Уведомление в Роскомнадзор об обработке персональных данных — обязанность почти каждого сайта с формой заявки, онлайн-записью или счётчиком. С 1 сентября 2022 года из ст. 22 152-ФЗ убрали исключения для «только сотрудников» и «только договоров», а с 30 мая 2025 года за неподачу появился отдельный штраф: от 100 000 до 300 000 ₽ для юрлиц и ИП. Реестр операторов после этого вырос с 1 миллиона до 2,66 миллиона записей. Разбираем, кто обязан подавать, что писать в каждом поле формы, как подать через Госуслуги или с подписью, как проверить себя в реестре и что реально грозит тем, кто опоздал.
Кто обязан подавать уведомление в Роскомнадзор, а кто нет
Оператор по закону — любое юрлицо или физлицо, которое организует обработку персональных данных и определяет её цели (п. 2 ст. 3 152-ФЗ). Роскомнадзор в официальных ответах добавляет: оператором вы являетесь «независимо от включения в реестр», а сайт, через который собираются данные, «будет являться информационной системой персональных данных».
Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи.ч. 1 ст. 22 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»
Вся интрига в части 2. До сентября 2022 года там было девять исключений, и большинство малого бизнеса под них подпадало: данные только работников, только по договору с клиентом, только ФИО. Закон от 14.07.2022 № 266-ФЗ отменил шесть из девяти. Остались три: государственные системы безопасности, транспортная безопасность и обработка «исключительно без использования средств автоматизации». Последнее означает бумагу и только бумагу: любая таблица на компьютере, CRM или форма на сайте — это уже средства вычислительной техники (п. 4 ст. 3).
| Кто вы | Нужно ли уведомление | Почему |
|---|---|---|
| ООО с сайтом, где есть форма заявки или заказа | да | оператор-юрлицо; обязан ещё и назначить ответственного за организацию обработки (ст. 22.1) |
| ИП с сайтом или онлайн-записью | да | в форме РКН есть тип «Индивидуальный предприниматель»; исключение «только по договору» отменено |
| Самозанятый с лендингом и формой | да | в форме РКН тип «Физическое лицо (самозанятый)»; дата начала обработки «может совпадать с датой получения статуса» |
| Компания без сайта, данные только сотрудников в 1С | да | исключение для трудовых отношений утратило силу с 01.09.2022 |
| Физлицо, которое ведёт личный блог без форм | нет | обработка «исключительно для личных и семейных нужд» (п. 1 ч. 2 ст. 1) |
| Мастер, который записывает клиентов в бумажную тетрадь | нет | обработка исключительно без средств автоматизации (п. 8 ч. 2 ст. 22) |
Прямого ответа РКН про физлицо, которое держит сайт с формой заявки «как хобби», найти не удалось. По тексту закона приём заявок от чужих людей под «личные и семейные нужды» не подходит, а сайт со сбором данных РКН считает информационной системой. Безопаснее подать.
Что изменилось в 2022 и 2025 годах
Две даты объясняют, почему тема вдруг стала массовой. 1 сентября 2022 года исчезли исключения, и обязанность распространилась почти на всех. 30 мая 2025 года вступил в силу закон от 30.11.2024 № 420-ФЗ с новой ч. 10 ст. 13.11 КоАП — отдельным штрафом за неподачу. В пояснительной записке к нему авторы прямо написали, что до этого ответственности за неуведомление не было.
Реакцию видно по счётчику реестра на портале РКН: 440 тысяч операторов летом 2022 года, 843 тысячи к декабрю 2022-го, около 1 миллиона к маю 2025-го и 2,38 миллиона уже к концу июля 2025-го. Заместитель главы Роскомнадзора в мае 2025 года говорил, что обычно ведомство получает около тысячи уведомлений в сутки, а перед 30 мая — по 40 тысяч в день. На 20 октября 2026 года в реестре 2 659 318 операторов.
Что указывать в уведомлении: поля формы и типовые коды для сайта
Состав сведений задан ч. 3 и 3.1 ст. 22, форма — приказом Роскомнадзора от 28.10.2022 № 180, а подробная инструкция по заполнению электронной формы опубликована на портале РКН в 2025 году (PDF на 37 страниц). Для обычного сайта малого бизнеса форма выглядит так.
- Оператор. Наименование или ФИО без сокращений, ИНН, ОГРН или ОГРНИП, адрес из справочника ФИАС, телефон, email, регионы обработки (можно «все субъекты РФ»).
- Цели — каждая отдельным блоком. Из справочника на 38 позиций для сайта обычно нужны две: «подготовка, заключение и исполнение гражданско-правового договора» (заявки и заказы) и «продвижение товаров, работ, услуг на рынке» (рассылки). Если есть сотрудники — «ведение кадрового и бухгалтерского учёта» и «подбор персонала».
