Уведомление в Роскомнадзор о начале обработки персональных данных - обязательный шаг для большинства сайтов, которые собирают данные посетителей: имена, телефоны, email, cookie-идентификаторы. Разберём пошагово, как подготовить и подать уведомление по ст. 22 152-ФЗ, чтобы не получить штраф за его отсутствие или ошибки в реестре.
Коротко
- Уведомление подаётся до начала обработки персональных данных, если сайт не подпадает под исключения ст. 22.1
- Форма подаётся через личный кабинет на сайте Роскомнадзора или на бумаге
- В уведомлении указываются цели обработки, категории данных, правовое основание и меры защиты
- Отсутствие уведомления или неактуальные сведения - самостоятельное основание для штрафа по ст. 13.11 КоАП
- После подачи оператор появляется в реестре операторов ПДн, сведения можно проверить в открытом доступе
Кто обязан подавать уведомление
По ст. 22 152-ФЗ оператор обязан до начала обработки персональных данных уведомить уполномоченный орган - Роскомнадзор, за исключением случаев, перечисленных в ст. 22.1. Освобождение от уведомления не освобождает от соблюдения остальных требований закона: получения согласия по ст. 9, обеспечения безопасности по ст. 19 и других обязанностей оператора.
Типичная ошибка - считать, что раз сайт "просто визитка", уведомление не нужно. Если на сайте есть форма обратной связи, форма заказа, регистрация пользователей или подписка на рассылку - собираются персональные данные, и в большинстве случаев уведомление требуется.
Когда уведомление не требуется
| Ситуация | Комментарий |
|---|---|
| Обработка данных в силу трудовых отношений (ст. 22.1) | Кадровый учёт без передачи третьим лицам |
| Обработка данных для исполнения договора с субъектом ПДн | Если данные не передаются иным лицам без согласия |
| Обработка общедоступных персональных данных | С учётом требований ст. 8 о согласии на общедоступность |
| Обработка без использования средств автоматизации | При соблюдении условий ч. 1 ст. 1 Постановления Правительства № 687 |
Если сайт использует метрику, рекламные пиксели, формы захвата лидов или CRM - как правило, обработка выходит за рамки исключений, и уведомление подавать нужно.
Какие данные указать в уведомлении
Форма уведомления утверждена Роскомнадзором и заполняется через личный кабинет на официальном сайте органа. Основные блоки формы приведены в таблице.
| Раздел формы | Что указывается |
|---|---|
| Сведения об операторе | Полное наименование, ИНН, ОГРН, адрес, контакты ответственного лица |
| Цель обработки | Например: обработка заявок, рассылка новостей, оказание услуг через сайт |
| Правовое основание | Согласие субъекта, договор, иное основание по ст. 6 |
| Категории субъектов | Клиенты, посетители сайта, сотрудники, контрагенты |
| Категории персональных данных | ФИО, телефон, email, адрес, платёжные данные, cookie-идентификаторы |
| Способы обработки | Автоматизированная, неавтоматизированная, смешанная |
| Наличие трансграничной передачи | Указывается, если данные передаются за пределы РФ (см. ст. 12) |
| Дата начала обработки | Планируемая или фактическая дата начала сбора данных |
| Меры защиты | Организационные и технические меры по ст. 19 |
Ответственный подход к заполнению формы экономит время: неточные или неполные сведения приводят к запросам от регулятора и затягивают включение оператора в реестр.
Пошаговый план подачи уведомления
- Проведите инвентаризацию данных, которые собирает сайт: формы, cookie, аналитика, платёжные системы.
- Определите цели обработки и правовые основания для каждой категории данных по ст. 6 и ст. 9.
- Проверьте, нужна ли трансграничная передача данных, и учтите требования ст. 12.
- Опишите организационные и технические меры защиты, которые применяются на сайте (ст. 19).
- Заполните форму уведомления в личном кабинете на сайте Роскомнадзора либо подготовьте бумажный вариант.
- Подайте уведомление и сохраните подтверждение о приёме документа.
- После включения в реестр операторов проверьте корректность отображённых сведений.
Если состав обрабатываемых данных, цели или основания меняются, оператор обязан направить уточнённые сведения - об этом говорится в ст. 22 применительно к актуализации данных реестра.
