Как подать уведомление в Роскомнадзор об обработке персональных данных

Подать уведомление можно за один вечер и бесплатно: через портал персональных данных Роскомнадзора, с входом по Госуслугам, — либо на бумаге в территориальное управление. Форма одна на всех, электронная подпись для онлайн-подачи не нужна. Сложность не в процедуре, а в том, чтобы честно описать, какие данные и зачем вы собираете. Ниже — что подготовить, куда нажимать и где чаще всего ошибаются.

Кто обязан подать уведомление — и почему теперь почти все

Обязанность уведомить Роскомнадзор о намерении обрабатывать персональные данные закреплена частью 1 статьи 22 152-ФЗ. Уведомление подаётся до начала обработки — то есть до того, как на сайте появилась первая форма заявки, подписки или обратной связи. Момент, когда посетитель впервые оставил имя и телефон, — это уже начало обработки.

Раньше от уведомления освобождало длинное исключение из части 2 статьи 22. Под него попадало большинство сайтов: данные, полученные в связи с договором и используемые только для его исполнения; данные сотрудников; данные, обрабатываемые без передачи третьим лицам. Именно на эти пункты ссылались, чтобы не подавать уведомление.

С 30 мая 2025 года список исключений резко сократили — это часть большого пакета поправок к закону о персональных данных. К обычному сайту теперь не относится почти ничего из оставшегося: исключения свелись к данным в государственных информационных системах для защиты безопасности, обработке исключительно на бумаге без средств автоматизации и данным для транспортной безопасности. Сайт по определению обрабатывает данные автоматизированно, поэтому «бумажное» исключение к нему неприменимо. Практический вывод простой: если на сайте есть хоть одна форма, счётчик или чат-виджет — уведомление подавать нужно. Кто именно считается оператором и почему статус ИП или самозанятого от этого не освобождает, разобрано в статье о том, кому и зачем нужна политика конфиденциальности.

Уведомление — не разовая формальность, а одна из шести базовых обязанностей оператора. Остальные пять собраны в обзоре требований Роскомнадзора к сайту: политика, согласия в формах, баннер cookie, локализация и защита данных при передаче.

Что понадобится до подачи

Собрать всё это стоит заранее — по ходу заполнения искать реквизиты неудобно, а форма не даёт сохранить черновик как хотелось бы.

• Подтверждённая учётная запись на Госуслугах. Вход на портал персональных данных идёт через ЕСИА — ту же авторизацию, что и на Госуслугах. Для организации нужна учётная запись юрлица, для ИП — предпринимателя. Электронная подпись для онлайн-подачи не требуется; она нужна только если подавать не через портал, а иным способом.
• Реквизиты оператора: полное наименование или ФИО, ИНН, ОГРН/ОГРНИП, юридический и фактический адрес. При входе через Госуслуги часть полей подтянется автоматически.
• Ответственный за организацию обработки — ФИО, должность, контакты. Это сотрудник, назначенный приказом; у ИП это обычно он сам.
• Честный список того, что вы собираете. Пройдите по сайту и выпишите все точки сбора: формы, подписки, корзину, счётчики, виджеты, внешние сервисы. От этого зависят категории данных, цели и способы обработки в уведомлении.
• Где физически лежит база. Понадобится указать место обработки и подтвердить, что первичная база с данными россиян находится на сервере в России.

Как подать уведомление через портал

Онлайн-путь — самый быстрый. Порядок такой:

1. Зайдите на портал персональных данных Роскомнадзора (pd.rkn.gov.ru) и авторизуйтесь через Госуслуги. После входа часть сведений об организации подставится в форму сама.
2. Выберите подачу уведомления о намерении осуществлять обработку персональных данных. Форма утверждена приказом Роскомнадзора и одинакова для всех операторов.
3. Заполните реквизиты и данные ответственного — то, что подготовили заранее. Проверьте ИНН и наименование: по ним вас потом будут искать в реестре.
4. Опишите обработку по разделам — цели, категории данных и субъектов, правовое основание, перечень действий и способы. Это самая содержательная часть, о её полях — ниже.
5. Отметьте локализацию и трансграничную передачу. Подтвердите, что база в России, и укажите, передаёте ли данные за рубеж. Если да — это влечёт отдельное уведомление, о нём тоже ниже.
6. Отправьте форму. Портал зафиксирует подачу; отдельно распечатывать и везти ничего не нужно. Бумажный вариант — только если онлайн-подача почему-то недоступна: заполненную форму относят в территориальное управление Роскомнадзора по месту регистрации.

Подача бесплатна в любом случае — ни пошлины, ни платы за внесение в реестр нет.

Что указывают в уведомлении

Форма требует описать обработку, а не просто отметить галочку. Основные разделы:

Раздел	Что писать
Цель обработки	зачем собираете: обратная связь, заявки, доставка, рассылка
Категории данных	что именно: имя, телефон, e-mail, адрес — без лишних категорий «про запас»
Категории субъектов	чьи данные: клиенты, посетители сайта, подписчики
Правовое основание	согласие субъекта, договор, требование закона
Перечень действий	сбор, запись, хранение, использование, передача, удаление
Способы обработки	автоматизированная, с передачей по сети
Локализация	адрес места обработки, подтверждение базы в РФ
Дата начала обработки	когда фактически начали собирать данные

Главное правило заполнения — описывать реальную обработку, а не идеальную. Указали категорию данных, которую на деле не собираете, — создали себе обязанность, которую придётся выполнять. Забыли ту, что собираете, — уведомление неполное. Ориентир один: то, что в форме, должно совпадать с тем, что на сайте и в вашей политике.

