Уведомление в Роскомнадзор об обработке персональных данных: пошагово

Уведомление — это заявление оператора о том, что он обрабатывает персональные данные. Оно подаётся до начала обработки (ч. 1 ст. 22 152-ФЗ). После 1 сентября 2022 года обязанность распространяется практически на всех, у кого есть сайт с формой, CRM или рассылка. Разберём, кто обязан, что указать и как подать.

Кто обязан уведомлять после отмены исключений

До 2022 года действовал длинный список исключений — им пользовалось большинство небольших сайтов (например, «обработка данных, необходимых для однократного пропуска», «данные в рамках трудовых отношений», «данные клиентов по договору без передачи третьим лицам»). Федеральный закон от 14.07.2022 № 266-ФЗ пункты 1–6 части 2 статьи 22 отменил. Остались только:

• обработка исключительно без средств автоматизации — то есть только на бумаге, без компьютера и любых информационных систем;
• обработка, включённая в государственную тайну;
• отдельные случаи по законодательству о транспортной безопасности.

Сайт, интернет-магазин или лендинг с формой заявки, счётчиком аналитики или CRM ни под одно из этих исключений не подпадает. Значит, уведомление подавать нужно — независимо от оборота и числа посетителей.

Шаг 1. Проверьте, нет ли вас уже в реестре

Откройте реестр операторов на портале Роскомнадзора и найдите себя по ИНН. Если запись есть — уведомление уже подано; тогда при изменениях подаётся не новое уведомление, а информационное письмо (см. ниже). Ту же сверку с реестром делает бесплатная проверка ПДн.Риск — автоматически, по ИНН.

Шаг 2. Подготовьте сведения

Форма уведомления требует (ч. 3 и 3.1 ст. 22 152-ФЗ):

• наименование или ФИО, ИНН и адрес оператора;
• цель (цели) обработки персональных данных;
• для каждой цели — категории персональных данных, категории субъектов, правовое основание, перечень действий с данными и способы обработки;
• описание организационных и технических мер защиты (ст. 18.1 и 19 152-ФЗ), сведения о применении шифровальных средств;
• ФИО, должность и контакты лица, ответственного за организацию обработки персональных данных;
• дату начала обработки;
• срок или условие прекращения обработки;
• сведения о трансграничной передаче данных (в какие страны и на каком основании);
• сведения о месте нахождения базы данных с персональными данными граждан РФ.

Практический совет: формулируйте цели и категории данных так, как есть на самом деле, а не «на всякий случай широко». Уведомление публично, и расхождение между заявленным и фактическим (например, в реестре нет рекламной рассылки, а вы её ведёте) — это отдельный риск при жалобе или проверке.

Шаг 3. Заполните и отправьте форму

Есть три способа. Портал персональных данных РКН — на pd.rkn.gov.ru в разделе форм уведомлений заполняете электронную форму и подписываете (юрлицо — квалифицированной ЭП). Госуслуги — соответствующая услуга Роскомнадзора. На бумаге — распечатать, подписать и направить в территориальный орган РКН по месту нахождения оператора. Госпошлины нет ни в одном варианте.

Шаг 4. Дождитесь внесения в реестр

Роскомнадзор вносит сведения в реестр операторов в течение 30 дней. После этого запись становится общедоступной (кроме сведений о средствах защиты). Если данные неполные или противоречивы — РКН запросит уточнение до внесения; отвечать на такой запрос нужно в указанный в нём срок.

Что делать при изменении сведений

Если после подачи уведомления изменились цели, состав данных, перечень действий, ответственный за обработку, адрес, сведения о трансграничной передаче или месте хранения базы — оператор обязан направить информационное письмо об изменении в течение 15 рабочих дней с даты изменения (ч. 7 ст. 22 152-ФЗ). Прекращение обработки тоже оформляется письмом. Старое уведомление, которое не отражает реальную обработку, при проверке защитой не является.

Что будет, если не подать

Неподача или несвоевременная подача уведомления — самостоятельный состав: часть 10 статьи 13.11 КоАП РФ. Штраф для юридических лиц — от 100 000 до 300 000 ₽, для должностных лиц и ИП — от 30 000 до 50 000 ₽. Этот штраф назначается независимо от других нарушений (нет политики, нет согласия — считаются отдельно). Подробнее о суммах: штрафы по 152-ФЗ.

Частые вопросы

Связанные обязанности

Уведомление — не единственное требование. Параллельно нужно опубликовать политику обработки персональных данных, настроить согласие на обработку в формах и cookie-баннер. Общий обзор — на странице 152-ФЗ простыми словами.

Материал носит информационный характер и не является юридической консультацией. Автор: Андронов Юрий, руководитель ПДн.Риск. Первоисточники: 152-ФЗ (ст. 22) на pravo.gov.ru, портал персональных данных Роскомнадзора.