Нет сайта — значит, реестр операторов ПДн не для вас? Разбираем миф
Индивидуальный предприниматель без сайта нередко рассуждает так: раз нет сайта — нет формы для сбора данных, значит, я не оператор персональных данных, и реестр операторов ПДн меня не касается. Логика понятная, но закон её не поддерживает.
Оператором персональных данных по п. 2 ст. 3 152-ФЗ признаётся «государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными». Слова «сайт» в этом определении нет вообще — критерий один: сам факт того, что вы работаете с чужими персональными данными, неважно на бумаге, в мессенджере или в CRM.
И ещё момент, который обычно упускают: статус оператора и все обязанности по 152-ФЗ — согласия, политика обработки ПДн, меры безопасности — не зависят от того, попали ли вы в реестр операторов ПДн. Реестр — производный публичный список, а не источник обязанности. Не подав уведомление, вы не перестаёте быть оператором: вы просто добавляете к своим обязательствам ещё одно нарушение — само отсутствие в реестре.
Когда уведомление в РКН не нужно: закон оставил только 3 исключения
Часть 1 ст. 22 152-ФЗ формулирует общее правило жёстко: оператор до начала обработки персональных данных обязан уведомить уполномоченный орган — то есть Роскомнадзор — о своём намерении обрабатывать ПДн, «за исключением случаев, предусмотренных частью 2 настоящей статьи». Всё, что нужно знать дальше — какие именно случаи перечислены в этой части 2.
До 1 сентября 2022 года исключений действительно было около десяти: обработка в рамках трудовых отношений, разовый договор без передачи данных третьим лицам, обработка данных членов общественного объединения, работа только с общедоступными персональными данными, обработка исключительно ФИО — и ещё несколько узких пунктов. Многие статьи в интернете до сих пор пересказывают этот список как действующий. Это устаревшая информация: Федеральный закон от 14.07.2022 № 266-ФЗ отменил пункты 1–6 части 2 ст. 22 с 1 сентября 2022 года.
С этой даты в силе остались только три основания не подавать уведомление:
- ПДн включены в государственные информационные системы, созданные для защиты безопасности государства и общественного порядка (п. 7);
- обработка ведётся исключительно без использования средств автоматизации — критерии такой обработки определены Постановлением Правительства РФ от 15.09.2008 № 687 (п. 8);
- обработка связана с законодательством о транспортной безопасности (п. 9).
«Нет сайта» и «ИП без сотрудников» никогда не были в этом списке — ни в старой редакции из десяти пунктов, ни тем более в новой из трёх.
Важно: если вы читали в интернете список из примерно десяти исключений, когда можно не уведомлять РКН, — это устаревшая информация. С 1 сентября 2022 года действуют только 3 узких основания, и отсутствия сайта среди них никогда не было.
| Период | Основания не уведомлять РКН (ч. 2 ст. 22 152-ФЗ) |
|---|---|
| До 1 сентября 2022 | ~10 оснований, среди прочего: трудовые отношения; разовый договор без передачи данных третьим лицам; общедоступные ПДн; обработка только ФИО; члены общественных объединений (список неполный) |
| С 1 сентября 2022 (действует сейчас) | Только 3 основания: ПДн в гос. информационных системах безопасности (п. 7); обработка исключительно без средств автоматизации (п. 8); транспортная безопасность (п. 9) |
Не уверены, что ваш сайт (если он всё же есть) отражён в реестре и соответствует 152-ФЗ?Бесплатный аудит по 16 требованиям РКН за пару минут.
Проверить сайтТри примера: когда ИП без сайта всё равно обязан подать уведомление
Разберём три пограничные ситуации — они закрывают почти все вопросы, которые обычно задают ИП без сайта.
Кейс 1. Парикмахер с бумажным блокнотом
ИП ведёт запись клиентов строго в бумажном блокноте — без CRM, без таблиц в компьютере, без единой программы. Формально это подпадает под исключение п. 8 ч. 2 ст. 22 — обработка без средств автоматизации, уведомление в РКН не требуется.
Кейс 2. Репетитор с CRM или Google-таблицей
Тот же по масштабу бизнес, но база учеников ведётся в CRM-сервисе или в Google-таблице. Это уже автоматизированная обработка персональных данных, и ни одно из трёх оставшихся исключений сюда не подходит. Уведомление в РКН обязательно — сайта при этом может не быть вовсе.
Кейс 3. ИП с сотрудниками на зарплате через 1С или банк-клиент
У ИП есть один-два наёмных сотрудника, зарплата считается в 1С или платится через банк-клиент. До 1 сентября 2022 года здесь работало исключение «трудовые отношения» — но оно отменено тем же 266-ФЗ. РКН отдельно подтвердил это письмом от 19.08.2022 № 08-75348: работодатель обязан уведомить регулятора об обработке персональных данных сотрудников, даже если получил эти данные исключительно в рамках трудовых отношений. Значит, уведомление обязательно — и сайт здесь вообще ни при чём.
На заметку: грань «без автоматизации» на практике размыта. Если тот же парикмахер из кейса 1 переписывается с клиентами в мессенджере и хранит там историю с именами и телефонами, чистота исключения п. 8 уже под вопросом — официального критерия «мессенджер = автоматизация» не установлено. Однозначного ответа закон для такого сценария не даёт, и это стоит иметь в виду, а не считать бумажный блокнот универсальной охранной грамотой.
Сколько будет стоить незарегистрированный статус: штрафы 2026 года
До 30 мая 2025 года отсутствие уведомления в РКН каралось по общей норме — ст. 19.7 КоАП РФ («Непредставление сведений»): предупреждение или 300–500 ₽ для должностных лиц, 3 000–5 000 ₽ для организаций. Суммы символические, и дело часто ограничивалось предупреждением.
