Собираете email через форму на сайте, ведёте клиентскую базу в CRM или подключили рассылку — вы уже оператор персональных данных. И по закону обязаны заранее сообщить об этом Роскомнадзору, а не ждать, пока он спросит сам.
Кто обязан уведомить Роскомнадзор — и кого это больше не касается
По умолчанию правило простое: оператор обязан уведомить Роскомнадзор о намерении обрабатывать персональные данные до начала такой обработки — это не отраслевая обязанность для «избранных», а общее требование ст. 22 152-ФЗ (ч. 1).
Раньше исключений из этого правила было шесть. С 1 сентября 2022 года (после 266-ФЗ от 14.07.2022) пункты 1–6 части 2 статьи 22 утратили силу — старые освобождения больше не действуют. Сейчас исключений всего три: обработка данных государственными информационными системами для защиты безопасности государства и общественного порядка; обработка исключительно на бумаге, без средств автоматизации; обработка в рамках законодательства о транспортной безопасности.
Частая ошибка — думать, что работодатели, которые обрабатывают только данные своих сотрудников, по-прежнему освобождены от уведомления. Это было верно до 1 сентября 2022 года. Сейчас такого исключения нет, и большинство компаний обязаны подавать уведомление наравне со всеми.
Если не уверены, что вам вообще нужно подавать уведомление — этому вопросу стоит посвятить отдельный разбор исключений. Здесь же исходим из того, что обязанность есть у подавляющего большинства сайтов, которые собирают контакты посетителей.
Как проверить, есть ли сайт или ИП уже в реестре операторов ПДн
Прежде чем разбираться с подачей — стоит проверить, не сделали ли это уже вы сами (или бухгалтер, юрист, прошлый подрядчик) в прошлые годы. Реестр операторов, осуществляющих обработку персональных данных, — открытый и общедоступный по прямому указанию закона (ст. 22, ч. 4 152-ФЗ), кроме сведений о мерах защиты.
Проверка сайта в реестре Роскомнадзора делается через портал pd.rkn.gov.ru, раздел со списком операторов. Поиск ведётся по фильтрам — в том числе по ИНН и по наименованию оператора. Так же проверяют ИП: это самостоятельный субъект обязанности уведомления, а не «физлицо, с которого взятки гладки» — реестр не делает разницы между компанией и предпринимателем.
Для масштаба: в реестре операторов ПДн зарегистрировано порядка 950 тысяч записей — цифра из агрегированных источников, ориентир порядка величины, а не точная статистика на сегодняшний день. Практический смысл прост: если вы работаете легально дольше пары лет, есть шанс, что уведомление уже когда-то подавалось — например, при регистрации ООО или первым бухгалтером.
Дальше — развилка. Нашли себя (или свою компанию) в реестре операторов ПДн — уведомление уже подано, и вам нужен раздел о том, как его актуализировать при изменениях (см. ниже). Не нашли — переходим к пошаговой подаче: что писать в уведомлении и куда его нести.
Пока разбираетесь с реестром операторов — заодно бесплатно проверьте, готов ли сайт по остальным требованиям 152-ФЗ: политика конфиденциальности, чекбоксы согласия, cookie-баннер.Бесплатный аудит по 16 требованиям РКН за пару минут.
Проверить сайтЧто указать в уведомлении: обязательные сведения и форма
Уведомление — это не письмо в свободной форме, а документ со строго заданным составом сведений (ч. 3, 3.1 ст. 22 152-ФЗ). Нужно указать:
- наименование и адрес оператора;
- цель обработки персональных данных;
- правовое основание обработки;
- категории персональных данных и категории субъектов по каждой цели;
- перечень действий и способы обработки данных;
- описание мер защиты — включая наличие и наименования криптосредств, если они используются;
- ФИО (или наименование) и контакты лица, ответственного за организацию обработки ПДн;
- дату начала обработки;
- срок или условие прекращения обработки;
- сведения о наличии или отсутствии трансграничной передачи данных;
- место нахождения базы данных.
Этот список рассчитан на типового частного оператора — то есть покрывает подавляющее большинство сайтов и компаний, которые просто собирают данные посетителей и клиентов. Отдельно п. 10.2 ч. 3 ст. 22 152-ФЗ добавляет ещё один пункт для более узкого круга операторов: сведения о лицах, имеющих доступ к персональным данным в государственных и муниципальных информационных системах, — если это не ваш случай, этот пункт можно пропустить.
Официальная форма для первичной подачи — это Приложение № 1 к Приказу Роскомнадзора от 28.10.2022 № 180 (зарегистрирован Минюстом 15.12.2022 № 71532, действует с 26.12.2022). Уточним сразу: официального термина «форма 3-ПДн» в 152-ФЗ и в тексте самого приказа нет — это неофициальное обозначение из отраслевых блогов. Правильно называть документ по номеру приложения к приказу.
По сути, уведомление в Роскомнадзор об обработке персональных данных — это честная декларация: что вы собираете, зачем, как храните и защищаете. Чем точнее состав сведений соответствует реальной практике на сайте, тем меньше риск расхождений при будущей проверке.
Как подать: 3 способа и сроки рассмотрения
Закон и практика Роскомнадзора допускают три способа подачи уведомления:
- На бумаге — почтой в территориальный орган Роскомнадзора по месту нахождения оператора.
- Электронно на портале pd.rkn.gov.ru — с усиленной квалифицированной электронной подписью (УКЭП); бумажный дубликат в этом случае не требуется.