Это не то же самое, что уведомление о трансграничной передаче

Здесь чаще всего путаются. «Уведомить Роскомнадзор» — это на самом деле разные документы под разные ситуации, и подача одного не закрывает другой.

Что подаём	Когда нужно	Норма
Уведомление об обработке	почти всегда, когда собираете данные	ч. 1 ст. 22 152-ФЗ
Уведомление о трансграничной передаче	когда данные уходят на зарубежный сервис	ч. 3 ст. 12 152-ФЗ

Второе возникает незаметно. Форма собрана на Google Forms, рассылка идёт через зарубежный сервис, на сайте стоит иностранный виджет чата — и данные пересекают границу. Это самостоятельное уведомление, которое подаётся до начала такой передачи и отдельно от основного.

Наш сканер разводит эти два состава намеренно. Он проверяет по ИНН, есть ли ваша запись в реестре операторов, — и если записи нет, помечает это нарушением части 1 статьи 22. Отдельно он смотрит, работают ли на сайте зарубежные сервисы, и если да — поднимает вопрос о трансграничной передаче как требующий проверки: подавали ли вы уведомление именно о ней. Одно закрытое требование не снимает второе. Что именно нужно подать, какие страны считаются безопасными и чем грозит молчание — разобрано в статье про трансграничную передачу персональных данных.

Что чаще всего идёт не так

Ошибки повторяются из сайта в сайт, и почти все — не про сложность формы, а про неверное представление о том, надо ли вообще подавать.

• «Мы под исключением». Расчёт на старую льготу из части 2 статьи 22. После 30 мая 2025 года она к сайту почти наверняка не относится — исключения оставили узкие.
• «Подадим, когда вырастем». Уведомление подаётся до начала обработки, а обработка началась с первой формы. Ждать роста бессмысленно: обязанность уже наступила.
• Подали и забыли. Изменились реквизиты, добавили новую форму или цель — сведения в уведомлении устарели. Об изменениях нужно сообщать, не дожидаясь проверки: срок — не позднее 15-го числа месяца, следующего за тем, в котором они произошли.
• Спутали два уведомления. Подали об обработке, а про трансграничную передачу не вспомнили — хотя на сайте работает зарубежный сервис.
• Описали не то, что собирают. В форме одни категории данных, на сайте — другие. При проверке расхождение видно сразу.

За неподачу уведомления отвечает отдельный состав — часть 10 статьи 13.11 КоАП: для юридического лица санкция по составу — от 100 000 до 300 000 ₽. Это вилка по составу, а не прогноз конкретной суммы. И этот штраф редко приходит один: как несколько составов одной статьи складываются в одном деле, разобрано в статье про штраф за отсутствие политики конфиденциальности — механика там общая для всей статьи 13.11.

Как убедиться, что вы попали в реестр

Отправленное уведомление не значит «внесён». Сведения проходят обработку, и запись в реестре появляется не сразу. Проверить себя можно так:

• через некоторое время после подачи (ориентировочно месяц) откройте реестр операторов на портале персональных данных и найдите себя по ИНН или наименованию;
• убедитесь, что запись есть и реквизиты в ней верные — именно по этим полям вас идентифицирует проверяющий;
• сверьте, что заявленные в реестре категории данных и цели совпадают с тем, что реально на сайте и в политике;
• если данные с момента подачи менялись — проверьте, что вы отправили сведения об изменениях в срок.

Пока записи в реестре нет, для проверяющего вы уведомление не подавали. Как искать себя или контрагента в реестре по ИНН и что означают поля карточки оператора, разобрано в статье как проверить реестр операторов персональных данных. Быстрее всего увидеть свои открытые уязвимости — бесплатная проверка сайта: она в том числе смотрит по ИНН, числитесь ли вы в реестре операторов, и показывает, что ещё требует надзор.

Частые вопросы

Правда ли, что теперь уведомлять обязаны почти все? Да. С 30 мая 2025 года прежние широкие исключения из части 2 статьи 22 152-ФЗ убрали. Оставшиеся исключения узкие и к обычному сайту не относятся: если на нём есть форма или счётчик, уведомление подавать нужно.

Нужна ли электронная подпись, чтобы подать через портал? Нет. Онлайн-подача идёт через авторизацию по Госуслугам, отдельная электронная подпись для неё не требуется. Она понадобится, только если подавать не через портал.

Сколько стоит подать уведомление? Нисколько. Подача и внесение в реестр операторов бесплатны — ни пошлины, ни платы нет. Платные «услуги по подаче» на стороне — это работа посредника, а не обязательный сбор.

Мы работаем несколько лет и не подавали. Что делать? Подать сейчас. Обязанность была нарушена с момента начала обработки, но чем дольше уведомления нет, тем выше риск состава по части 10 статьи 13.11. Устранение до проверки — смягчающее обстоятельство.

Подал уведомление — значит, с персональными данными всё в порядке? Нет. Уведомление — одна обязанность из шести. Сайт с поданным уведомлением, но без политики, без согласий у форм или с сервером за рубежом нарушает закон по другим, более дорогим составам.