30 мая 2025 года вступил в силу Федеральный закон от 30.11.2024 № 420-ФЗ, и для неуведомления появился отдельный состав — ч. 10 ст. 13.11 КоАП РФ. Суммы для ИП и юрлиц выросли более чем в 20 раз:
| Норма | Граждане | ИП | Должностные лица | Юрлица |
|---|---|---|---|---|
| До 30.05.2025 — ст. 19.7 КоАП РФ | — | 300–500 ₽ (как должностное лицо) | 300–500 ₽ | 3 000–5 000 ₽ |
| С 30.05.2025 — ч. 10 ст. 13.11 КоАП РФ | 5 000–10 000 ₽ | 100 000–300 000 ₽ | 30 000–50 000 ₽ | 100 000–300 000 ₽ |
Обратите внимание на колонку «ИП» в новой норме: она равна колонке «юрлица», а не «должностные лица». Причина — в примечании к ст. 13.11 КоАП РФ: по частям 8–18 этой статьи (в том числе интересующей нас части 10) индивидуальные предприниматели несут ответственность как юридические лица. Отсюда и берутся 100 000–300 000 ₽ для ИП.
Важно: штраф за само неуведомление вырос более чем в 20 раз для ИП и юрлиц — со старых 3 000–5 000 ₽ до 100 000–300 000 ₽ с 30 мая 2025 года. Отдельного усиленного состава именно за повторное неуведомление закон не предусматривает: при повторном выявлении того же нарушения применяется та же ч. 10 ст. 13.11 КоАП РФ — 100 000–300 000 ₽ для ИП и юрлиц, возможно по совокупности с другими нарушениями 152-ФЗ (например, если параллельно вскроется обработка ПДн без надлежащего согласия по ч. 2 той же статьи — а вот там штрафы для ИП и юрлиц уже другие и заметно выше).
Есть и смягчение: ст. 13.11 КоАП РФ не входит в перечень статей, где штраф нельзя заменить предупреждением (ч. 2 ст. 4.1.1 КоАП РФ). При первом нарушении, выявленном в ходе государственного контроля, а не по жалобе субъекта персональных данных, и при соблюдении условий ч. 2 ст. 3.4 КоАП РФ (нет вреда, нет ущерба и т.п.) штраф можно заменить предупреждением. Это не автоматическая гарантия и не повод откладывать подачу уведомления — условия должны выполняться одновременно, а обязанность подать уведомление никуда не девается.
Как понять, нужна ли лично вам регистрация — чек-лист из 5 вопросов
Пройдите по пяти вопросам — с их помощью можно быстро понять свой случай, не углубляясь в текст закона.
- Обрабатываете ли вы персональные данные вообще — клиентов, учеников, пациентов, сотрудников, подрядчиков-физлиц?
- Используете ли для этого средства автоматизации — CRM, Excel, 1С, мессенджер с сохранённой историей переписки?
- Есть ли у вас наёмные сотрудники (тогда данные о зарплате и кадровом учёте уже обрабатываются)?
- Передаёте ли данные третьим лицам — бухгалтеру на аутсорсе, службе доставки, партнёру?
- Подпадаете ли вы под одно из трёх узких исключений ч. 2 ст. 22 152-ФЗ — государственные системы безопасности, обработка исключительно без автоматизации, транспортная безопасность?
Если хотя бы на один из вопросов 1–4 ответ «да», а на вопрос 5 — «нет», уведомление в РКН обязательно.
Не путайте два реестра. ЕГРИП — это реестр ФНС, куда вы попадаете при регистрации ИП как субъекта бизнеса. Реестр операторов ПДн ведёт Роскомнадзор на основании поданных уведомлений по ст. 22 152-ФЗ — отдельная процедура, никак не связанная с фактом регистрации ИП. Можно много лет быть ИП и не иметь обязанности подавать уведомление, а можно быть самозанятым без статуса ИП и такую обязанность иметь. Поэтому проверить ИП в РКН — не то же самое, что проверить ИП в ЕГРИП: это два разных реестра с разной логикой.
Уведомление подаётся через официальный портал персональных данных Роскомнадзора pd.rkn.gov.ru — реестр операторов ведётся именно на основании таких уведомлений — либо через Госуслуги. По данным сервисов-агрегаторов, госпошлина не взимается, а рассмотрение обычно занимает порядка 30 дней — точный регламент лучше уточнять непосредственно на портале при подаче. При ошибке в уведомлении процедуру приходится начинать заново, так что форму лучше заполнять внимательно с первого раза.
Если сайт всё-таки есть: что проверить помимо реестра
Итог простой: обязанность уведомить РКН и попасть в реестр операторов ПДн зависит от факта обработки персональных данных, а не от наличия сайта. Сайт — лишь один из возможных каналов сбора данных, причём далеко не единственный: клиентская база в блокноте, CRM или переписке в мессенджере работает по тем же правилам.
У большинства читателей этого блога сайт, лендинг или хотя бы визитка всё же есть. А значит, кроме вопроса «нужна ли регистрация», добавляются и другие обязательные пункты 152-ФЗ: согласия на сайте, опубликованная политика обработки персональных данных, локализация ПДн на серверах в России — и, конечно, проверка сайта в реестре Роскомнадзора: отражён ли он там вообще как канал оператора. Как именно проверить, есть ли сайт в РКН, и на что ещё смотреть по 152-ФЗ — подробно разобрали в отдельном материале: как проверить сайт на 152-ФЗ.