Разбираем, кому необходимо уведомить Роскомнадзор об обработке персональных данных, какие сведения подготовить, как подать уведомление и что проверить после его направления.
В поиске обычно используют выражение «регистрация в Роскомнадзоре». Юридически процедура устроена иначе: лицо, которое определяет цели и способы обработки персональных данных, является оператором в силу фактической деятельности, а не после получения свидетельства. Оператор направляет уведомление, а Роскомнадзор включает сведения в реестр операторов.
Запись в реестре не является лицензией, разрешением или подтверждением полного соответствия Закону № 152-ФЗ. Она показывает, какие процессы оператор заявил надзорному органу. Сайт, документы, реестр и фактическая работа с данными должны описывать одну и ту же систему.
По общему правилу уведомление направляет каждый оператор до начала обработки персональных данных, если его ситуация не относится к прямо установленным законом исключениям. Организационно-правовая форма сама по себе не решает вопрос: важны данные, цели и фактические действия.
ООО и другие юридические лица обычно работают с данными сотрудников, кандидатов, клиентов, представителей контрагентов и посетителей сайта.
ИП становятся операторами, когда принимают заявки, заключают договоры с физлицами, ведут клиентскую базу, нанимают работников или используют CRM.
Статус плательщика НПД не создаёт автоматического освобождения. Оцениваются реальные цели, способы и объём обработки.
Формы, личные кабинеты, рассылки, аналитика, чаты и интеграции могут приводить к обработке персональных данных.
Даже если бизнес работает только с юридическими лицами, он часто получает ФИО, телефоны и адреса электронной почты их представителей. Такие сведения относятся к физическим лицам и требуют отдельной оценки.
Для предметной инструкции используйте отдельные материалы о регистрации ИП и регистрации ООО.
После изменений законодательства перечень исключений стал узким. В действующей статье 22 Закона № 152-ФЗ уведомление не требуется в трёх группах случаев:
Если сведения попадают в электронную почту, мессенджер, таблицу, бухгалтерскую программу, CRM, облако или кадровую систему, необходимо проверить, действительно ли обработка осуществляется исключительно без автоматизации.
Не следует использовать старые перечни исключений из статей и шаблонов, опубликованных до 1 сентября 2022 года: значительная часть прежних оснований была исключена из закона.
Общее правило сформулировано прямо: уведомление направляется до начала обработки персональных данных. Закон не устанавливает универсального «льготного срока» в 10 или 30 дней после запуска бизнеса, сайта или первой продажи.
Если обработка уже ведётся, а записи в реестре нет, откладывать оценку не стоит. Нужно установить состав процессов, проверить применимость исключений и, если обязанность есть, подготовить сведения, соответствующие текущей деятельности. Задним числом дату подачи изменить нельзя.
Качественное уведомление начинается не с выбора вариантов на сайте Роскомнадзора, а с инвентаризации обработки. Одинаковый шаблон нельзя безопасно переносить между компаниями: у интернет-магазина, клиники, агентства и работодателя различаются цели, данные, системы и получатели.
| Что определить | Практический вопрос | Где проверить |
|---|---|---|
| Цели обработки | Зачем бизнес получает и использует сведения? | Договоры, формы, кадровые и клиентские процессы |
| Категории субъектов | Чьи данные обрабатываются? | Сотрудники, кандидаты, клиенты, представители, посетители |
| Категории данных | Какие именно сведения нужны для каждой цели? | Анкеты, CRM, личный кабинет, бухгалтерия, документы |
| Правовые основания | На каком основании выполняется каждая операция? | Закон, договор, согласие и иные применимые основания |
| Действия и способы | Что происходит с данными и используется ли автоматизация? | Системы, регламенты и фактическая работа сотрудников |
| Системы и базы | Где выполняются запись, хранение и другие операции? | Хостинг, CRM, облака, серверы, резервные копии |
| Меры защиты | Какие правовые, организационные и технические меры применяются? | Локальные акты, доступы, безопасность, договоры |
| Трансграничная передача | Получает ли данные иностранное лицо или система? | Интеграции, поставщики, сетевые запросы и договоры |
Сначала описываем, как бизнес действительно получает и использует данные. Затем переносим эту модель в уведомление. В обратном порядке реестр почти неизбежно расходится с сайтом, документами и процессами.
Татьяна Цыхманова Генеральный директор ООО «Онлайн услуги 24»Форма утверждена приказом Роскомнадзора от 28.10.2022 № 180. В ней указывают сведения об операторе, ответственного за организацию обработки, дату начала, условия прекращения, меры защиты, местонахождение баз и информацию о трансграничной передаче. Содержательная часть раскрывается отдельно по каждой цели.
Например: подбор персонала, кадровый учёт, исполнение договоров, ответы на обращения, работа сайта и рассылки.
Не включайте в одну строку все возможные категории «на всякий случай» — описывайте только фактический и обоснованный состав.
