадзора входят в пакет абонентского юридического обслуживания.
Нужна помощь с уведомлением? Юрист заполнит форму и подготовит документы по 152-ФЗ. Напишите нам в Telegram @lawyerchepik или оставьте заявку на странице услуги по персональным данным.
Частые вопросы
Нужно ли подавать уведомление, если я ИП без сотрудников?
Да, если вы обрабатываете данные клиентов с использованием компьютера, телефона или онлайн-сервиса: ведёте базу в CRM, принимаете заявки с сайта, выставляете счета с ФИО. Исключение действует только для обработки без средств автоматизации — бумажного журнала (п. 8 ч. 2 ст. 22 Закона № 152-ФЗ). Штраф для ИП такой же, как для организации, — от 100 000 до 300 000 ₽: по ч. 10 ст. 13.11 КоАП РФ предприниматели отвечают как юридические лица.
Что делать, если компания работает давно, а уведомление не подано?
Подать сейчас. Закон требует уведомить до начала обработки, но подача с опозданием прекращает нарушение и на практике снижает риск: Роскомнадзор чаще штрафует тех, кого нет в реестре на момент проверки или жалобы. Укажите в поле «дата начала обработки» реальную дату — недостоверные сведения хуже, чем поздние.
Нужна ли электронная подпись для подачи уведомления?
Нет. Уведомление подаётся на портале Роскомнадзора после входа через Госуслуги, подписывать его усиленной квалифицированной подписью не нужно. Для организации вход выполняет руководитель или сотрудник с полномочиями в учётной записи компании на Госуслугах. Подписание УКЭП и бумажная форма остаются как альтернативы.
Как проверить, есть ли компания в реестре операторов?
На портале Роскомнадзора в разделе «Реестр операторов» ищите по ИНН или названию. Запись появляется в течение 30 дней после подачи. Если организации нет, а уведомление подавали давно, запросите статус на том же портале: уведомление могли вернуть из-за неполных сведений (ч. 6 ст. 22 Закона № 152-ФЗ).
Нужно ли подавать уведомление о передаче данных в Telegram, WhatsApp или зарубежное облако?
Да, это трансграничная передача: серверы мессенджеров и многих облачных сервисов находятся за пределами России. О намерении передавать данные за границу подаётся отдельное уведомление по ст. 12 Закона № 152-ФЗ, до начала передачи, а для стран без адекватной защиты данных Роскомнадзор вправе её запретить. Самый простой выход для малого бизнеса — не отправлять данные клиентов в зарубежные сервисы вовсе.
Что ещё проверит Роскомнадзор, кроме уведомления?
Политику обработки персональных данных на сайте, согласия на обработку (с 1 сентября 2025 года — отдельным документом), приказ о назначении ответственного, перечень мест хранения и состав мер защиты. Полный чек-лист и размеры штрафов — в статье о персональных данных для бизнеса в 2026 году.
Итог
Уведомление в Роскомнадзор обязано подать почти любое лицо, которое ведёт базу клиентов или сотрудников на компьютере, — до начала обработки, бесплатно, через портал ведомства с входом по Госуслугам. Соберите заранее цели, категории данных, сведения об ответственном и о месте хранения базы, после подачи проверьте запись в реестре, а при изменениях сообщайте о них до 15-го числа следующего месяца. Цена ошибки с 30 мая 2025 года — до 300 000 ₽ для организации.
Нормы сверены 7 октября 2026 года по Закону № 152-ФЗ и КоАП РФ в действующих редакциях. Интерфейс портала Роскомнадзора может меняться; состав сведений в форме определяется ч. 3 и 3.1 ст. 22 Закона № 152-ФЗ.
