Уведомление в РКН: кто оператор ПДн и зачем подавать

Разбираемся, кто обязан подавать уведомление в Роскомнадзор, чем грозит забытая подача и как проверить свой сайт за 5 минут.

Если на вашем сайте есть форма "оставить заявку", кнопка "заказать звонок" или корзина с оплатой — вы, скорее всего, уже оператор персональных данных. Не потому что у вас огромная база клиентов, а просто потому что сайт собирает имя, телефон, почту или адрес доставки. И по закону об этом факте нужно было заранее уведомить Роскомнадзор. Многие владельцы сайтов узнают об этой обязанности не на старте, а когда приходит запрос от РКН или жалоба клиента.

Разберёмся, что это за требование, кого оно касается на практике и что будет, если уведомление не подано.

Что за требование и почему оно касается практически любого сайта

Оператор персональных данных — это не какой-то особый статус, который нужно специально получать. Это просто юридическое название того, кто определяет, зачем и как обрабатываются персональные данные людей. Если у вас есть сайт с формой, куда человек вводит своё имя и телефон, чтобы вы ему позвонили — вы уже оператор, автоматически, без всякого заявления.

А вот уведомление в Роскомнадзор — это отдельное действие, которое оператор обязан совершить сам. Закон не спрашивает, крупная у вас компания или совсем маленькая. Спрашивает он одно: обрабатываете ли вы персональные данные и по какой причине. Если да — по общему правилу нужно уведомить.

Подробнее про базовые понятия закона можно почитать в материале 152-ФЗ простыми словами.

Как понять, что это про ваш сайт: примеры по типам бизнеса

Проще всего проверить себя на конкретных примерах.

• Интернет-магазин. Собирает имя, телефон, адрес доставки, иногда данные карты через платёжный сервис. Это оператор в чистом виде, причём с довольно широким набором данных — тут точно нужны и уведомление, и политика обработки, и корректно оформленное согласие.
• Лендинг с одной формой заявки. Даже если на сайте всего одна страница и одна форма "узнать цену" — с момента, когда через неё прошёл хотя бы один реальный человек с именем и телефоном, вы стали оператором. Размер сайта тут ни при чём.
• Сайт услуг (стоматология, юрист, мастер по ремонту, репетитор). Форма записи на консультацию или обратный звонок — тот же самый случай. Часто именно такие небольшие сайты дольше всего остаются без уведомления, потому что владельцу кажется, что закон писан про банки и операторов связи.
• ООО. Юридическое лицо отвечает как оператор в полном объёме, включая административную ответственность по повышенной ставке — именно про юрлиц говорит статья о штрафах.
• ИП. Формально ИП тоже становится оператором, если собирает данные клиентов через сайт, форму или мессенджер-бот. Многие ИП ошибочно считают, что этот вопрос про них не стоит — стоит, просто ответственность может отличаться от той, что применяется к юрлицам.
• Самозанятый. Даже без сайта, если ведётся страница-визитка с формой заявки или сбор данных через бота — формально возникает та же обязанность. На практике внимание к самозанятым ниже, но само правило действует одинаково для всех.

Если хочется разобраться конкретно под свой тип бизнеса — есть отдельный разбор 152-ФЗ по видам бизнеса.

Что именно написано в законе — и где кончается буква, а начинается практика

Норма звучит так: статья 22 Федерального закона № 152-ФЗ «О персональных данных» закрепляет «обязанность оператора уведомить уполномоченный орган о намерении осуществлять обработку персональных данных».

Ключевое слово здесь — "намерении". По букве закона уведомление подаётся заранее, до фактического начала обработки, а не тогда, когда обработка уже идёт полгода и кто-то об этом напомнил. На практике, конечно, огромное количество сайтов подаёт уведомление постфактум — просто потому что о требовании узнают уже в процессе работы. РКН формально может это заметить, но чаще реагирует не на сам факт запоздалой подачи, а на жалобу, обращение или плановую проверку, где отсутствие уведомления всплывает вместе с другими нарушениями.

Отдельный момент — закон предусматривает несколько узких исключений, когда уведомление не требуется. Например, если обработка данных ведётся исключительно в рамках трудовых отношений с собственными сотрудниками, или строго для заключения и исполнения договора, стороной которого является сам гражданин. Но это именно узкие случаи, а не общее правило "для маленьких можно не подавать". Обычная форма заявки на сайте, куда обращаются посторонние люди, под эти исключения не подпадает.

После подачи уведомление не остаётся неизменным навсегда — сведения в реестре операторов нужно поддерживать актуальными. Если у компании меняются цели обработки, реквизиты, категории данных — запись положено обновить.

Частые ошибки и заблуждения вокруг уведомления

Первое и самое распространённое заблуждение — "это только для больших компаний с базами данных". На практике статус оператора не зависит от масштаба бизнеса и количества клиентов. Один лендинг с одной формой заявки формально ставит владельца в ту же категорию, что и крупный интернет-магазин — просто с меньшим объёмом данных.

Второе заблуждение — "если у нас нет отдельной базы данных, а просто письма приходят на почту", то уведомление не нужно. Способ хранения данных на статус оператора не влияет: если данные собираются через форму на сайте ради конкретной цели, обработка происходит, а значит вопрос об уведомлении встаёт независимо от того, куда данные потом попадают — в CRM, в Excel или просто в почтовый ящик.

