Уведомление о персональных данных в Роскомнадзор: кто и как должен подавать

Оператором персональных данных может быть организация, ИП или физлицо, которое самостоятельно или совместно с другими лицами организует обработку персональных данных, определяет ее цели, состав данных и выполняемые с ними операции.

Поэтому обязанность уведомить Роскомнадзор возникает не только у крупных компаний. Например, оператором может быть небольшая организация, которая:

• принимает заявки через сайт;

• хранит данные покупателей;

• оформляет договоры с клиентами;

• ведет кадровый учет;

• собирает резюме соискателей;

• использует сервисы для работы с персональными данными.

Общее правило простое: до начала обработки оператор должен направить уведомление в Роскомнадзор.

Закон предусматривает ограниченный перечень исключений. Без уведомления разрешена обработка, если она:

• ведется в государственных информационных системах персональных данных, созданных для защиты безопасности государства и общественного порядка;

• осуществляется исключительно без использования средств автоматизации;

• относится к случаям, предусмотренным законодательством о транспортной безопасности.

Направить уведомление нужно до того, как компания начнет обрабатывать персональные данные. Это не регистрационная процедура в привычном смысле: Роскомнадзор не выдает отдельное разрешение на обработку данных. Оператор сообщает о своей деятельности, а сведения затем включают в реестр операторов.

Например, если организация собирается принимать заявки с сайта и сохранять имя, номер телефона и электронную почту посетителей, уведомление следует направить до начала такого сбора.

После получения документа Роскомнадзор в течение 30 дней вносит сведения об операторе в реестр.

Форма уведомления содержит несколько крупных блоков. Их состав зависит от того, как именно компания работает с персональными данными.

• Данные об операторе

Сначала указывают сведения о самом операторе: наименование организации или Ф. И. О. физлица, адрес.

Также в уведомлении указывают лицо, ответственное за организацию обработки персональных данных. Для него приводят ФИО или наименование организации и контактные данные.

• Цели обработки

Это один из самых важных разделов. Нужно не просто написать «для работы компании», а описать конкретные задачи, для которых используются персональные данные.

Например:

• ведение кадрового учета;

• оформление трудовых отношений;

• исполнение договоров с клиентами;

• обработка обращений;

• продвижение товаров и услуг;

• работа интернет-магазина.

Для каждой цели указывают категории персональных данных, субъектов, правовое основание, действия с данными и способы обработки. Такое требование прямо установлено частью 3.1 статьи 22 152-ФЗ.

Например, если компания ведет кадровый учет, субъектами могут быть работники и бывшие работники, а среди данных — сведения, необходимые для оформления трудовых отношений, выплаты зарплаты и исполнения обязанностей работодателя.

При этом не стоит включать в уведомление все возможные виды данных «с запасом». Перечень должен соответствовать тому, что компания действительно собирает и использует.

• Какие меры защиты указать

В уведомлении нужно указать меры, которые оператор применяет для защиты персональных данных. Закон требует привести сведения о мерах, предусмотренных статьями 18.1 и 19 152-ФЗ, в том числе о наличии шифровальных средств и их наименованиях, если они используются.

На практике это может быть:

• утвержденная политика обработки персональных данных;

• локальные документы и регламенты;

• назначение ответственного за организацию обработки;

• разграничение доступа сотрудников;

• идентификация пользователей;

• антивирусная защита;

• защита помещений и носителей информации;

• другие организационные и технические меры.

Здесь важно не копировать универсальный перечень из чужого уведомления. Указывайте те меры, которые действительно применяются в вашей компании.

• Место нахождения базы с персональными данными

В уведомлении также указывают место нахождения базы данных, в которой хранятся персональные данные граждан России. Это связано с требованием о локализации: при сборе персональных данных граждан РФ запись, систематизация, накопление, хранение, уточнение и извлечение должны осуществляться с использованием баз данных, находящихся на территории России.

Поэтому перед заполнением формы стоит разобраться, где фактически хранятся данные: на собственных компьютерах, сервере компании или в используемой облачной системе.

