Уведомление в Роскомнадзор: кому и как сообщать об обработке

На начало 2025 года в России было зарегистрировано 7,78 млн ИП и компаний. По данным Роскомнадзора на конец июля, более 2,38 млн бизнесов подали уведомление и официально работают с персональными данными (ПДн). Но большинству новых и действующих бизнесов тоже нужно подать уведомление, чтобы избежать неприятных последствий, например, штрафов. В статье разберёмся, кто, когда и как должен это сделать.

Кто должен подать уведомление

Подавать уведомление должны операторы персональных данных — самозанятые, субъекты МСП и корпорации, которые организуют обработку ПДн.

Например:



• Собирают данные клиентов через формы обратной связи.
• Изучают аналитику посещений сайта с помощью разных сервисов — Яндекс Метрики и других.
• Нанимают работников.
• Обрабатывают заказы.
• Заключают договоры с контрагентами и так далее.

ФЗ-152, который регулирует обработку ПДн, делает исключение только в трёх случаях.

Данные уже есть в государственных системах, созданных для защиты безопасности государства и общества. Система Федеральной миграционной службы ведёт базы данных о гражданах РФ и иностранцах, включая паспортные данные, регистрацию по месту жительства, миграционный учёт.

Данные обрабатываются для безопасной и стабильной работы транспорта, мониторинга и предотвращения опасных ситуаций. Система «Безопасный город» в Москве и других городах состоит из камер и специальных программ, которые хранят изображения, видео и данные о перемещениях людей. Это помогает правоохранительным службам выявлять подозрительные ситуации и находить нарушителей.

Данные обрабатываются вручную, без использования компьютеров и специальных программ. Такой способ подходит для обработки небольшого количества данных, поэтому используется в микробизнесе, например, среди самозанятых, которые не нанимают работников.

Если вы не попадаете под эти исключения, необходимо подать уведомление в Роскомнадзор.

Зачем уведомлять Роскомнадзор о работе с персональными данными

Это требование закона. Если ваш бизнес есть в реестре как оператор ПДн, ниже вероятность претензий от контролирующих органов. Вы показываете обществу, партнёрам, клиентам и сотрудникам ответственный подход к обработке персональных данных.

Если не отправить уведомление или опоздать, возможен штраф.

Штрафы за неподачу уведомления в 2025 году выросли в несколько раз:



• Для самозанятых — от 5000 до 10 000 рублей.
• Для должностных лиц, если у вас НКО — от 30 000 до 50 000 рублей.
• Для юридических лиц и ИП — от 100 000 до 300 000 рублей.

Когда нужно подать уведомление

Подавать уведомление в РКН нужно заранее, до начала реальной обработки ПДн. Лучше заняться этим сразу после регистрации бизнеса, чтобы не рисковать и не тратить время позже.

Если вы работаете давно и не подавали уведомление или отправляли его по старой форме, сформируйте новое в ближайшее время.

Как подать уведомление

Уведомление заполняют по установленной форме. Этот документ включает много информации, в частности.

Цель обработки персональных данных, например, ведение кадрового и бухгалтерского учёта; продвижение товаров, работ и услуг на рынке; обеспечение соблюдения законодательства — налогового, пенсионного, жилищного и так далее.

Для каждой цели нужно указать:

• Перечень данных, например, ФИО, номер телефона, дату рождения, гражданство и другие.
• Категории субъектов — работники, соискатели, контрагенты и так далее.
• Основание обработки данных. Чаще всего это согласие на обработку данных, требование закона или положения договора.
• Действия с данными. Что конкретно оператор будет с ними делать, например, собирать, удалять, уничтожать, систематизировать.
• Способы обработки данных. Каким образом оператор будет с ними работать (например, автоматизированным способом), будет ли передавать по внутренней сети и через интернет.

Дату начала обработки. Часто она совпадает с датой присвоения ОГРН.

Способы защиты и локализацию персональных данных. Где будет храниться информация, как оператор будет её защищать. Нужно указать организационные и технические меры, например, ответственного за безопасность ПДн, способы защиты от утечки данных, обучение сотрудников и так далее.

Срок или условие прекращения обработки ПДн. Например, если достигнута цель обработки, отозвано согласие на обработку, истёк срок хранения данных, бизнес ликвидируется.

Подать уведомление в Роскомнадзор можно тремя способами:



• На сайте Роскомнадзора через Госуслуги. Понадобится подтверждённый аккаунт и его привязка к организации, если уведомление подаётся от её имени. Для входа используется авторизация через ЕСИА.  
• На сайте Роскомнадзора с использованием усиленной квалифицированной электронной подписи — УКЭП. Подпись также пригодится, чтобы сдавать отчётность, участвовать в тендерах и для других задач. Об оформлении УКЭП мы написали статью.
• В бумажном виде через территориальный орган РКН. Форму для отправки можно сначала заполнить на сайте ведомства, а потом распечатать и подать уведомление лично, курьером или отправить по почте. Для курьера не забудьте оформить доверенность.

Когда уведомление будет сформировано, на последней странице вы увидите его номер и ключ. Их можно использовать, чтобы проверить статус документа на сайте РКН. У ведомства есть 30 календарных дней, чтобы рассмотреть уведомление и внести его в реестр.

О чём ещё нужно уведомить Роскомнадзор

Документ также понадобится, если:



• Изменилась любая информация, указанная в ранее. Изменить данные предыдущего уведомления нужно не позднее 15-го числа следующего месяца.
• Компания больше не работает с ПДн. Документ отправляют не позднее 10 рабочих дней с даты прекращения обработки.
• Оператор передаёт персональные данные за рубеж иностранному лицу. Дополнительно следует подать уведомление о трансграничной передаче ПДн.

В первых двух случаях документы тоже рассматриваются Роскомнадзором в течение 30 календарных дней. В ситуации с трансграничной передачей порядок сложнее и зависит от того, в какую страну отправляют ПДн.

Какие документы регулируют подачу уведомления

ФЗ-152 «О персональных данных» — в части обязанностей оператора, в том числе ст. 22 о подаче уведомления об обработке ПДн.

Приказ Роскомнадзора от 28.10.2022 №180 — в части формы уведомления. Более подробно она представлена на сайте ведомства: например, там можно увидеть, какие бывают цели обработки и виды персональных данных.

КоАП РФ — в части ответственности за нарушения, например, ст. 13.11 «О нарушении законодательства РФ в области персональных данных».

Кроме обязательства уведомить РКН об обработке персональных данных, помните и о других обязанностях оператора.

Например:

• Обеспечить защиту электронных и печатных персональных данных. Меры могут быть организационными, техническими и юридическими. Например, к организационным относится назначение ответственного за обработку ПДн, к техническим — резервное копирование и шифрование данных, а к юридическим — получение согласия на обработку ПДн.
• Разработать пакет документов под ваши процессы. К основным документам относятся политика обработки персональных данных; согласие на обработку; приказы и положения по персональным данным.
• Разместить политику обработки ПДн на сайте.