Как подать уведомление в Роскомнадзор об обработке персональных данных

Если компания принимает заявки через форму на сайте или ведет базу покупателей, то она взаимодействует с персональной информацией. Закон требует заранее оповещать об этом государственное ведомство. Направить уведомление в Роскомнадзор обязан практически любой бизнес — исключений законодатель оставил крайне мало. Отправка уведомления подтверждает легальность процессов, хотя само по себе не заменяет организационно-техническую защиту сведений и порядок в локальной документации.

Основные тезисы статьи

• Статус оператора возникает из-за фактического взаимодействия с данными, а не в момент попадания компании в реестр.

• Своевременная подача уведомления в Роскомнадзор выполняется до старта сбора сведений.

• Поправки 2022 года отменили прежние массовые исключения.

• Только бумажный документооборот без применения ПК освобождает от обращения в ведомство.

• Для каждого процесса отдельно указываются цели, основания и категории сведений.

• Направить форму можно через Госуслуги, ЭЦП или на бумажном носителе.

• Изменение рабочих процессов или ликвидация требуют подачи отдельных форм.

• Трансграничная передача оформляется отдельным уведомлением.

Что такое уведомление об обработке персональных данных

Это любые фрагменты информации, которые прямо или косвенно указывают на конкретного человека.

Оператор — организация, индивидуальный предприниматель, госорган или гражданин, определяющие цель, состав сведений и совершаемые с ними действия. Обработка включает сбор, хранение, использование, передачу и уничтожение данных.

Официальное Роскомнадзор уведомление об обработке персональных данных — это форма, информирующая надзорный орган о работе со сведениями граждан. Это не лицензия, и госпошлины за нее платить не нужно. Ведомство вносит сведение в публичный реестр в течение тридцати дней после получения документа.

Третья статья Федерального закона №152 определяет статус оператора, а статья 22 фиксирует порядок подачи сведений в реестр.

Кто должен подать уведомление в Роскомнадзор

Направлять форму обязан любой бизнес, который касается личных данных граждан. Понять, как передавать сведения в Роскомнадзор по обработке персональных данных, кто подает их, и попадает ли ваша фирма под эти требования, можно через анализ обычных рабочих процессов. Обычно уведомление требуется организациям, ИП, госорганам, НКО, физлицам и плательщикам НПД.

Исключения для трудовых договоров и разовых сделок отменены 1 сентября 2022 года.

Когда уведомление в Роскомнадзор подавать не нужно

Вторая часть статьи 22 ФЗ №152 содержит всего три конкретных исключения:

Если в вашей работе задействован хотя бы один ноутбук, смартфон, рабочий e-mail, таблица Excel, CRM или корпоративный сайт, обработку закон трактует как автоматизированную. Поэтому требование 152 ФЗ уведомление в Роскомнадзор распространяется практически на весь бизнес.

В какой срок нужно уведомить Роскомнадзор

Закон предписывает подать документ строго до фактического начала работы с информацией. Понимание, когда подается уведомление об обработке персональных данных, снижает риск штрафов. То есть, единых квартальных дат нет.

30 мая 2025 года были введены изменения в административный кодекс об увеличении санкций, но эта дата — не дедлайн подачи. Если организация работает давно, но форму не подавала, направить её можно и сейчас — с реальной датой начала деятельности.

Что подготовить перед заполнением уведомления

Перед заполнением бланка проведите аудит информационных потоков. Изучите, как проходит аудит информационной безопасности, чтобы зафиксировать инфраструктуру.

Для сайтов с метриками проверьте, что такое cookie-файлы — если они идентифицируют пользователя, их тоже вносят в состав данных. Подготовка помогает корректно уведомить Роскомнадзор об обработке персональных данных без возвратов.

Какие сведения указываются в уведомлении

Форма регламентирована Приказом РКН № 180:

Электронный шаблон доступен на ресурсе: сайт Роскомнадзора уведомление об обработке персональных данных. Каждую цель заполняют строго отдельным блоком.

Как заполнить уведомление в Роскомнадзор

Оформление заявления требует скрупулезной детализации каждого отдельного процесса в компании. Чтобы корректно подать данные в Роскомнадзор об обработке персональных данных, откажитесь от пространных и обобщенных описаний.

