В 2026 году круг компаний, обязанных уведомлять Роскомнадзор об обработке персональных данных, стал шире. Изменения, вступившие в силу с 30.05.2025, затронули в том числе владельцев небольших сайтов с формами обратной связи, заявками и подпиской - тех, кто раньше считал уведомление необязательным.
Коротко
Закон 152-ФЗ обязывает операторов персональных данных направлять в РКН уведомление до начала обработки. Раньше значительная часть небольших сайтов подпадала под исключения и могла работать без уведомления. Поправки сузили перечень исключений и расширили круг тех, кто обязан подать уведомление, включая часть операторов, которые ранее ошибочно считали себя освобожденными от этой обязанности.
Что изменилось: расширение круга обязанных подавать уведомление
Ключевая суть изменений - уточнение оснований, при которых оператор освобождается от подачи уведомления. Формулировки старых исключений допускали широкое толкование, и многие сайты с формами сбора данных пользовались этим, не уведомляя РКН. Теперь основания для освобождения трактуются строже, и часть операторов, ранее работавших без уведомления, обязана его подать.
- Уточнены критерии обработки данных, при которой оператор считается освобожденным от уведомления.
- Формы на сайте (заявки, обратная связь, подписка на рассылку, регистрация) в большинстве случаев подпадают под обязанность уведомления, если ранее не было официального основания для освобождения.
- Ответственность за отсутствие уведомления или недостоверные сведения в нем не изменилась, но контроль за исполнением этой обязанности усилен.
Кого это касается: малый бизнес с формами на сайте
Изменения напрямую затрагивают небольшие компании и ИП, у которых есть сайт с любой формой сбора персональных данных:
- интернет-магазины с формой оформления заказа;
- сайты услуг с формой заявки или обратного звонка (без учета факта самого звонка, а именно формы сбора данных);
- лендинги и посадочные страницы с формой захвата контактов;
- сайты с подпиской на email-рассылку или push-уведомления;
- интернет-ресурсы с личным кабинетом или регистрацией пользователей.
Ранее часть таких операторов ошибочно полагала, что формы с минимальным набором полей (имя и телефон или email) не требуют уведомления. Уточненные основания для освобождения делают этот подход рискованным - при проверке РКН может квалифицировать такую обработку как подлежащую уведомлению.
Что делать
- Провести аудит: зафиксировать, какие формы на сайте собирают персональные данные, какие данные обрабатываются и с какой целью.
- Проверить, подавалось ли уведомление в РКН ранее и актуальны ли указанные в нем сведения.
- Если уведомление не подавалось или сведения устарели - подготовить и направить новое уведомление либо сведения об изменениях.
- Привести в соответствие внутренние документы: политику обработки персональных данных, согласия на обработку, форму согласия на сайте.
- Проверить договоры с подрядчиками (хостинг, CRM, рассылочные сервисы, аналитика), которые получают доступ к персональным данным пользователей.
Что проверить у себя на сайте
| Элемент сайта | Что проверить |
|---|---|
| Формы сбора данных | Наличие чекбокса согласия на обработку персональных данных рядом с каждой формой |
| Политика обработки ПДн | Актуальность документа, соответствие фактическим целям и способам обработки |
| Уведомление в РКН | Подано ли уведомление, соответствуют ли указанные в нем данные реальной практике сайта |
| Куки и счетчики | Информирование пользователей об использовании cookie и передаче данных third-party сервисам |
| Подрядчики и сервисы | Наличие поручений на обработку данных с CRM, email-рассылками, хостинг-провайдером |
Частые вопросы
Нужно ли подавать уведомление, если на сайте только форма обратной связи с именем и телефоном?
В большинстве случаев - да, если ранее у оператора не было документально подтвержденного основания для освобождения от уведомления. Каждую ситуацию стоит рассматривать по фактическим целям обработки.
Что будет, если не подать уведомление вовремя?
Отсутствие уведомления при наличии такой обязанности - основание для привлечения оператора к ответственности по итогам проверки.
Достаточно ли один раз подать уведомление и больше к этому не возвращаться?
Нет. При изменении целей, состава данных или способов обработки в уведомление нужно вносить изменения - это отдельная обязанность оператора.
Касаются ли изменения только новых сайтов?
Нет, речь идет обо всех операторах, включая тех, кто работает давно, но раньше не подавал уведомление, полагая себя освобожденным.
Итог
Расширение круга обязанных подавать уведомление в РКН - повод для владельцев сайтов с формами сбора данных пересмотреть свой статус как оператора персональных данных. Даже небольшой сайт с формой заявки может подпадать под обязанность уведомления, если нет официальных оснований для освобождения.
Подробнее о том, какие документы нужны оператору персональных данных и как привести сайт в соответствие с требованиями 152-ФЗ, смотрите в разделе документы.