- Для каждой цели: категории данных, субъектов, основания, действия, способы. Данные: ФИО, email, телефон и отдельный пункт «сведения, собираемые посредством метрических программ», если стоит Метрика. Субъекты: «клиенты», «посетители сайта», при рассылках — те же. Основания: «согласие» и «исполнение договора», для технических cookie — «законные интересы оператора». Сам 152-ФЗ основанием не является, инструкция РКН выделяет это восклицательным знаком. Способ: автоматизированная или смешанная обработка, «с передачей по сети Интернет».
- Меры защиты. Три текстовых поля: организационные (ответственный назначен, политика утверждена, доступ ограничен), технические (пароли, HTTPS, резервные копии, антивирус) и шифрование (используется ли СКЗИ и какого класса). Описание мер попадает в публичный реестр, сведения о средствах защиты — нет.
- Ответственный за организацию обработки. ФИО, телефон, почтовый адрес и email. Эти данные будут видны всем в карточке реестра, так что укажите рабочий телефон и адрес, а не личные.
- Дата начала и условие прекращения. Дата — фактическая; РКН пишет, что она может совпадать с датой регистрации ИП, компании или статуса самозанятого. Условие — обычно «прекращение деятельности оператора».
- Трансграничная передача: да или нет. Если «да» — это отдельное уведомление по ст. 12, о нём ниже.
- Место нахождения базы данных. Страна, адрес ЦОДа и организация, которая хранит данные, если ЦОД не ваш. Для сайта на конструкторе это ЦОД его провайдера: Tilda в справке называет «Селектел» и «Яндекс.Облако», InSales и Битрикс24 публикуют адреса своих площадок. У хостинга или CRM спросите адрес площадки письмом, многие держат ответ наготове.
- Блок «лица, имеющие доступ к государственным информационным системам» заполняют только владельцы госсистем. Остальным его нужно удалить кнопкой внизу блока, иначе форма не пройдёт.
Три частые ошибки по тому, что РКН принимает как доказательство позднего старта: дата начала обработки «27.07.2006» (день вступления закона в силу) или дата, которая на месяцы раньше даты подачи; одна цель «обработка персональных данных» вместо реальных целей; Метрика на сайте без категории «метрические программы» в уведомлении.
Как подать уведомление в Роскомнадзор: три способа
Всё происходит на портале pd.rkn.gov.ru, бесплатно: ч. 5 ст. 22 запрещает возлагать на оператора расходы за рассмотрение и внесение в реестр. Форма одна, способов отправки три.
Через Госуслуги (ЕСИА). Отдельной услуги в каталоге Госуслуг нет: кнопка «Подать уведомление (перейти к сервису ЕСИА)» на портале РКН использует Госуслуги как вход. Нужна подтверждённая учётная запись, а для ООО или ИП — учётная запись, привязанная к организации, и вход в профиль именно этой организации. Реквизиты подставляются из ЕСИА и не редактируются. Бумажная копия не нужна, подтверждение приходит на email.
С усиленной квалифицированной подписью. Нужен плагин КриптоПро в браузере. Если подписывает не руководитель, к форме прикладывается машиночитаемая доверенность, иначе ставится отметка, что подписывает лицо, действующее без доверенности.
На бумаге. Форма заполняется онлайн, затем кнопка «Отправить электронное уведомление и подготовить форму к распечатке», распечатка, подпись и отправка в территориальный орган РКН по месту регистрации. Печатная форма показывается один раз.
Три вещи, которые инструкция РКН выделяет особо. Ссылка на черновик показывается один раз, второй возможности открыть её нет. После отправки на экране появятся номер и ключ уведомления: запишите их, без них нельзя проверить статус. Срок рассмотрения — 30 дней (ч. 4 ст. 22), и ждать внесения в реестр, чтобы начать работу, не нужно: закон требует уведомить до начала обработки, а не дождаться записи. Если через 30 дней записи нет, инструкция советует писать в электронную приёмную РКН.
Как проверить себя в реестре операторов
Реестр открытый: поиск на портале РКН работает по наименованию, ИНН и регистрационному номеру. Поиска по адресу сайта нет, потому что адреса сайта в уведомлении вообще нет. Самый надёжный запрос — по ИНН: если записи нет, портал так и пишет «Записей не найдено». У ИП в выдаче ИНН показывается, у самозанятых и других физлиц — нет, их ищут по ФИО.
Карточка оператора показывает дату включения, регионы, страны хранения баз, описание мер, контакты ответственного и все цели с категориями данных. Это удобный способ проверить и подрядчика: у CRM или сервиса рассылок, которому вы поручаете данные, тоже должна быть запись. Реестр обновляется ежедневно, но новое уведомление появляется в нём в течение 30 дней.
