Продолжаем цикл «Персональные данные на практике: от хаоса к системе». Мы уже разобрались со статусом оператора и составили четыре главных документа. Переходим к третьему обязательному шагу — уведомлению Роскомнадзора и внесению сведений в реестр операторов персональных данных.
С 30 мая 2025 года за неподачу или несвоевременную подачу такого уведомления для организаций и ИП предусмотрен штраф от 100 000 до 300 000 рублей (ч. 10 ст. 13.11 КоАП РФ).
Юридически это не «лицензия» и не отдельная регистрация бизнеса: вы направляете уведомление об обработке ПДн, а Роскомнадзор вносит вас в реестр и присваивает регистрационный номер. В разговоре часто говорят «регистрация в реестре» — в этой статье мы тоже так пишем, но имейте в виду: по закону вы подаёте именно уведомление.
Кто и когда должен подавать уведомление
По закону (ч. 1 ст. 22 152-ФЗ) оператор до начала обработки персональных данных обязан уведомить Роскомнадзор о своём намерении. Это касается большинства компаний и ИП: интернет-магазины, клиники, салоны, бухгалтерские конторы, сервисы с CRM и 1С — все, кто обрабатывает ПДн клиентов, пациентов, пользователей сайта или сотрудников с помощью средств автоматизации (программы, облако, таблицы, мессенджеры для служебных задач и т.п.).
Когда это нужно сделать?
Чётких календарных сроков в законе нет, но правильная логика одна: до того, как вы начнёте обработку — до внесения первого клиента в базу, до приёма первого сотрудника, до запуска формы на сайте. Подать уведомление можно и позже, но с момента фактической обработки без уведомления вы уже в зоне риска штрафа.
Уже обрабатываете данные, а в реестре вас нет?
Так бывает у многих. План действий: привести в порядок документы (политика, перечень ПДн, цели, ответственный), заполнить уведомление по фактической обработке и подать как можно скорее. Чем дольше расхождение между реестром и реальностью, тем выше риск при проверке или жалобе.
Есть ли исключения?
Да, но их мало, и они не покрывают типичный малый бизнес.
С 1 сентября 2022 года отменены прежние «удобные» основания (в том числе обработка в рамках трудового договора, по договору с клиентом-физлицом, для статистики при обезличивании). Сейчас без уведомления можно обрабатывать ПДн только в случаях ч. 2 ст. 22 152-ФЗ, в частности:
- данные включены в государственные информационные системы персональных данных в целях защиты безопасности государства и общественного порядка;
- обработка ведётся исключительно без средств автоматизации — по сути только на бумаге, без внесения в программы, Excel, CRM, сканов в мессенджеры;
- обработка в случаях, предусмотренных законодательством о транспортной безопасности.
Если вы ведёте кадровый учёт в 1С, принимаете заказы на сайте, ведёте карточки пациентов в МИС — почти наверняка уведомление нужно.
Думаете, что «всё на бумаге», но копируете паспорт в телефон или переносите данные в таблицу? Это уже автоматизированная обработка — исключение не сработает. В сомнительных случаях лучше уточнить у специалиста до подачи или вместо самонадеянного отказа от уведомления.
Как подать уведомление: пошаговая инструкция
Шаг 1. Подготовьте сведения об операторе
Понадобятся полное наименование (для ИП — ФИО), ИНН, ОГРН (ОГРНИП), юридический и фактический адреса, контактный телефон и e-mail, сведения об ответственном за организацию обработки ПДн (ч. 3.1 ст. 22).
Шаг 2. Заполните форму уведомления
Форма утверждена приказом Роскомнадзора от 28.10.2022 № 180. Заполнить можно:
- через сервис на портале Роскомнадзора: https://pd.rkn.gov.ru/operators-registry/notification/form/
- через Госуслуги с подтверждённой учётной записью организации или ИП;
- на бумаге: распечатать, подписать, отправить заказным письмом в территориальный орган Роскомнадзора по месту нахождения оператора (юридический адрес).
При электронной подаче через pd.rkn.gov.ru или Госуслуги маршрутизация обычно происходит автоматически; при бумажной подаче важно выбрать верный территориальный орган.
Шаг 3. Отправьте уведомление
Электронная подача, как правило, быстрее: проще отслеживать статус и исправлять замечания.
Шаг 4. Дождитесь внесения в реестр
Роскомнадзор рассматривает уведомление до 30 календарных дней (ч. 4 ст. 22) и вносит сведения в реестр операторов. Проверить запись можно в открытом реестре на том же портале.
Для каждой цели обработки в уведомлении указывают категории ПДн, категории субъектов, правовое основание, действия и способы обработки (ч. 3.1 ст. 22) — не «общими словами», а по сути вашей работы.
❌ Типичные ошибки, из‑за которых уведомление возвращают
1. Некорректные или неполные реквизиты
Ошибки в ИНН, ОГРН, адресе, наименовании — частая причина доработки. Перепроверьте всё по выписке ЕГРЮЛ/ЕГРИП.
