152-ФЗ
Уведомление в Роскомнадзор о персональных данных
Уведомление о намерении обрабатывать персональные данные ставит компанию на учёт в реестре операторов Роскомнадзора. По части 1 статьи 22 152-ФЗ оператор обязан уведомить Роскомнадзор до начала обработки. Это не «при желании» и не «когда придёт проверка». Это формальная обязанность, нарушение которой образует самостоятельный состав по части 10 статьи 13.11 КоАП.
Большинство компаний нарушают это требование не по злому умыслу, а по незнанию: думают, что «у нас же только сайт с формой заявки, мы не оператор». Юридически обработка персональных данных начинается в момент сбора имени и email через любую форму обратной связи. Сайт с формой подписки, интернет-магазин, B2B-сервис с CRM, работодатель с базой работников: каждый из них оператор и обязан подать уведомление.
С 30 мая 2025 года вступили изменения в 152-ФЗ: список случаев освобождения от уведомления резко сократился, форма уведомления расширилась с указанием конкретных сервисов и подрядчиков, появились новые требования к описанию мер защиты. Уведомление, поданное по старой форме до 2025 года, в большинстве случаев нужно актуализировать.
Мы готовим уведомление под реальные процессы компании: сканируем сайт, фиксируем формы и трекеры, заполняем все 14 разделов формы корректно, актуализируем при изменениях. Готовим за 1–2 рабочих дня, без типовых ошибок (неверные цели, неполные категории, путаница в правовых основаниях), из-за которых Роскомнадзор запрашивает разъяснения.
До начала обработкиСрок подачи
14Разделов в форме
100 000 – 300 000 ₽Штраф за неподачу
100 000 – 300 000 ₽За неполные или недостоверные сведения
1–2 дняСрок подготовки 1ОПД
Из чего состоит уведомление о намерении обрабатывать персональные данные
Форма уведомления по Приказу Роскомнадзора №274/2009 (в редакции 2024–2025) содержит 14 разделов. Каждый требует точной формулировки: после подачи уведомление попадает в открытый реестр операторов (pd.rkn.gov.ru), и любой партнёр или сам Роскомнадзор сверяет указанное в уведомлении с реальной деятельностью оператора.
Ключевые разделы, в которых чаще всего возникают ошибки: правовые основания обработки (нужно перечислить конкретные нормативные акты, не просто «152-ФЗ»), цели обработки (конкретные: «обеспечение клиентского обслуживания», а не «уставная деятельность»), категории персональных данных (общие, специальные, биометрические: раздельно), категории субъектов (клиенты, работники, кандидаты: отдельно, с указанием отношения к оператору), перечень действий с персональными данными (сбор, запись, хранение, передача: каждое отдельно), описание мер защиты (организационные и технические, со ссылкой на конкретные применённые меры).
- Полное и сокращённое наименование оператора, ИНН, ОГРН
- Адрес местонахождения и почтовый адрес
- Цели обработки персональных данных: конкретные, не общие
- Правовые основания обработки: статья 6 152-ФЗ, согласия, договорные
- Описание мер защиты: организационных и технических
- Дата начала обработки: фактическая дата старта деятельности
- Срок или условия прекращения обработки
- Сведения о наличии трансграничной передачи данных
- Сведения о месте нахождения базы данных (для случая локализации)
- Категории и перечень обрабатываемых персональных данных: раздельно по субъектам
Чем грозит отсутствие или ошибка в уведомлении
По части 10 статьи 13.11 КоАП юридическое лицо получает за неподачу уведомления штраф от 100 до 300 тысяч рублей. Тот же состав образует несвоевременное или неполное уведомление. Помимо суммы значимы последствия для других проверок. Если уведомления нет, Роскомнадзор получает дополнительный состав при любой плановой или внеплановой проверке, а в реестре операторов компании не значится.
Отсутствие в реестре операторов читается партнёрами как несоблюдение базовых требований 152-ФЗ. При заключении B2B-договоров с крупным клиентом, в тендерах, при due diligence перед сделкой контрагент первым делом смотрит, есть ли компания в открытом реестре pd.rkn.gov.ru.
Ошибки в уведомлении (например, указаны не все категории субъектов или неверно определены цели обработки) приводят к запросу разъяснений от Роскомнадзора. После такого запроса любая последующая проверка идёт с предвзятостью: Роскомнадзор знает, что оператор подавал уведомление с нарушениями.
Изменения в уведомлении с 2025 года: что нужно знать
С 30 мая 2025 года вступили существенные изменения в порядок уведомления. Главное изменение: резко сократился список случаев освобождения от подачи. Раньше многие компании пользовались исключением «обработка в рамках трудового договора» и не подавали уведомление, если обрабатывали только данные работников. С 2025 года это исключение работает при крайне узких условиях, и большинство работодателей теперь обязаны подавать уведомление, даже если данных клиентов не обрабатывают.