Наша бесплатная проверка делает то же: находит ИНН в реквизитах на главной странице и ищет его в реестре. У этого способа есть границы, о которых честно скажем: если ИНН на сайте не указан, проверка не сможет ничего сказать, а если уведомление подано на днях, записи может ещё не быть.
Изменения, прекращение и два других уведомления
Уведомление подаётся один раз, но его нужно поддерживать в актуальном состоянии. Сменили хостинг или CRM, подключили Метрику, завели рассылку, назначили другого ответственного — это изменение сведений, и по ч. 7 ст. 22 сообщить о нём нужно не позднее 15-го числа следующего месяца. Форма «об изменении сведений» на том же портале, заполняются только изменившиеся поля и регистрационный номер записи. Об изменениях забывают чаще всего: в обзоре практики за 2025 год Роскомнадзор называет непредставление сведений об изменениях и прекращении среди типичных нарушений. О прекращении обработки сообщают в течение 10 рабочих дней, и эта форма пока принимается только на бумаге.
Не путайте это уведомление с двумя другими. Уведомление о трансграничной передаче (ст. 12) подаётся отдельно до начала передачи данных за рубеж, например при подключении зарубежного сервиса аналитики или рассылок; решение по нему РКН принимает за 10 рабочих дней, подробности в статье про локализацию персональных данных. Уведомление об инциденте (ст. 21) подаётся в течение 24 часов после обнаружения утечки и дополняется через 72 часа, о нём — в статье про действия оператора при утечке.
Штрафы за неподачу уведомления: норма и практика 2025–2026
| Нарушение | Норма | Граждане | ИП и юрлица | Что было в делах |
|---|---|---|---|---|
| Не подали или подали с опозданием уведомление о намерении обрабатывать данные | ч. 10 ст. 13.11 КоАП, с 30.05.2025 | 5 000–10 000 ₽ | 100 000–300 000 ₽ (ИП отвечает как юрлицо) | предупреждения должностным лицам ТСЖ и спортшколы, 5 000 ₽ начальнику отдела кадров; все — по проверкам прокуратуры |
| Не ответили на запрос РКН «подайте уведомление или объясните, почему не обязаны» | ст. 19.7 КоАП | предупреждение или 100–300 ₽ | ИП 300–500 ₽, юрлица 3 000–5 000 ₽ | в 2025 году 1 579 протоколов РКН по этой статье; в найденных делах — предупреждения и 3 000 ₽ |
| Не уведомили об утечке | ч. 11 ст. 13.11 | 50 000–100 000 ₽ | 1–3 млн ₽ | другая история, см. статью про утечки |
Два важных свойства нового штрафа. На него не действует скидка 50 % за быструю оплату: ст. 13.11 прямо исключена из этого правила тем же 420-ФЗ. И его можно заменить предупреждением за первое нарушение по ст. 4.1.1, если нет вреда, — именно так закончились найденные дела 2025 года. Одно дело против ООО с сайтом, где Роскомнадзор нашёл формы, Метрику и Google Analytics, по сообщениям юристов закончилось штрафом 50 000 ₽ как для малого предприятия, но в открытой базе судебных актов мы этого дела не нашли.
Честная картина из обзора РКН за 2025 год: ведомство проанализировало 22 896 сайтов, нашло нарушения на 17 058 и направило 16 692 требования, 89 % которых операторы исполнили без протокола. Протоколов по ст. 13.11 за год — 705, по ст. 19.7 — 1 579. То есть главный риск для малого бизнеса — не штраф в 300 тысяч, а письмо с десятью рабочими днями на ответ, которое легко пропустить. Как Роскомнадзор считает штрафы по другим составам — в разборе штрафов РКН.
Если вы опоздали. Позиции РКН «подавать ли сейчас» нет, а практики штрафов за добровольную позднюю подачу, которую никто не выявлял, мы не нашли. Зато нашли обратное: в делах 2025 года уведомление, поданное уже после проверки, помогало получить предупреждение вместо штрафа, а сам Роскомнадзор в споре в Перми доказывал, что неподача — не длящееся нарушение, и для начавших обработку до 30 мая 2025 года давность по старой ст. 19.7 давно истекла. Вывод простой: подавать нужно сейчас, указывая реальную дату начала обработки.
Как это выглядит на практике: три сценария
Мастер маникюра, ИП, запись через сайт на Тильде
Сайт с формой «Записаться» (имя, телефон), Метрика, записи хранятся в CRM. Уведомления нет: мастер уверена, что «ИП без сотрудников не нужно». Через полгода приходит требование РКН с десятью рабочими днями. Как надо: уведомление за 40 минут через Госуслуги. Цель — заключение и исполнение договора; данные — ФИО, телефон, сведения метрических программ; субъекты — клиенты и посетители сайта; основания — согласие и договор; база данных — ЦОД, который Tilda называет в справке, плюс ЦОД CRM; ответственный — сама мастер с рабочим телефоном.