2. Слишком общие цели обработки
«Маркетинг» или «работа с клиентами» — размыто. Нужны конкретные формулировки, например:
- интернет-магазин: «оформление и исполнение заказов, доставка товаров, информирование о статусе заказа по e-mail и SMS»;
- клиника: «оказание медицинских услуг, ведение медицинской документации, запись на приём, исполнение требований законодательства в сфере охраны здоровья».
3. Несоответствие фактической деятельности
Цели в уведомлении должны совпадать с тем, что вы реально делаете: рассылки, передача курьерской службе, облачная МИС, аутсорсинг бухгалтерии — всё это должно быть отражено честно и согласовано с политикой и перечнем ПДн.
4. Противоречия внутри формы
Например, в одном разделе «не передаём третьим лицам», в другом — указаны получатели или трансграничная передача.
5. Нет полномочий у заявителя
При подаче от имени организации уполномоченное лицо должно иметь право подписывать такие документы (директор, представитель по доверенности).
Если записи в реестре нет больше 30 дней
Возможные причины:
- уведомление ещё на рассмотрении (на практике часто 2–4 недели, иногда дольше);
- Роскомнадзор запросил уточнение или вернул форму на исправление;
- бумажное письмо ещё не зарегистрировано.
Проверьте статус в личном кабинете на pd.rkn.gov.ru или уточните в территориальном органе Роскомнадзора.
⚠️ Что изменилось для бизнеса в 2025–2026 годах
Важно не путать: обязанность уведомлять действует давно; с 1 сентября 2022 года сузили перечень исключений. А вот последствия за нарушение для многих стали ощутимее недавно.
Штрафы за неуведомление выросли. С 30 мая 2025 года (ФЗ № 420-ФЗ) за невыполнение или несвоевременное уведомление о намерении обрабатывать ПДн — ч. 10 ст. 13.11 КоАП: для организаций и ИП от 100 000 до 300 000 рублей, для должностных лиц — от 30 000 до 50 000, для граждан — от 5 000 до 10 000.
Контроль жёстче. Реестр операторов общедоступен; при проверках и разборе жалоб сверяют уведомление с сайтом, договорами, фактической обработкой и вашими внутренними документами.
Изменения в реестре — в срок. Если изменились сведения из уведомления (адрес, цели, ответственный, трансграничная передача и т.д.), корректирующее уведомление нужно подать не позднее 15-го числа месяца, следующего за месяцем, в котором произошли изменения (ч. 7 ст. 22).
Прекращение обработки — отдельный срок. Если вы полностью прекратили обработку ПДн как оператор, об этом нужно уведомить Роскомнадзор в течение 10 рабочих дней с даты прекращения (ч. 7 ст. 22). Не путайте с сроком 15-го числа: он для изменения сведений, а не для полного прекращения.
Утечки и иные нарушения. С 2025 года в ст. 13.11 КоАП появились и другие составы (в том числе за неуведомление об утечке). Это тема отдельных выпусков цикла; к уведомлению в реестр они не отменяют требование вести учёт и документы в порядке.
✅ Тест: готовы ли вы подать уведомление?
Ответьте «да» или «нет» на каждый пункт.
- Вы точно определили, что являетесь оператором ПДн?
- Утверждены политика (или положение) об обработке ПДн и перечень обрабатываемых ПДн?
- Вы знаете конкретные цели обработки в вашей компании (не одной фразой «для работы»)?
- Назначен ответственный за организацию обработки ПДн (где это требуется)?
- Проверены ИНН, ОГРН, адреса и контакты?
- Вы готовы указать в уведомлении только те цели и передачи, которые реально есть сейчас?
- Вы знаете, как будете подавать (электронно или на бумаге) и где отслеживать статус?
Результат:
- 7 «да» — можно переходить к заполнению формы.
- хотя бы одно «нет» — сначала закройте пробел; иначе высока вероятность возврата уведомления или расхождения при проверке.
Для медицинских организаций: дополнительный тест
На на нашем сайте — углублённый тест для больниц, поликлиник, диагностических центров, лабораторий: медицинские данные, врачебная тайна, ответственность за утечки.
Как пройти:
- Перейдите: https://synlawtech.ru/security/pd-test
- Ответьте на 12 вопросов (около 3 минут).
- Получите результат и персональные рекомендации.
- При необходимости оставьте заявку на бесплатную консультацию.
Что дальше в цикле
В следующих материалах «Персональные данные на практике: от хаоса к системе»:
- медицинские данные: особый режим и врачебная тайна;
- алгоритм действий при утечке — сроки и порядок уведомления;
- чек-листы, шаблоны и дорожные карты для малого бизнеса.
Подписывайтесь на канал «Синтез закона и технологий», чтобы не пропустить практические выпуски. Вопросы по вашей ситуации — в комментариях.
Переходим от хаоса к системе. Вместе.