Сведения об операторе

В первом блоке фиксируют точное наименование юрлица по ЕГРЮЛ или ФИО предпринимателя по ЕГРИП. Коды ИНН и ОГРН (ОГРНИП) должны полностью совпадать с выпиской из ФНС. Недопустимо вписывать вместо фирменного названия бренд или адрес сайта. Здесь же указывают официальные контакты: телефон, e-mail и юридический адрес.

Цели, данные, субъекты и правовые основания

Для каждой бизнес-задачи формируется отдельный смысловой блок. Запрещено использовать абстрактную формулировку — осуществление уставной деятельности.

• Пример 1 (кадровый учет): Цель: обеспечение соблюдения трудового и налогового законодательства. Категория субъектов: штатные сотрудники и соискатели. Состав данных: ФИО, паспортные данные, стаж, ИНН, СНИЛС. Основания: Трудовой кодекс РФ, Налоговый кодекс РФ.

• Пример 2 (заявки с сайта): Цель: обработка входящих запросов и составление коммерческих предложений. Субъекты: пользователи сайта. Состав полей: имя, номер телефона, e-mail. Основание: письменное согласие или заключение договора по инициативе клиента.

Грамотно оформленное РКН уведомление об обработке персональных данных должно отражать только фактически собираемые категории сведений.

Способ обработки и передача данных

Необходимо выбрать один из вариантов:

1. Автоматизированная — операции выполняются с помощью вычислительной техники.

2. Неавтоматизированная — работу проводят исключительно на бумаге без применения ПК.

3. Смешанная — сочетает ведение бумажных карточек и занесение записей в цифровые базы.

Способ определяется отдельно для каждой цели. Если компания использует бумажные оригиналы согласий вместе с 1С или CRM, выбирается смешанный способ.

Меры защиты и ответственное лицо

Ниже — реально применяемые организациями мероприятия: разграничение прав доступа, применение паролей, антивирусы, назначение ответственного за безопасность.

При передаче информации через формы обратной связи рекомендуем разобраться, как HTTPS защищает передаваемые данные. Наличие защищенного протокола — базовая техническая мера защиты канала связи, но она не закрывает все требования регулятора. Дополнительно нужно указать ФИО, должность и контакты ответственного сотрудника.

Дата начала и условие прекращения обработки

В строке старта пишут фактический или планируемый день начала работы со сведениями. Не следует ставить дату образования компании из ЕГРЮЛ, если к сбору данных приступили позже. Завершением обработки чаще всего становятся закрытие фирмы или полное достижение поставленных целей.

Местонахождение баз данных

Закон №152 требует обеспечивать первоначальную запись и хранение сведений граждан РФ на серверах, физически расположенных в России. В форме указываются страна, адрес дата-центра и наименование компании-провайдера. Чтобы разобраться, что такое центр обработки данных, запросите точные юридические и физические реквизиты у вашего хостинг-провайдера.

Наличие трансграничной передачи

Если компания использует иностранные сервисы почтовых рассылок, зарубежные CRM или облака, факт передачи сведений за пределы страны обязательно фиксируют в форме.

Как подать уведомление в Роскомнадзор

Законодательно закреплены три официальных способа передачи формы ведомству:

Последовательность действий для отправки через интернет:

1. Перейти на портал персональных данных Роскомнадзора.
   

2. Открыть бланк первичного уведомления.
   

3. Зайти через Госуслуги или подготовить УКЭП.

4. Последовательно заполнить данные об операторе, целях, базах и мерах защиты.

5. Проверить бланк на ошибки, подписать и выгрузить подтверждение отправки.

Выбранный способ передачи информации не влияет на юридическую силу документа: Роскомнадзор подать уведомление разрешает любым из трех вариантов.

Что происходит после подачи уведомления

После отправки формы надзорное ведомство проводит проверку указанных сведений. По закону регистрация и внесение данных в публичную базу занимают до 30 дней. Кстати, процедура абсолютно бесплатна.

Проверить регистрацию можно через официальный реестр операторов по ИНН или наименованию. Контролировать ход рассмотрения бланка позволяет сервис проверки состояния уведомления. Правильно выполненная подача уведомления в РКН завершается присвоением уникального реестрового номера.