Если обработку выполняет сторонний подрядчик, это также нужно учитывать при описании реальной схемы работы с данными.

• Что еще нужно указать

Помимо основных сведений, в уведомлении отражают:

• дату начала обработки персональных данных;

• срок или условие прекращения обработки;

• наличие или отсутствие трансграничной передачи;

• сведения об обеспечении безопасности персональных данных;

• другие сведения, предусмотренные статьей 22 закона № 152-ФЗ.

Дата начала обработки — это не обязательно дата регистрации компании. Ориентироваться нужно на момент, когда организация фактически начинает собирать или использовать персональные данные.

Условием прекращения обработки может быть прекращение деятельности компании либо достижение цели, ради которой данные собирались.

Уведомление можно представить в виде документа на бумаге или электронного документа, подписанного уполномоченным лицом. Перед отправкой внимательно проверьте форму. 

После получения документа Роскомнадзор в течение 30 дней вносит сведения в реестр операторов. При этом внесение в реестр не является отдельным разрешением на обработку персональных данных: обязанность оператора заключается в своевременной подаче уведомления и дальнейшем соблюдении требований законодательства.

Для оперативного взаимодействия с государственными органами используйте электронный документооборот.

После подачи уведомления работа не заканчивается. Если изменились сведения, которые были указаны в документе, оператор должен сообщить об этом Роскомнадзору.

Срок — не позднее 15-го числа месяца, следующего за месяцем, в котором произошли изменения. Например, если в июне изменилась информация об операторе или порядок обработки данных, обновить сведения нужно до 15 июля.

Если компания полностью прекратила обработку персональных данных, об этом нужно уведомить Роскомнадзор в течение 10 рабочих дней с даты прекращения обработки.

О том, как правильно подать такое уведомление, читайте в статье: «Уведомление о прекращении обработки персональных данных: когда подавать».

После подачи уведомления проверить информацию об операторе можно в реестре Роскомнадзора. Для поиска используются сведения об организации или ИП, в том числе название и ИНН.

В реестре можно посмотреть, когда оператор был включен в него, дату начала обработки персональных данных и другие сведения.

Такая проверка позволяет убедиться, что сведения отражены в реестре корректно.

За неподачу или несвоевременную подачу уведомления предусмотрена административная ответственность по части 10 статьи 13.11 КоАП РФ.

В 2026 году штраф составляет:

• для граждан — от 5 000 до 10 000 рублей;

• для должностных лиц — от 30 000 до 50 000 рублей;

• для юридических лиц — от 100 000 до 300 000 рублей.

Для целей этой нормы ИП несет административную ответственность как юридическое лицо.

Если не уведомить Роскомнадзор об утечке персональных данных, штраф будет выше:

• для физлиц, в том числе самозанятых — от 50 000 до 100 000 рублей;

• для должностных лиц — от 400 000 до 800 000 рублей;

• для юрлиц и ИП — от 1 до 3 млн рублей.

Чтобы не пришлось несколько раз исправлять форму, перед подачей пройдитесь по короткому чек-листу:

1. Определите, какие персональные данные фактически обрабатывает компания.

2. Разделите их по целям обработки.

3. Для каждой цели определите категории субъектов и правовое основание.

4. Проверьте, где хранятся базы данных.

5. Опишите реально используемые меры защиты.

6. Укажите ответственное лицо.

7. Проверьте наличие трансграничной передачи.

8. Убедитесь, что дата начала обработки соответствует фактической деятельности.

9. После отправки проверьте сведения в реестре операторов.

Такой подход позволяет не просто формально подать уведомление, а привести сведения в нем в соответствие с тем, как компания действительно работает с персональными данными.

Saby помогает организовать работу с документами, сотрудниками и клиентами в единой системе. Если нужно настроить процессы работы с персональными данными, электронным документооборотом и кадровыми документами, специалисты Saby помогут подобрать подходящие решения и подключить сервисы. Позвоните нам: +7 (909) 282-50-95 или заполните форму ниже.