Третье — путают уведомление в РКН с политикой обработки персональных данных и согласием на сайте. Это разные документы и действия: политика и согласие касаются отношений с посетителем сайта, а уведомление — это отдельное обращение в госорган о самом факте обработки. Про согласие подробнее написано в материале согласие на обработку персональных данных, а про политику — в статье политика обработки персональных данных.

Четвёртое — думают, что раз подали уведомление один раз при регистрации ООО или ИП, дело закрыто навсегда. На деле запись в реестре должна отражать реальную ситуацию: если появились новые формы, новые цели обработки, изменился адрес компании — сведения нужно актуализировать.

Чем это грозит на самом деле

Административная ответственность за нарушение порядка уведомления прописана отдельно от общих штрафов за нарушения 152-ФЗ. По части 10 статьи 13.11 КоАП РФ штраф для юридических лиц составляет от 100 000 до 300 000 рублей.

На практике штраф — не единственное последствие. Отсутствие уведомления часто всплывает вместе с другими нарушениями: без него сложнее подтвердить, что компания вообще привела свою работу с персональными данными в порядок. Если дело доходит до проверки после жалобы клиента, отсутствие записи в реестре операторов выглядит как дополнительный повод для более пристального внимания, а не как изолированная мелкая недоработка.

Полный обзор возможных штрафов по теме персональных данных, не только по этой статье, есть в материале штрафы по 152-ФЗ.

Как за 5 минут проверить, подано ли у вас уведомление

Самый быстрый способ — посмотреть открытый реестр операторов персональных данных на сайте Роскомнадзора и поискать свою компанию по ИНН или названию. Если запись есть — стоит заодно проверить, соответствуют ли указанные там цели обработки и адрес реальному положению дел. Если записи нет, а сайт уже собирает данные через формы — уведомление нужно подавать.

Дополнительно полезно свериться по короткому списку:

• Есть ли на сайте хотя бы одна форма, где человек оставляет имя, телефон, почту или другие данные?
• Хранятся ли эти данные где-то дольше момента получения — в CRM, почте, таблице?
• Подавалось ли когда-либо уведомление в РКН от имени вашей компании или ИП?
• Совпадают ли данные в реестре (если запись есть) с текущей реальностью — адрес, цели, контакты?

Если хотя бы на первый и второй вопрос ответ "да", а на третий — "нет" или "не знаю", это повод разобраться подробнее.

Как привести всё в порядок: что сделать самому, что отдать разработчику, что юристу

Самостоятельно можно и нужно: собрать список форм на сайте и того, какие данные они запрашивают, зафиксировать цели обработки (обратный звонок, доставка заказа, консультация), и на основе этого подготовить и подать уведомление через портал Роскомнадзора или Госуслуги.

Подробный порядок самой подачи и то, что указывать в полях уведомления, разобран в материале уведомление в Роскомнадзор.

Разработчику стоит поручить техническую часть: убедиться, что формы на сайте действительно передают данные туда, куда предполагается (CRM, почта), что нет лишних скрытых полей и сборщиков данных, о которых владелец сайта даже не знает — например, старых форм подписки, оставшихся от предыдущей версии сайта.

Юристу имеет смысл отдать пограничные случаи: если бизнес обрабатывает данные не только клиентов, но и сотрудников, партнёров, если данные передаются третьим лицам (courier-службам, платёжным системам, рекламным кабинетам), или если непонятно, подпадает ли конкретная ситуация под одно из исключений из обязанности уведомления. Здесь общие рекомендации из статьи не заменяют разбор конкретного случая.

Частые вопросы

Нужно ли подавать уведомление, если сайт — просто визитка без форм?

Если на сайте нет ни одной формы, чат-бота или другого способа сбора данных посетителей, обязанности подавать уведомление обычно не возникает — сайт не обрабатывает персональные данные. Но стоит перепроверить, нет ли скрытых форм подписки или виджетов обратной связи, о которых забыли.

Я ИП без сотрудников, работаю один — мне точно нужно уведомление?

Если через сайт, форму заявки или бота вы собираете данные клиентов (имя, телефон, почту), формально вы оператор персональных данных независимо от того, что работаете один. Отсутствие сотрудников не исключает обязанность в отношении данных клиентов.

Что будет, если подать уведомление с опозданием на год?

Само по себе позднее уведомление лучше, чем полное его отсутствие. Формально нарушение порядка уведомления всё равно имело место, и теоретически может повлечь ответственность по ч. 10 ст. 13.11 КоАП РФ, но на практике штрафы чаще возникают в связи с проверками или жалобами, а не автоматически из-за самого факта задержки.

Нужно ли обновлять уведомление, если поменялся адрес сайта или компании?

Да, сведения в реестре операторов нужно поддерживать актуальными. Если изменились реквизиты компании, цели обработки или категории собираемых данных, запись в реестре стоит обновить, а не оставлять устаревшей.

Чем уведомление в РКН отличается от согласия на сайте?

Уведомление — это обращение оператора в госорган о самом факте обработки персональных данных. Согласие — это документ, который оператор получает от посетителя сайта, чтобы обрабатывать именно его данные. Это два разных, независимых друг от друга требования закона.

Как узнать, подано ли уведомление от имени моей компании раньше меня — например, предыдущим владельцем сайта?

Проверить это можно по открытому реестру операторов персональных данных на сайте Роскомнадзора, поискав компанию по ИНН или названию. Если запись есть, но данные там устаревшие или указаны не те цели обработки, которые сайт использует сейчас, эту запись стоит актуализировать, а не подавать новое уведомление с нуля.

Автор: Андронов Юрий, руководитель ПДн.Риск. Материал носит информационный характер и не является юридической консультацией.