Интернет-магазин, ООО, InSales и рассылки
Уведомление подавали в 2019 году и забыли. С тех пор переехали на InSales, подключили сервис рассылок и Метрику, сменили директора. В реестре до сих пор старый ответственный и один адрес базы. Это нарушение ч. 7 ст. 22, которое РКН называет типичным. Как надо: уведомление об изменении сведений до 15-го числа следующего месяца: новая цель «продвижение товаров», категория «метрические программы», субъекты «посетители сайта», база данных — ЦОД платформы с адресом из её справки и организация-хранитель, новый ответственный. Если сервис рассылок зарубежный — отдельно уведомление о трансграничной передаче.
Самозанятый репетитор с лендингом
Лендинг с формой «оставить заявку» и пикселем VK для рекламы. Репетитор считает, что самозанятые не операторы. В форме РКН для него есть отдельный тип «Физическое лицо (самозанятый)», и инструкция прямо говорит, что дата начала обработки может совпадать с датой получения статуса. Как надо: подать через Госуслуги с подтверждённой учётной записью физлица, в целях — договор и продвижение, в данных — ФИО, телефон, email и сведения метрических программ. ИНН в карточке реестра у физлица не показывается, так что искать себя потом придётся по ФИО.
Что обычно понимают неправильно
«ИП без сотрудников подавать не нужно». Нужно, если есть хоть одна форма, запись или счётчик. Исключение про сотрудников отменили в 2022 году, а клиенты — такие же субъекты данных.
«Мы подали в 2015 году, всё в порядке». Если с тех пор изменились цели, сервисы, ответственный или адрес базы, нужно уведомление об изменениях. Старая запись с неактуальными сведениями — повод для требования.
«Уведомление заменяет политику и согласия» и наоборот. Это разные обязанности: уведомление — в РКН, политика — на сайте (ст. 18.1), согласия — в формах (ст. 9). Как собирать согласие правильно — в статье про согласие по ст. 9, а про счётчики — в разборе cookie-баннера.
«Подача через Госуслуги — отдельная услуга». Нет, Госуслуги здесь способ входа на портал РКН. Искать услугу в каталоге бесполезно.
«Указать 152-ФЗ как правовое основание». Инструкция РКН прямо предупреждает: сам закон основанием не является, нужно выбрать случай из ч. 1 ст. 6 — согласие, договор, законные интересы.
«Лучше не подавать, раз опоздали, чтобы не привлечь внимание». Опоздание уже состоялось, а практика 2025 года показывает, что поданное уведомление помогает отделаться предупреждением. Непоказанное сайту с формами всё равно найдут при мониторинге.
«Хостинг или CRM подали за нас». У них своя запись как у обработчиков по поручению. Ваша обязанность как оператора от этого никуда не делась, а их адрес ЦОДа вам как раз нужен для вашего уведомления.
Что сделать сегодня
- Откройте реестр на портале РКН и найдите себя по ИНН. Записи нет — дальше по списку. Запись есть — откройте карточку и сверьте цели, категории, ответственного и страну базы с тем, что есть сейчас.
- Выпишите все места, где у вас лежат данные людей: сайт, CRM, сервис рассылок, 1С, таблицы. Для каждого узнайте у провайдера адрес ЦОДа и реквизиты организации-хранителя.
- Составьте список целей по справочнику РКН и для каждой — категории данных, субъектов и основание. Метрика есть — добавьте «сведения, собираемые посредством метрических программ».
- Назначьте ответственного за организацию обработки приказом (для ООО это обязанность по ст. 22.1) и заведите для него рабочие контакты: они станут публичными.
- Подайте уведомление через Госуслуги или с подписью. Сохраните ссылку на черновик, а после отправки — номер и ключ.
- Через 30 дней проверьте запись в реестре. Нет записи — письмо в электронную приёмную РКН с номером уведомления.
- Поставьте в календарь правило: любое изменение (новый сервис, переезд, новый ответственный) — уведомление об изменениях до 15-го числа следующего месяца.
- Если пользуетесь зарубежными сервисами — отдельно уведомление о трансграничной передаче, а лучше замените их на российские.
Письмо из Роскомнадзора с требованием подать уведомление или объяснить, почему вы не обязаны, — не повод для паники, но повод ответить за 10 рабочих дней. Молчание в 2025 году стоило протокола по ст. 19.7 чаще, чем сама неподача — штрафа.
Уведомление в Роскомнадзор — одна из шести бесплатных проверок нашего сервиса и один из пунктов полного чек-листа соответствия сайта законам. Текст ст. 22 в действующей редакции — на КонсультантПлюс, обзор правоприменительной практики РКН за 2025 год — на сайте ведомства.