Когда нужно повторно уведомить Роскомнадзор

Первоначальное обращение не является разовым действием на весь период работы бизнеса. Изменение параметров обработки требует своевременного информирования ведомства.

Поводом для подачи информационного письма выступают смена юрадреса, расширение целей, внедрение нового софта или замена серверов. Направлять повторное уведомление в РКН необходимо при любых трансформациях инфраструктуры.

Частые ошибки при заполнении уведомления

Заполнить форму с первого раза получается не всегда: иногда надзорный орган отклоняет бланки из-за типичных промахов:

• Объединение разных целей. Замена конкретных бизнес-задач обобщенной формулировкой «для ведения уставной деятельности». Кадровый учет, маркетинг и обслуживание клиентов являются разными процессами, и они требуют отдельного описания.

• Неопределенный состав данных. Использование размытых фраз вместо исчерпывающего перечня собираемых полей.

• Неполные данные о серверах. Отсутствие точного физического адреса дата-центра на территории РФ, где фактически расположены базы данных.

• Утаивание работы с подрядчиками. Игнорирование факта передачи информации сторонним сервисам — хостинг-провайдерам, облачным АТС или платформам рассылок.

Чтобы без задержек и отказов уведомить Роскомнадзор, сопоставляйте каждый пункт бланка с реальными регламентами компании.

Штраф за неподачу уведомления

За непредоставление или задержку первоначального уведомления статья 13.11 КоАП РФ предусматривает штрафы — и тут важно, что ИП несут ответственность как юридические лица.

Такие штрафы начисляют, если предприниматель нарушает требование о первичном уведомлении. Утечки данных, незаконная обработка, нарушение локализации баз в РФ и неуведомление об инцидентах — это уже другие составы КоАП РФ.

Но сдавать регулярный отчет в Роскомнадзор не требуется: бланк оформляют единоразово до старта сбора информации.

Частые вопросы

Нужно ли подавать уведомление ИП без сотрудников и самозанятым?

Да. Если вы принимаете заказы на сайте, ведетe базу клиентов в CRM или Excel, собираете контакты для рассылок, вы являетесь оператором и обязаны уведомить ведомство.

Что делать, если организация работает давно, но форму никогда не подавала?

Не искажайте даты. Отправляйте форму сейчас с фактическими параметрами процессов. Риск получить штраф за просроченную подачу ниже, чем последствия при проверке незарегистрированной компании.

Различается ли процедура для филиалов и головного офиса?

Нет. Уведомление направляет строго юридическое лицо (головной офис). Филиалы и представительства отдельно форму не подают — их процессы и серверы включаются в общее заявление компании.

Нужно ли платить госпошлину за внесение в реестр?

Нет. Процедура абсолютно бесплатна — Роскомнадзор регистрирует сведения без каких-либо сборов.

Нужно ли подавать отчет в Роскомнадзор каждый год?

Нет, регулярных отчетов нет. Документ оформляется один раз перед стартом работ. Повторные обращения нужны лишь при изменении сведений, начале передач за рубеж или закрытии бизнеса.

Как узнать, занесена ли фирма в реестр операторов?

Откройте общедоступный реестр на официальном портале Роскомнадзора и найдите организацию по ИНН либо ОГРН/ОГРНИП. При успешной обработке документов карточка с уникальным реестровым номером появится в системе в течение 30 дней с даты отправки бланка.

Как обновить данные, если поменялся адрес, сайт или перечень собираемых сведений?

Сформируйте и отправьте уведомление об изменении сведений (электронная форма доступна на том же ресурсе РКН). Направить его нужно не позднее 15-го числа месяца, следующего за месяцем, в котором вступили в силу эти корректировки.

Как аннулировать запись при закрытии ИП или ликвидации ООО?

Подайте в ведомство заявление об исключении организации из реестра операторов. Закон отводит на это ровно 10 рабочих дней с момента, когда ФНС внесет запись о прекращении деятельности в ЕГРЮЛ или ЕГРИП.

Подача формы — это обязательный этап при ведении легального бизнеса в сети. Проведите быстрый учет данных, разделите процессы по целям, уточните адреса серверов у провайдера и отправьте форму через Госуслуги или с ЭЦП. Это займет полчаса, но полностью закроет риски претензий со стороны регулятора.