Уведомление в Роскомнадзор о персональных данных

Да, в большинстве случаев обязательно. Сбор имени, email или телефона через форму обратной связи образует обработку персональных данных, и компания становится оператором по статье 3 152-ФЗ. С 2025 года перечень случаев освобождения от уведомления резко сокращён, и «у нас только сайт» больше не работает как основание не подавать.

До начала обработки персональных данных, то есть до момента, когда сайт принимает первую заявку или компания заключает первый трудовой договор. Если деятельность уже идёт без уведомления, оператор подаёт его как можно быстрее, до возможной проверки.

Через портал pd.rkn.gov.ru, заполнив форму из 14 разделов и подписав электронной подписью руководителя. Технически процедура бесплатная и доступная. Сложность в корректном заполнении: цели обработки, категории данных, правовые основания и описание мер защиты должны соответствовать реальным процессам, а не общим формулировкам. Большинство самостоятельных уведомлений содержат ошибки, которые приводят к запросам разъяснений.

Штраф от 100 до 300 тысяч рублей по части 10 статьи 13.11 КоАП для юридического лица. Существеннее последствия: при любой плановой или внеплановой проверке (по жалобе клиента, в рамках планового надзора, по запросу прокуратуры) Роскомнадзор фиксирует дополнительный состав. Плюс к этому компании нет в открытом реестре, а это проблема при B2B-договорах с крупными клиентами и при due diligence.

Сокращён перечень случаев освобождения от подачи: большинство работодателей теперь обязаны подавать уведомление, даже если данных клиентов не обрабатывают. Расширена форма: оператор указывает конкретных подрядчиков, которым передаёт данные, и подробнее описывает меры защиты. Уведомления, поданные по старой форме, в большинстве случаев требуют актуализации.

Да. Согласно статье 22 152-ФЗ, оператор обязан уведомить о любых изменениях в обработке не позднее 10 рабочих дней с момента таких изменений. К существенным изменениям относятся: новые цели обработки, новые категории данных, новые категории субъектов, новый адрес местонахождения базы данных, существенные изменения в мерах защиты.

Проверить можно бесплатно на портале pd.rkn.gov.ru/operators-registry/operators-list по ИНН или названию компании. Запись с реестровым номером означает, что уведомление подано и принято. Если записи нет, оператор либо не подавал уведомление, либо получил отказ Роскомнадзора (это редко, но бывает при существенных ошибках).

Согласно Приказу Роскомнадзора №274 (в редакции 2024–2025): наименование оператора, ИНН/ОГРН, адреса, цели обработки, правовые основания, категории субъектов, категории обрабатываемых ПДн, перечень действий с данными, способы обработки (автоматизированная/неавтоматизированная), описание мер защиты, дата начала обработки, сведения о трансграничной передаче, сведения о месте нахождения базы данных, сведения о наличии или отсутствии шифрования. 14 разделов в форме.

Указываются те конкретные основания, по которым обрабатываются данные каждой категории субъектов. Для клиентов сайта обычно применяют статью 6 152-ФЗ пункт 1 (согласие субъекта) вместе с договором оказания услуг. Для работников: Трудовой кодекс РФ и статья 6 152-ФЗ пункт 5 (исполнение договора). Для контрагентов: гражданские договоры и статья 6 152-ФЗ пункт 5. Указание «152-ФЗ» в общем виде остаётся типовой ошибкой.

Подача уведомления сама по себе бесплатна: это государственная услуга. Стоимость работы юриста зависит от объёма обработки и от того, готовится уведомление с нуля или в составе общего пакета документов. Срочная подача в день обращения тарифицируется отдельно. Точную сумму называем после разбора состава обработки. См. /paket-dokumentov-pdn.