Регистрация в реестре операторов персональных данных: как и зачем подавать уведомление в Роскомнадзор

Если на вашем сайте есть форма обратной связи, вы ведёте базу клиентов в CRM или просто нанимаете сотрудников — вы уже обрабатываете персональные данные и, скорее всего, обязаны уведомить об этом Роскомнадзор. Разберём, кто именно обязан подавать уведомление, кто освобождён по закону (список короче, чем принято думать), что грозит за просрочку и как подать всё правильно с первого раза.

Коротко: уведомление подаётся до начала обработки персональных данных по ст. 22 152-ФЗ. Освобождены только 3 узкие категории операторов — миф про «у меня только сотрудники, мне не нужно» больше не работает с 2022 года. Штраф за отсутствие уведомления — от 100 000 ₽ для ИП и юрлиц. Подать можно бесплатно через Госуслуги, Роскомнадзор рассматривает уведомление до 30 дней.

Что такое регистрация в реестре и при чём тут уведомление

В разговоре эту процедуру называют по-разному — «регистрация в реестре Роскомнадзора», «регистрация оператора ПДн», «подача уведомления», «уведомление в РКН». Юридически это один и тот же процесс: оператор направляет в Роскомнадзор уведомление об обработке персональных данных (ст. 22 152-ФЗ), а Роскомнадзор на основании этого уведомления вносит организацию или ИП в реестр операторов. Отдельной «регистрации» как самостоятельной процедуры не существует — реестр формируется автоматически из поданных уведомлений.

Это важно понимать по одной причине: если вы ищете, «как зарегистрироваться в реестре», реальное действие, которое нужно совершить, — подать уведомление. Никакого отдельного заявления на «регистрацию» заполнять не нужно.

Пошлины за подачу нет — сама процедура для оператора бесплатна (ч. 5 ст. 22 152-ФЗ). Платным может быть только сопровождение, если вы обращаетесь за помощью со стороны.

Кто обязан подавать уведомление, а кто освобождён

Обязанность подать уведомление возникает у любого оператора персональных данных — то есть у любой организации или ИП, которая определяет цели и способы обработки данных о людях: клиентов, сотрудников, посетителей сайта, соискателей. Формы, куда посетитель вводит имя и телефон, кадровый учёт, рассылки, CRM, счётчики аналитики на сайте — всё это обработка персональных данных.

Закон освобождает от подачи уведомления только три узкие категории (ч. 2 ст. 22 152-ФЗ, действующая редакция):

1. Обработка данных, включённых в государственные информационные системы, созданные для защиты безопасности государства и общественного порядка.
2. Обработка исключительно без использования средств автоматизации — то есть только на бумаге, без каких-либо электронных систем, таблиц или баз данных.
3. Обработка в целях обеспечения транспортной безопасности в случаях, предусмотренных отдельным законодательством.

На это стоит обратить особое внимание. До сентября 2022 года в списке освобождений было ещё несколько пунктов, включая обработку данных сотрудников работодателем в рамках трудовых отношений. Эти пункты (1–6 части 2 ст. 22) утратили силу с 1 сентября 2022 года по Федеральному закону от 14.07.2022 № 266-ФЗ. Формулировка «у меня в компании только данные сотрудников, уведомление не нужно» была верна до этой даты — сейчас она устарела почти на четыре года, но продолжает встречаться в старых статьях и даже в советах знакомых бухгалтеров. Если вы наняли хотя бы одного сотрудника и ведёте его личное дело — обязанность подать уведомление у вас есть, если, конечно, вы не подпадаете под одно из трёх действующих исключений выше.

Частые случаи: маркетплейсы, самозанятые, нулевые фирмы

Общее правило редко снимает все вопросы — вот ответы по конкретным ситуациям, которые чаще всего вызывают сомнения.

Самозанятый с сайтом или Telegram-ботом для приёма заказов. Если на сайте или в боте собираются имя, телефон или адрес клиента — вы оператор персональных данных независимо от налогового статуса. Самозанятость не освобождает от обязанности по 152-ФЗ, это разные правовые плоскости: одна регулирует налоги, другая — работу с данными людей.

Продавец на маркетплейсе. Здесь ситуация двойная. Сам маркетплейс — оператор данных покупателя как площадка. Но если продавец получает от площадки контактные данные покупателя для доставки, ведёт собственную базу клиентов, использует данные для повторных продаж или собственной рассылки — он тоже становится самостоятельным оператором и обязан подать своё уведомление, отдельно от того, что делает маркетплейс.

Уведомление подавалось несколько лет назад, актуально ли оно сейчас. Само по себе первичное уведомление не имеет срока действия и не нужно переподавать заново. Но если с момента подачи изменились сведения — адрес, цели обработки, ответственный за обработку — по закону требуется подать уведомление об изменении сведений (разберём в разделе про календарь дедлайнов ниже). Устаревшая, но формально поданная запись не то же самое, что полное отсутствие уведомления, однако при проверке несоответствие между реестром и реальным положением дел — повод для вопросов инспектора.