Ответственность за отсутствие или ошибки в уведомлении
С 30.05.2025 для ряда нарушений 152-ФЗ действуют оборотные штрафы, привязанные к выручке компании. Ниже - общая ориентировка по составам ч. 1 ст. 13.11 КоАП и смежным частям, без указания конкретных сумм, которые нужно уточнять по актуальной редакции статьи на дату проверки.
| Норма КоАП | Суть нарушения |
|---|---|
| ч. 1 ст. 13.11 | Обработка ПДн в случаях, не предусмотренных законом, либо обработка, несовместимая с целями сбора |
| ч. 2 ст. 13.11 | Обработка ПДн без согласия субъекта в письменной форме, когда оно обязательно |
| ч. 2.1 ст. 13.11 | Невыполнение оператором обязанности по опубликованию политики обработки ПДн |
| ч. 3.2 ст. 13.11 | Нарушения, связанные с трансграничной передачей персональных данных |
| ч. 8 ст. 13.11 | Повторное совершение отдельных нарушений |
| ч. 9 ст. 13.11 | Оборотный штраф для юридических лиц при повторном нарушении, привязанный к выручке |
Отсутствие уведомления само по себе не всегда квалифицируется по отдельному составу, но сопутствует другим нарушениям - отсутствию согласия, отсутствию политики обработки ПДн, нарушению порядка хранения. Поэтому подачу уведомления стоит рассматривать как часть общего аудита сайта на соответствие 152-ФЗ, а не изолированную формальность.
Что проверить у себя на сайте
- Опубликована ли на сайте политика обработки персональных данных и доступна ли она по прямой ссылке (ст. 18.1)
- Настроены ли формы согласия на обработку данных перед отправкой любой формы
- Есть ли на сайте cookie-баннер с возможностью отказаться от необязательных cookie
- Актуальны ли цели обработки, указанные в уведомлении, реальному составу собираемых данных
- Используются ли иностранные сервисы аналитики или рекламы, которые могут означать трансграничную передачу
- Хранятся ли персональные данные российских пользователей на серверах в РФ, если это требуется по закону (ст. 18 ч. 5)
- Назначено ли лицо, ответственное за организацию обработки ПДн (ст. 22.1)
- Есть ли порядок реагирования на запросы субъектов данных об уточнении, блокировании или удалении их данных (ст. 20, 21)
- Обновлялось ли уведомление после изменения состава данных или целей обработки
- Проводился ли когда-либо независимый аудит сайта на соответствие 152-ФЗ
Часть этих пунктов проверяется вручную, часть - с помощью автоматизированных инструментов, которые сканируют сайт и выявляют признаки использования сторонних сервисов и трекеров, требующих отдельного отражения в уведомлении.
Частые вопросы
Нужно ли подавать уведомление, если сайт только собирает email для рассылки?
Да, сбор email для рассылки - это обработка персональных данных, и в большинстве случаев уведомление требуется, если не применяются исключения ст. 22.1.
Как часто нужно обновлять сведения в уведомлении?
При изменении целей обработки, состава данных, появлении трансграничной передачи или смене ответственного лица сведения нужно актуализировать, а не ждать плановой проверки.
Что будет, если подать уведомление с опозданием?
Формально закон требует подать уведомление до начала обработки. Позднее уведомление лучше, чем его отсутствие, но при проверке регулятор может обратить внимание на сам факт задержки в совокупности с другими нарушениями.
Можно ли не указывать в уведомлении обработку через сторонние сервисы (метрики, CRM)?
Если такие сервисы фактически обрабатывают персональные данные посетителей сайта, их использование должно быть отражено в целях и способах обработки, иначе сведения в реестре не будут соответствовать действительности.
Где посмотреть, что оператор уже включён в реестр?
Реестр операторов персональных данных, обрабатывающих ПДн, ведёт Роскомнадзор и публикует сведения в открытом доступе на своём официальном сайте.
Уведомление в Роскомнадзор - лишь один элемент из требований 152-ФЗ. Согласия, политика обработки, меры защиты и порядок работы с обращениями субъектов данных проверяются в комплексе.
Если вы не уверены, требуется ли вашему сайту уведомление и какие данные в нём указать, можно спокойно разобраться в этом по шагам или свериться со списком типовых документов, которые должны быть на сайте по 152-ФЗ.