Роскомнадзор · ст. 22 закона № 152-ФЗ
Если на сайте есть форма заявки, у вас есть сотрудники или клиенты с ФИО и телефоном — скорее всего, вы обязаны подать уведомление в Роскомнадзор.
Готовим на официальном сайте, передаём вам номер и ключ — останется подписать ЭЦП или отправить почтой России. Если что-то не так пойдёт — юрист подключится и поможет.
Контролируем сведения в реестре в течение всех 30 дней рассмотрения.
Оплачиваете только после предоставления услуги полностью.
Разработку ведёт закреплённый юрист от начала до конца.
Нарушим срок — оплату не возьмём.
Что это такое
Регистрация в реестре операторов персональных данных — это подача уведомления о намерении обрабатывать персональные данные в Роскомнадзор, до начала самой обработки (ч. 1 ст. 22 закона № 152-ФЗ). Ведомство рассматривает уведомление и вносит сведения о вас в открытый реестр в течение 30 дней.
Это не то же самое, что политика обработки персональных данных на сайте. Политику вы публикуете сами, для посетителей. Уведомление подаётся в Роскомнадзор не на сайт, а на оператора (организация, ИП и т.д.) — и именно по нему ведомство узнаёт о вашем существовании как оператора. Можно годами иметь безупречную политику на сайте и при этом не быть внесённым в реестр — и получить штраф именно за это.
Путают даже опытные бухгалтеры
В ст. 22 закона № 152-ФЗ описаны два разных уведомления, и у них разные сроки и разная логика подачи.
Забытое уведомление об изменении встречается едва ли не чаще, чем полное отсутствие регистрации: компанию давно внесли в реестр, но данные там за 2021 год — старый адрес, старый ответственный, старые цели.
Кто обязан подавать уведомление
До 2022 года в законе было шесть оснований не подавать уведомление — например, обработка для «трудовых нужд» или в целях журналистики. Все они отменены. Сейчас без уведомления можно работать только в трёх узких случаях (ч. 2 ст. 22 152-ФЗ):
На практике под обязанность попадают ситуации, которые владельцы бизнеса часто не считают «работой с персональными данными»:
Кто попадает под обязанность
Наименование, адрес, ИНН/ОГРН или данные ИП, контакты ответственного за организацию обработки персональных данных.
Зачем вы собираете данные — исполнение договора, рассылка, подбор персонала, видеонаблюдение и так далее.
Какие именно данные обрабатываются — ФИО, телефон, email, паспортные данные — и чьи: клиентов, сотрудников, посетителей сайта.
Согласие субъекта, договор, требование закона — конкретная норма, которая разрешает вам обрабатывать эти данные.
Передаются ли данные за пределы РФ — например, в зарубежный сервис рассылок или CRM.
Где физически находится база данных и какие меры защиты приняты — организационные и технические.
Как подать уведомление
Форма уведомления утверждена приказом Роскомнадзора от 28.10.2022 № 180 и формируется на портале pd.rkn.gov.ru.
Подаётся лично или почтой в территориальный орган Роскомнадзора по месту нахождения оператора.
Через портал pd.rkn.gov.ru — нужна усиленная квалифицированная электронная подпись.
Через ЕСИА — учётную запись Госуслуг, без отдельной электронной подписи.
Что будет, если не подать уведомление
До 30 мая 2025 года отсутствие регистрации наказывалось по общей статье 19.7 КоАП — символические 3 000–5 000 ₽. Отдельного состава для этого нарушения не было. С 30 мая 2025 года (закон № 420-ФЗ) в КоАП введена отдельная норма именно за неуведомление Роскомнадзора — штрафы выросли на порядок:
| Кто нарушил | Штраф | Основание |
|---|---|---|
| Юридическое лицо / ИП | 100 000–300 000 ₽ | ч. 10 ст. 13.11 КоАП |
| Должностное лицо | 30 000–50 000 ₽ | ч. 10 ст. 13.11 КоАП |
| Самозанятый / гражданин | 5 000–10 000 ₽ | ч. 10 ст. 13.11 КоАП, как физлицо |
Уже не гипотетические суммы
ИП собирал данные клиентов через сайт и CRM, но уведомление в реестр операторов подано не было — нарушение выявлено при проверке.
Компания собирала данные посетителей сайта через формы заявок, но не была зарегистрирована в реестре операторов персональных данных.
Нарушение устранили и признали вину до рассмотрения дела — суд ограничился предупреждением, но само нарушение зафиксировано.
Как мы регистрируем вас в реестре
Добавить для полного соответствия ↓
Правила акции →Частые вопросы
Подробнее о процедуре
Ещё несколько лет назад многие компании искренне считали, что обязанность уведомлять Роскомнадзор касается только крупного бизнеса, банков и операторов связи. До 2022 года в законе действительно был список из шести оснований, по которым можно было работать без уведомления, — в том числе обработка для трудовых нужд и в целях журналистики. Этот список отменён, и с тех пор действуют только три узких исключения: обработка данных в государственных информационных системах безопасности, обработка полностью без средств автоматизации и обработка в рамках требований транспортной безопасности. Для подавляющего большинства бизнеса — от интернет-магазина до частного бухгалтера — это означает одно: обязанность подать уведомление есть, даже если раньше её не было.
Самая частая ошибка — считать, что раз на сайте опубликована политика обработки персональных данных, вопрос закрыт. Это не так. Политика — документ, обращённый к посетителям сайта, её требует статья 18.1 закона. Уведомление в реестр — совсем другая обязанность, обращённая к регулятору, и регулируется она статьёй 22. Компания может годами иметь идеальную политику на сайте, форму согласия и все нужные чекбоксы — и при этом не быть внесённой в реестр операторов, потому что уведомление туда просто никогда не подавалось. Именно это несоответствие чаще всего всплывает при проверках и обязательных профилактических визитах: документы на сайте в порядке, а самого оператора в реестре нет.
До 30 мая 2025 года отсутствие регистрации в реестре наказывалось по общей статье 19.7 КоАП — той же самой, что применяется за непредоставление любой информации по требованию госоргана. Штраф составлял 3 000–5 000 ₽ и воспринимался бизнесом как формальность, за которую проще заплатить, чем разбираться. Федеральный закон № 420-ФЗ ввёл в статью 13.11 КоАП отдельную часть 10 именно за неуведомление Роскомнадзора о намерении обрабатывать персональные данные. Теперь юридическим лицам и индивидуальным предпринимателям грозит штраф от 100 000 до 300 000 рублей, должностным лицам — от 30 000 до 50 000 рублей, а гражданам и самозанятым — от 5 000 до 10 000 рублей. Разница на порядок делает это уже не формальностью, а реальным финансовым риском.
Роскомнадзор не проверяет реестр операторов выборочно — несоответствие всплывает почти всегда либо через жалобу субъекта персональных данных, либо в рамках проверок сайтов. На практике чаще других под внимание попадают компании, которые недавно начали собирать данные через сайт — открыли форму заявки, запустили рассылку, подключили CRM — и просто не знали, что это запускает обязанность подать уведомление. Отдельная категория риска — компании, которые когда-то подавали уведомление, но давно не обновляли сведения: сменился адрес, изменились цели обработки, а уведомление об изменении так и не отправили.
Мы не пугаем — мы помогаем разобраться: регистрация в реестре операторов — это не долгая бюрократическая процедура, а один документ, который снимает большую часть риска при любой проверке. Пока уведомление не подано, каждый день работы с формой заявки на сайте или базой клиентов технически остаётся нарушением — и чем раньше это закрыть, тем меньше поводов для внимания регулятора.