ИП, который постоянно живёт за границей. Обязанность привязана не к месту нахождения владельца, а к тому, что ИП зарегистрирован в российском реестре и ведёт деятельность, подпадающую под юрисдикцию 152-ФЗ. Место фактического нахождения ИП на подачу уведомления не влияет — электронная подача через Госуслуги технически доступна из любой точки при наличии подтверждённой учётной записи.

Что грозит за отсутствие уведомления

С 30 мая 2025 года действуют новые размеры штрафов по ст. 13.11 ч. 10 КоАП РФ (введены Федеральным законом от 30.11.2024 № 420-ФЗ) — именно эта часть статьи отвечает за отсутствие регистрации в реестре операторов:

Обратите внимание: для этого конкретного нарушения ИП штрафуют по той же шкале, что и юридическое лицо, а не как должностное лицо, — это отличается от некоторых других составов ст. 13.11 КоАП, где ИП приравнивают к должностному лицу. Путать эти шкалы между разными нарушениями легко, если ориентироваться на пересказы в блогах, а не на первоисточник.

Важно не путать два разных состава. Штраф за отсутствие уведомления (то, что мы разбираем здесь) — это одно нарушение. Штрафы за утечку персональных данных — совершенно другой, гораздо более тяжёлый состав: от 3 до 20 миллионов рублей в зависимости от масштаба и категории утёкших данных, а при повторной утечке — оборотный штраф в размере 1–3% выручки (не менее 20 и не более 500 миллионов рублей). Отсутствие уведомления само по себе не приравнивается к утечке — но и не защищает от ответственности за неё: это две независимые обязанности с независимыми санкциями.

Штраф налагается по факту проверки — то есть регулятор должен установить, что оператор ведёт обработку данных, но не значится в реестре. На практике это выясняется либо при плановой или внеплановой проверке, либо при жалобе субъекта персональных данных, либо в рамках профилактического визита. Реальные дела по этой статье — с конкретными суммами и обстоятельствами — собраны в разделе судебной практики по ст. 13.11 КоАП: полезно посмотреть, чтобы увидеть не абстрактную вилку штрафа, а то, как это выглядит в реальных решениях судов.

Как подать уведомление: 3 способа

Форма уведомления утверждена приказом Роскомнадзора от 28.10.2022 № 180. Закон допускает три равнозначных способа подачи:

Развенчиваем частую путаницу. Отдельного личного кабинета оператора с логином и паролем на портале pd.rkn.gov.ru не существует — там расположена только сама форма уведомления. Электронная подача через Госуслуги устроена так: вы авторизуетесь в ЕСИА под подтверждённой учётной записью организации или ИП, система переносит вас на форму уведомления, часть полей (название, ИНН, адрес) заполняется автоматически. Отдельно оформлять электронную подпись в этом случае не нужно — подтверждением служит сама авторизация через Госуслуги. Подпись (УКЭП) обязательна только для одного из трёх способов — прямой электронной подачи с усиленной квалифицированной подписью.

Если у компании ещё нет ни УКЭП, ни подтверждённой учётной записи на Госуслугах, а оформлять их ради одного уведомления не хочется — остаётся бумажный способ, самый медленный из трёх: добавляется время на пересылку и обработку документа сотрудником территориального органа.

8 блоков сведений, которые нужно собрать заранее

Прежде чем открывать форму, соберите информацию по восьми блокам — тогда сама подача займёт минуты, а не часы поиска нужных данных на ходу:

1. Сведения об операторе — название, ИНН, юридический адрес.
2. Цели обработки — расписываются по каждой цели отдельно: способ обработки, правовое основание, категория данных и категория субъектов для каждой конкретной цели, а не одним общим блоком на всю компанию.
3. Дата начала обработки персональных данных.
4. Срок или условие прекращения обработки — важно: это не «срок хранения данных», а момент или условие, при котором оператор прекращает обработку вообще. Отдельного поля «срок хранения» в форме нет — это одна из самых частых ошибок при самостоятельном заполнении.
5. Меры защиты — технические и организационные меры, включая наличие и название используемых криптографических средств, а также данные ответственного за обработку.
6. Ответственный за обработку — ФИО, адрес и телефон лица, отвечающего за организацию обработки персональных данных в компании.
7. Сведения о трансграничной передаче — осуществляется она или нет, и если да — в какие страны и на каком основании.
8. Место нахождения базы данных — где физически расположена база с персональными данными граждан России.

Самая частая точка, где заполнение затягивается, — не техническая часть формы, а формулировка целей обработки (пункт 2). Слишком широкая формулировка («любая деятельность компании») выглядит неубедительно при проверке, слишком узкая — не покрывает то, что реально происходит на сайте и в CRM. К этому вопросу вернёмся прямо сейчас.

Подавать самостоятельно или доверить специалистам

Технически подать уведомление можно полностью самостоятельно — закон не требует привлекать кого-либо со стороны, а через Госуслуги весь процесс занимает от силы полчаса при уже собранных сведениях. Сложность обычно не в механике подачи, а в двух местах: правильно определить, какие у компании есть цели обработки и не упустить ни одну из них, и не попасть в одно из перечисленных выше частных исключений неправильно.