Второе изменение: форма уведомления расширена. Оператор указывает конкретные сервисы и подрядчиков, которым передаёт данные (CRM, банк зарплатных проектов, ДМС, аутсорсинг бухгалтерии). Шаблонные уведомления, поданные по старой форме, новым требованиям не отвечают, и актуализация становится обязательной процедурой, а не действием «при желании».
Частые вопросы
Обязательно ли подавать уведомление в Роскомнадзор, если у компании только сайт с формой обратной связи?
Да, в большинстве случаев обязательно. Сбор имени, email или телефона через форму обратной связи образует обработку персональных данных, и компания становится оператором по статье 3 152-ФЗ. С 2025 года перечень случаев освобождения от уведомления резко сокращён, и «у нас только сайт» больше не работает как основание не подавать.
В какой срок нужно подать уведомление?
До начала обработки персональных данных, то есть до момента, когда сайт принимает первую заявку или компания заключает первый трудовой договор. Если деятельность уже идёт без уведомления, оператор подаёт его как можно быстрее, до возможной проверки.
Как самостоятельно подать уведомление в Роскомнадзор?
Через портал pd.rkn.gov.ru, заполнив форму из 14 разделов и подписав электронной подписью руководителя. Технически процедура бесплатная и доступная. Сложность в корректном заполнении: цели обработки, категории данных, правовые основания и описание мер защиты должны соответствовать реальным процессам, а не общим формулировкам. Большинство самостоятельных уведомлений содержат ошибки, которые приводят к запросам разъяснений.
Чем грозит неподача уведомления в Роскомнадзор?
Штраф от 100 до 300 тысяч рублей по части 10 статьи 13.11 КоАП для юридического лица. Существеннее последствия: при любой плановой или внеплановой проверке (по жалобе клиента, в рамках планового надзора, по запросу прокуратуры) Роскомнадзор фиксирует дополнительный состав. Плюс к этому компании нет в открытом реестре, а это проблема при B2B-договорах с крупными клиентами и при due diligence.
Что нового в уведомлении с 30 мая 2025 года?
Сокращён перечень случаев освобождения от подачи: большинство работодателей теперь обязаны подавать уведомление, даже если данных клиентов не обрабатывают. Расширена форма: оператор указывает конкретных подрядчиков, которым передаёт данные, и подробнее описывает меры защиты. Уведомления, поданные по старой форме, в большинстве случаев требуют актуализации.
Нужно ли уведомлять Роскомнадзор повторно, если меняется обработка?
Да. Согласно статье 22 152-ФЗ, оператор обязан уведомить о любых изменениях в обработке не позднее 10 рабочих дней с момента таких изменений. К существенным изменениям относятся: новые цели обработки, новые категории данных, новые категории субъектов, новый адрес местонахождения базы данных, существенные изменения в мерах защиты.
Как узнать, есть ли наша компания в реестре операторов Роскомнадзора?
Проверить можно бесплатно на портале pd.rkn.gov.ru/operators-registry/operators-list по ИНН или названию компании. Запись с реестровым номером означает, что уведомление подано и принято. Если записи нет, оператор либо не подавал уведомление, либо получил отказ Роскомнадзора (это редко, но бывает при существенных ошибках).
Какие сведения должны быть в уведомлении о персональных данных?
Согласно Приказу Роскомнадзора №274 (в редакции 2024–2025): наименование оператора, ИНН/ОГРН, адреса, цели обработки, правовые основания, категории субъектов, категории обрабатываемых ПДн, перечень действий с данными, способы обработки (автоматизированная/неавтоматизированная), описание мер защиты, дата начала обработки, сведения о трансграничной передаче, сведения о месте нахождения базы данных, сведения о наличии или отсутствии шифрования. 14 разделов в форме.
Какие правовые основания обработки указать в уведомлении?
Указываются те конкретные основания, по которым обрабатываются данные каждой категории субъектов. Для клиентов сайта обычно применяют статью 6 152-ФЗ пункт 1 (согласие субъекта) вместе с договором оказания услуг. Для работников: Трудовой кодекс РФ и статья 6 152-ФЗ пункт 5 (исполнение договора). Для контрагентов: гражданские договоры и статья 6 152-ФЗ пункт 5. Указание «152-ФЗ» в общем виде остаётся типовой ошибкой.
Сколько стоит подать уведомление через специалистов?
Подача уведомления сама по себе бесплатна: это государственная услуга. Стоимость работы юриста зависит от объёма обработки и от того, готовится уведомление с нуля или в составе общего пакета документов. Срочная подача в день обращения тарифицируется отдельно. Точную сумму называем после разбора состава обработки. См. /paket-dokumentov-pdn.
