Если организация собирает персональные данные посетителей сайта - имя, телефон, email, cookie-идентификаторы - она чаще всего становится оператором персональных данных в смысле 152-ФЗ. Один из первых практических вопросов после запуска сайта - нужно ли уведомлять Роскомнадзор об обработке и как это сделать правильно. Разберём, кто обязан подавать уведомление, какие есть исключения и что грозит за нарушение этой обязанности.
Коротко
- Обязанность уведомлять Роскомнадзор об обработке персональных данных установлена статьёй 22 152-ФЗ.
- Статья 22 ч.2 содержит перечень случаев, когда уведомление не требуется.
- Сведения об операторах включаются в реестр в соответствии со статьёй 22.1.
- Роскомнадзор - уполномоченный орган по защите прав субъектов персональных данных, его полномочия закреплены статьёй 23.
- С 30 мая 2025 года за ряд нарушений, связанных с обработкой и утечками персональных данных, применяются оборотные штрафы по ст. 13.11 КоАП РФ.
Кто обязан уведомить Роскомнадзор
По общему правилу статьи 22 152-ФЗ оператор до начала обработки персональных данных обязан уведомить об этом уполномоченный орган - Роскомнадзор. Для сайта организации это означает, что если через формы обратной связи, регистрацию личного кабинета, оформление заказа или подписку собираются данные посетителей, компания, как правило, подпадает под эту обязанность.
Уведомление подаётся в письменной форме или в форме электронного документа через сайт Роскомнадзора. В нём указываются сведения об операторе, целях и правовых основаниях обработки, категориях субъектов и данных, сроках обработки, а также о мерах по обеспечению безопасности - требования к этим мерам закреплены статьёй 19.
Когда уведомление можно не подавать
Статья 22 ч.2 предусматривает случаи, когда обязанность уведомления не возникает. Наиболее часто на практике встречаются следующие ситуации.
| Основание | Пояснение |
|---|---|
| Данные обрабатываются в силу трудовых отношений | Кадровый учёт сотрудников без передачи данных третьим лицам сверх необходимого |
| Данные получены в связи с заключением и исполнением договора | Обработка нужна исключительно для исполнения договора с субъектом данных и не распространяется без его согласия |
| Данные относятся к членам общественного объединения или религиозной организации | Обрабатываются с согласия субъектов и в целях, предусмотренных уставом |
| Данные являются общедоступными персональными данными | Субъект сам сделал их общедоступными на законных основаниях |
| Обработка без использования средств автоматизации | При соблюдении требований к обработке персональных данных без автоматизации |
Важно понимать: освобождение от уведомления не освобождает от иных обязанностей оператора - получения согласия по статье 9, обеспечения мер защиты по статье 19, соблюдения условий трансграничной передачи по статье 12.
Реестр операторов и роль Роскомнадзора
Сведения, указанные в уведомлении, вносятся в реестр операторов, порядок ведения которого определён статьёй 22.1. Реестр носит открытый характер в части основных сведений об операторе. Роскомнадзор как уполномоченный орган по защите прав субъектов персональных данных, согласно статье 23, рассматривает уведомления, ведёт реестр, а также организует и проводит проверки операторов, включая сайты организаций.
Отдельно стоит помнить об обязанности оператора по статье 21 ч.4 - при достижении цели обработки или отзыве согласия персональные данные подлежат уничтожению либо обезличиванию в установленный срок, если иное не предусмотрено законом или договором.
Ответственность за нарушение обязанности уведомления
Неисполнение оператором обязанности по уведомлению об обработке персональных данных либо представление неполных или недостоверных сведений влечёт ответственность по части 2.1 статьи 13.11 КоАП РФ. С 30 мая 2025 года вступили в силу изменения, существенно увеличившие размеры штрафов по статье 13.11 в целом, включая часть 1 (обработка без согласия либо с нарушением требований к его содержанию), часть 2 (невыполнение обязанности по обезличиванию данных) и часть 3.2 (неуведомление Роскомнадзора об инциденте, связанном с утечкой данных).
Наиболее строгие последствия предусмотрены для случаев утечки персональных данных: часть 8 статьи 13.11 устанавливает ответственность за нарушение, повлёкшее утечку, а часть 9 - за повторное аналогичное нарушение, для которого закон вводит оборотный штраф, рассчитываемый исходя из выручки нарушителя. Это отдельная категория санкций, применяемая именно к повторным случаям и не связанная напрямую с фактом отсутствия уведомления об обработке.
Что проверить у себя на сайте
- Подано ли уведомление в Роскомнадзор об обработке персональных данных, если организация не подпадает под исключения статьи 22 ч.2.
- Актуальны ли сведения в уведомлении - цели обработки, категории данных, сроки, меры защиты.
- Есть ли на сайте политика обработки персональных данных, доступная для ознакомления субъектам данных.
- Реализовано ли получение согласия на обработку данных в формах сайта в соответствии со статьёй 9.
- Проверены ли основания трансграничной передачи данных, если сайт использует зарубежные сервисы аналитики, рассылок или CRM - требования статьи 12.
- Определён ли порядок ответа на обращения субъектов персональных данных, включая запросы на уточнение и удаление данных.
- Настроен ли порядок уничтожения или обезличивания данных по достижении цели обработки согласно статье 21 ч.4.
- Приняты ли организационные и технические меры защиты данных в соответствии со статьёй 19 и внутренние документы по статье 18.1.
- Есть ли план действий на случай утечки данных, включая обязанность уведомить Роскомнадзор и МВД в установленный срок.
Полный перечень типовых юридических документов для сайта, включая политику обработки персональных данных и согласие на обработку, можно посмотреть в разделе документов. Проверить сайт по основным параметрам 152-ФЗ можно с помощью формы аудита.
Частые вопросы
Нужно ли уведомлять Роскомнадзор, если сайт - просто визитка без форм?
Если сайт не собирает персональные данные посетителей и не использует средства аналитики, фиксирующие идентификаторы пользователей, обязанность уведомления, как правило, не возникает. Но стоит отдельно проверить используемые счётчики и метрики.
Можно ли подать уведомление после того, как сайт уже заработал?
Формально уведомление должно быть подано до начала обработки, но на практике организации, обнаружившие пропуск, подают его при выявлении несоответствия и приводят процессы в соответствие с требованиями закона.
Распространяется ли обязанность уведомления на индивидуальных предпринимателей?
Да, статья 22 152-ФЗ распространяется на операторов независимо от организационно-правовой формы, включая ИП, если они самостоятельно определяют цели и содержание обработки персональных данных.
Чем отличаются штрафы по части 1 и части 2.1 статьи 13.11 КоАП?
Часть 1 касается обработки персональных данных без согласия субъекта или с нарушением требований к согласию, часть 2.1 - именно неисполнения обязанности уведомить Роскомнадзор об обработке либо предоставления недостоверных сведений в уведомлении.
Как быть, если сайт работает на иностранном хостинге?
Выбор хостинга сам по себе не отменяет обязанностей оператора по 152-ФЗ, но может влиять на вопросы трансграничной передачи и локализации данных. Обзор требований к размещению можно посмотреть в разделе про хостинг-провайдеров.
Уведомление Роскомнадзора - лишь одна из обязанностей оператора персональных данных. Полезно рассматривать её в связке с политикой обработки, согласиями и мерами защиты данных как единую систему, а не разовую формальность.
Если вы не уверены, нужно ли подавать уведомление именно для вашего сайта, и в каком виде, - можно спокойно разобраться в этом по шагам, опираясь на нормы 152-ФЗ и собственную структуру обработки данных на сайте.