Основание должно соответствовать цели, а перечень действий — реальной работе систем и сотрудников.
Сопоставьте базы, хостинг, CRM, облачные сервисы, резервные копии, подрядчиков и страны обработки.
Политика, согласия, локальные акты и договоры не должны описывать другую модель обработки.
Закон допускает направление уведомления на бумажном носителе или в электронной форме. Использовать нужно актуальную официальную форму и интерфейс Роскомнадзора, поскольку способы идентификации и технический порядок электронного направления могут обновляться.
При сопровождении «Роском 24» клиент заполняет анкету о фактических процессах. На её основе мы готовим сведения и вносим их в форму на сайте Роскомнадзора, после чего передаём документ для отправки почтой либо для подписания электронной подписью уполномоченного лица. Решение о подписании и подаче принимает оператор.
Проверьте, согласованы ли между собой сайт, реестр Роскомнадзора, документы и реальные процессы.
Роскомнадзор вносит сведения в реестр в течение 30 дней со дня получения уведомления. Если сведения неполные или недостоверные, ведомство вправе запросить уточнение до их внесения.
После подачи сохраните экземпляр уведомления и подтверждение направления. Затем найдите оператора в реестре по наименованию или ИНН и сравните опубликованные сведения с поданной формой. Срок внесения установлен законом, но представитель, который готовил документы, не управляет действиями и информационными системами Роскомнадзора.
Необходимо внедрить применимые документы и меры, контролировать доступы, подрядчиков, безопасность, сроки хранения и актуальность заявленных сведений.
Уведомление нельзя считать бессрочной фотографией бизнеса. Если меняются заявленные сведения, оператор сообщает об изменениях не позднее 15-го числа месяца, следующего за месяцем, в котором они произошли. При прекращении обработки уведомление направляют в течение 10 рабочих дней с даты прекращения.
Для трансграничной передачи действует самостоятельная процедура: обычное уведомление об обработке не заменяет уведомление о намерении осуществлять трансграничную передачу.
Часть 10 статьи 13.11 КоАП РФ предусматривает отдельную ответственность за невыполнение обязанности уведомить Роскомнадзор о намерении осуществлять обработку персональных данных. Для граждан установлен штраф от 5 до 10 тыс. рублей, для должностных лиц — от 30 до 50 тыс. рублей, для юридических лиц — от 100 до 300 тыс. рублей.
Для индивидуального предпринимателя размер и статус ответственности нельзя определять автоматически по строке для юридических лиц: квалификация зависит от общих правил КоАП РФ и обстоятельств дела. Кроме того, ошибки сайта, отсутствие оснований, нарушения безопасности или правил локализации могут образовывать самостоятельные составы.
В бытовом смысле — да: услугой регистрации называют подготовку и подачу уведомления, после которого сведения вносятся в реестр. Юридически оператор уведомляет Роскомнадзор, а ведомство вносит запись; разрешение на обработку не выдаётся.
Не само наличие ООО создаёт обязанность. Нужно оценить фактическую обработку и узкие исключения статьи 22. На практике большинство действующих компаний обрабатывают данные сотрудников, клиентов, кандидатов или представителей контрагентов с использованием электронных систем.
Если ИП определяет цели и способы обработки персональных данных и не подпадает под исключение, действует общее правило об уведомлении. Например, это актуально при заявках с сайта, клиентской базе, найме работников, CRM или рассылках.
Да, сайт — только один из возможных источников. Данные могут поступать из договоров, переписки, анкет, звонков, кадровых документов, бухгалтерии и CRM.
По закону уведомление направляется до начала обработки. Если обработка уже идёт, нужно без промедления проверить обязанность и подготовить достоверные сведения о действующих процессах; универсального разрешённого срока после старта нет.
Первичное уведомление подают один раз, но запись необходимо актуализировать. При изменении заявленных сведений направляют уведомление об изменении, а при полном прекращении обработки — уведомление о прекращении.
Статья 22 предусматривает внесение сведений в течение 30 дней со дня получения уведомления. Если информация неполная или недостоверная, Роскомнадзор может запросить уточнения до внесения.
Нет. Отдельно нужны применимые правовые основания, документы, меры защиты, управление доступами, правила хранения и уничтожения, корректная работа сайта и контроль подрядчиков.
Представитель может помочь описать процессы, подготовить сведения и заполнить форму. Достоверность исходных данных подтверждает оператор, а документ подписывает уполномоченное лицо с соблюдением выбранного порядка подачи.
Да, если оператор намерен осуществлять трансграничную передачу и нет применимого исключения, действует отдельная процедура по статье 12 Закона № 152-ФЗ. Обычная запись в реестре её не заменяет.
Нормативная информация проверена 5 сентября 2026 года. Перед подачей используйте действующую форму и актуальные реквизиты официального сервиса Роскомнадзора.
Проанализируем процессы, используемые системы и категории субъектов, заполним форму и передадим документ для выбранного способа подписания и подачи.