- Электронно через ЕСИА («Госуслуги») — нужна подтверждённая учётная запись физического лица — представителя оператора; отдельная УКЭП в этом случае не требуется.
После подачи Роскомнадзор обязан рассмотреть уведомление и внести оператора в реестр операторов ПДн с присвоением регистрационного номера в течение 30 дней с даты поступления. Расходы на оператора в связи с этой процедурой не возлагаются — подача бесплатна.
3 срока, которые нельзя пропустить: 30 дней — столько Роскомнадзор рассматривает уведомление и присваивает регистрационный номер; до 15-го числа следующего месяца — если изменились ранее поданные сведения; 10 рабочих дней — если обработка ПДн прекращена.
Если данные изменились или обработка прекратилась
Уведомление — это не разовая формальность «подал и забыл». Если у вас поменялись цели обработки, категории персональных данных, появился новый подрядчик-обработчик или трансграничная передача данных — об этом нужно уведомить Роскомнадзор не позднее 15-го числа месяца, следующего за месяцем, в котором произошли изменения. Форма — Приложение № 2 к тому же Приказу № 180.
Если обработка персональных данных прекращена полностью (например, компания закрыла форму сбора заявок или сменила модель работы) — об этом нужно уведомить в течение 10 рабочих дней с даты прекращения, по форме Приложения № 3. На основании такого уведомления Роскомнадзор исключает оператора из реестра.
На практике многие компании подают уведомление один раз при регистрации и больше к нему не возвращаются — забывают сообщить о смене подрядчика по рассылкам, добавлении новой CRM или запуске рекламы с передачей данных за рубеж. Это отдельный риск: реестр перестаёт отражать реальность, а расхождение легко всплывает при проверке.
Что будет, если не уведомить или опоздать
Важно: с 30.05.2025 за неуведомление Роскомнадзора о начале обработки ПДн действует не старая ст. 19.7 КоАП, а специальная ч. 10 ст. 13.11 КоАП — штраф для юрлиц и ИП вырос до 100 000–300 000 ₽.
До 30.05.2025 неуведомление квалифицировалось по общей норме — ст. 19.7 КоАП («Непредставление сведений»), и суммы там были символическими. Федеральный закон от 30.11.2024 № 420-ФЗ ввёл специальную норму — ч. 10 ст. 13.11 КоАП, которая как более узкая и профильная вытесняет общую статью именно для состава «не уведомил Роскомнадзор о начале обработки ПДн».
| Нарушение | Граждане | Должностные лица | ИП | Юрлица | Норма |
|---|---|---|---|---|---|
| Не уведомили РКН о начале обработки ПДн вовремя | 5 000–10 000 ₽ | 30 000–50 000 ₽ | 100 000–300 000 ₽ (как юрлицо) | 100 000–300 000 ₽ | ст. 13.11 ч. 10 КоАП (с 30.05.2025) |
| Не уведомили о неправомерной передаче/утечке ПДн | 50 000–100 000 ₽ | 400 000–800 000 ₽ | 1–3 млн ₽ (как юрлицо) | 1–3 млн ₽ | ст. 13.11 ч. 11 КоАП (с 30.05.2025) |
| Историческая справка — действовала до 30.05.2025, суммы не менялись | 100–300 ₽ | 300–500 ₽ | — | 3 000–5 000 ₽ | ст. 19.7 КоАП |
Отдельный, более тяжёлый состав — ч. 11 ст. 13.11 КоАП: штраф за неуведомление Роскомнадзора о факте неправомерной или случайной передачи ПДн, то есть об утечке. Это другая обязанность, не про подачу уведомления о начале обработки, но суммы там ощутимо выше — до 1–3 млн ₽ для юрлиц и ИП.
Отдельно стоит подсветить для ИП: по примечанию к ст. 13.11 КоАП индивидуальные предприниматели по составам ч. 10 и 11 отвечают как юридические лица — то есть по верхней шкале сумм, а не как должностные лица. Многие ИП по инерции считают, что для них штраф автоматически меньше, — это ошибка, которая может стоить сотен тысяч рублей.
По общему правилу ч. 1 ст. 4.1.1 КоАП штраф при первом нарушении можно заменить на предупреждение — но только для субъектов малого и среднего предпринимательства и только если нарушение не причинило вреда и не создало угрозы (условия ч. 2 ст. 3.4 КоАП). Крупным компаниям и в случаях с реальным вредом эта льгота не положена. При этом норма ч. 10 ст. 13.11 действует чуть больше года, и устоявшейся практики её применения именно в связке с этим правилом пока не сложилось — рассчитывать на замену штрафа предупреждением как на гарантию не стоит.
Итог: что делать дальше
Коротко порядок действий: проверили реестр операторов ПДн по ИНН или названию — если себя не нашли, собрали сведения по составу из ст. 22 152-ФЗ — подали уведомление одним из трёх способов — дождались решения Роскомнадзора (до 30 дней) — и дальше не забываем вовремя уведомлять об изменениях и прекращении обработки.
В уведомлении придётся честно указать цели обработки, категории персональных данных, сроки хранения, меры защиты и наличие трансграничной передачи. Стоит заранее убедиться, что то же самое совпадает с политикой конфиденциальности и формами согласия на самом сайте — расхождение между уведомлением и реальной практикой на сайте становится дополнительным риском при проверке Роскомнадзора.