Ошибка здесь не столько в источнике документа — самостоятельно составленный текст ничем не хуже подготовленного специалистом, если формулировки точны и покрывают реальную деятельность компании. Проблема в большинстве обращений, с которыми мы сталкиваемся на практике, — не в том, что уведомление составлено «не по шаблону», а в том, что формулировки целей обработки не соответствуют тому, что реально происходит: слишком общие, слишком узкие, или просто не учитывают часть процессов (например, забыли про рассылку или счётчики аналитики на сайте). По нашей практике таких неточностей набирается примерно в 95% случаев, когда уведомление готовилось без юридической проверки конкретной деятельности компании — независимо от того, писали его с нуля или брали за основу готовый пример.

Если сомневаетесь, что сможете развести формулировки правильно с первого раза, разумный вариант — заказать подачу уведомления под ключ: весь процесс, включая формулировку целей обработки под вашу конкретную деятельность, займёт 24 часа с нашей стороны, без предоплаты.

Если приоритет — пройти путь самостоятельно, дальше в статье — всё, что для этого нужно: сроки рассмотрения, что делать при доработке и календарь дедлайнов после регистрации.

Сколько ждать и как проверить, что вы в реестре

Роскомнадзор вносит сведения в реестр в течение 30 дней с даты поступления корректно заполненного уведомления (ч. 4 ст. 22 152-ФЗ). При электронной подаче уведомление сразу получает регистрационный номер — это подтверждение того, что заявка принята к рассмотрению, а не то, что компания уже внесена в реестр. Между получением номера и появлением записи в публичном реестре и проходят эти 30 дней. Сохраните номер и дату подачи — они пригодятся, если нужно будет подтвердить факт своевременной подачи при проверке.

Проверить итоговый результат можно напрямую в реестре операторов персональных данных — это открытые данные, доступные по названию организации или ИНН. Если хотите заодно проверить не только факт регистрации, но и весь сайт целиком на соответствие 152-ФЗ — согласия, политику конфиденциальности, счётчики аналитики, — есть бесплатный аудит сайта, который проверяет сразу все требования одним прогоном.

Если уведомление вернули на доработку

Ошибки в уведомлении делятся на две категории с разными последствиями.

Критические ошибки — Роскомнадзор не принимает уведомление и не вносит сведения в реестр. Формально обязанность считается неисполненной, как будто уведомление вообще не подавалось. Сюда попадают, например, незаполненные обязательные поля или явные противоречия между целями обработки и указанными категориями данных.

Некритические неточности — компанию всё равно вносят в реестр, но сведения в записи неполны или сформулированы нечётко. В этом случае имеет смысл подать корректирующее уведомление — точно так же, как при изменении сведений (следующий раздел).

На практике большинство сложностей связано не с формальными ошибками ввода, а именно с формулировками целей обработки — они требуют понимания, как их читает проверяющий, а не просто заполнения полей по шаблону.

Что делать после регистрации: календарь дедлайнов

Регистрация в реестре — не разовое действие, а начало нескольких обязательств со своими сроками:

• Изменение сведений (адрес, цели обработки, ответственный за обработку) — подать уведомление об изменении не позднее 15 числа месяца, следующего за месяцем, в котором произошли изменения (ч. 7 ст. 22 152-ФЗ).
• Прекращение обработки — уведомить в течение 10 рабочих дней с момента, когда обработка данных прекращена или её цели достигнуты.
• Утечка персональных данных — отдельная и гораздо более срочная обязанность: уведомить Роскомнадзор в течение 24 часов с момента обнаружения инцидента, а затем предоставить итоги внутреннего расследования — в течение 72 часов.

Устаревшая запись в реестре формально не равна отсутствию регистрации, но на практике создаёт риски при проверке: инспектор видит несоответствие между тем, что записано в реестре, и тем, что реально происходит в компании.

Сама по себе регистрация в реестре также не защищает от штрафов за другие нарушения 152-ФЗ — отсутствие политики конфиденциальности, согласий на сайте или неверно оформленных документов для сотрудников. Это отдельный, гораздо больший пласт требований — если планируете закрывать их системно, для этого нужен полный комплект документов по 152-ФЗ, а не только сама регистрация.

Итог

Регистрация в реестре операторов персональных данных — это не отдельная процедура, а результат подачи уведомления по ст. 22 152-ФЗ, и обязанность подать его есть практически у любого бизнеса, который собирает данные о людях. Освобождённых категорий с 2022 года осталось всего три, и «у меня только сотрудники» в их число больше не входит. Штраф за отсутствие уведомления начинается от 100 000 ₽ для ИП и юрлиц, а подать его можно бесплатно за один вечер через Госуслуги — если формулировки целей обработки составлены точно.

Если хотите пройти всё самостоятельно — теперь у вас есть полный план. Дальше по теме: бесплатный генератор согласия и политики конфиденциальности, подготовка к профилактическому визиту Роскомнадзора и судебная практика по ст. 13.11 КоАП.