Уведомление в Роскомнадзор для ООО: когда обязательно
ООО обязано уведомить Роскомнадзор до начала обработки персональных данных, даже если в штате одни сотрудники. Что ещё нужно организации, кто становится ответственным и какой штраф предусмотрен частью 10 статьи 13.11 КоАП.
Коротко: ООО является оператором персональных данных и обязано уведомить Роскомнадзор до начала обработки, даже если в нём работают только сотрудники. Исключения для сотрудников и договоров отменены с 1 сентября 2022 года. Уведомлять не нужно только тем, кто обрабатывает данные исключительно без средств автоматизации. Кроме уведомления ООО обязано назначить ответственного и опубликовать политику обработки данных.
Главное для ООО
- Уведомление обязательно до начала обработки (ч. 1 ст. 22 закона № 152-ФЗ). Размер компании не важен.
- Сотрудники не освобождают. Прежние исключения для работников утратили силу с 1 сентября 2022 года.
- Ответственный обязателен для юридического лица (ст. 22.1). Его контакты попадают в открытый реестр.
- Политика должна быть опубликована на сайте, если данные собираются через него (ч. 2 ст. 18.1).
- Штраф за неуведомление для организации: от 100 до 300 тысяч рублей (ч. 10 ст. 13.11 КоАП).
Почему ООО должно уведомлять Роскомнадзор
Оператор по закону это юридическое или физическое лицо, которое организует или осуществляет обработку персональных данных и определяет её цели (п. 2 ст. 3). ООО, которое ведёт кадры, выставляет счета физическим лицам или принимает заявки с сайта, подходит под это определение. Статья 22 требует от оператора уведомить Роскомнадзор до начала обработки, за исключением трёх случаев из части 2.
| Ситуация в ООО | Нужно ли уведомление | Основание |
|---|---|---|
| Есть сайт с формой заявки или онлайн-записью | Да | ч. 1 ст. 22 |
| Данные клиентов в CRM, 1С или Excel | Да, это автоматизация | ч. 1 ст. 22 |
| Только сотрудники, кадры и зарплата в 1С | Да | ч. 1 ст. 22; исключения для работников отменены с 01.09.2022 |
| Только бумажные журналы и карточки, без компьютера | Нет | п. 8 ч. 2 ст. 22 |
Граница в последней строке узкая. Если хотя бы часть данных попадает в компьютер, телефон или онлайн-сервис, это уже использование средств автоматизации.
Если в ООО только сотрудники
Это самый частый вопрос. Раньше работодатели, которые обрабатывали данные только своих работников, могли не уведомлять. Пункты 1–6 части 2 статьи 22 утратили силу с 1 сентября 2022 года (закон № 266-ФЗ). Сейчас остались три исключения: государственные системы безопасности, обработка без автоматизации и транспортная безопасность.
Значит, ООО из трёх человек, где директор ведёт кадровый учёт в 1С или таблице, обязано уведомить Роскомнадзор. Цель в таком уведомлении будет кадровой: трудовые отношения, расчёт зарплаты, отчётность. По каждой цели нужно указать категории данных, категории субъектов, правовое основание, действия и способы обработки (ч. 3.1 ст. 22). Правила обработки данных работников в Трудовом кодексе собраны в статьях 86–90, об ответственности работника написано в статье про ответственность работника за разглашение персональных данных.
Что нужно ООО кроме уведомления
Закон не содержит списка из 60 документов. Состав и перечень мер оператор определяет сам (ч. 1 ст. 18.1). Но несколько обязанностей названы прямо.
| Что нужно | Основание | Последствие или связь |
|---|---|---|
| Лицо, ответственное за организацию обработки | ст. 22.1 и п. 1 ч. 1 ст. 18.1 | Входит в состав уведомления (п. 7.1 ч. 3 ст. 22) |
| Политика обработки данных и её публикация | ч. 2 ст. 18.1 | Ч. 3 ст. 13.11: для организаций от 30 до 60 тысяч рублей |
| Локальные акты по обработке данных | п. 2 ч. 1 ст. 18.1 | Оператор обязан представить их по запросу Роскомнадзора (ч. 4 ст. 18.1) |
| Согласия там, где без них нельзя | ч. 1 ст. 9: с 01.09.2025 отдельно от иных документов | Ч. 2 ст. 13.11 (нет письменного согласия там, где закон требует письменную форму): для организаций от 300 до 700 тысяч рублей. Прочая обработка без основания — ч. 1, от 150 до 300 тысяч рублей |
| Ознакомление работников с политикой и актами | п. 6 ч. 1 ст. 18.1 | Входит в перечень мер оператора |
Опубликованная политика важна ещё и потому, что с ней сверяют сайт. О форме согласия и политике на сайте подробнее в статье о персональных данных на сайте.
Кто в ООО будет ответственным
Статья 22.1 требует, чтобы оператор-юрлицо назначил ответственного за организацию обработки. Он получает указания непосредственно от исполнительного органа ООО, то есть директора, и подотчётен ему (ч. 2). В его обязанности входят внутренний контроль, доведение до работников правил обработки и приём обращений субъектов данных (ч. 4).
Что нужно знать про уведомление. В нём указываются ФИО физического лица или наименование юридического лица, ответственных за организацию обработки, и их контакты (п. 7.1 ч. 3 ст. 22). В форме на портале для этого есть выбор: «Физическое лицо» или «Сторонняя организация», которой оператор поручил обработку по договору. Сведения об ответственном общедоступны в реестре, поэтому лучше указывать рабочие телефон и почту.
Если директор и единственный участник это один человек, статья 22.1 такой случай отдельно не разбирает. Кого назначить, решает само ООО, решение оформляется приказом. В проверенных источниках прямого разъяснения Роскомнадзора по этому случаю нет.
Штраф за неуведомление для ООО
С 30 мая 2025 года за неуведомление действует часть 10 статьи 13.11 КоАП. Суммы такие.
| Кто | Штраф по части 10 |
|---|---|
| Организация, не являющаяся госорганом или НКО (например, ООО) | от 100 до 300 тысяч рублей |
| Гражданин | от 5 до 10 тысяч рублей |
| Должностное лицо госоргана, муниципального органа или НКО | от 30 до 50 тысяч рублей |
Тут два уточнения. Первое: «300 тысяч» это верхняя граница, а не фиксированная сумма. Второе: примечания 2 и 3 к статье 13.11 определяют для частей 10–18 понятия «должностное лицо» и «юридическое лицо». Должностное лицо там это лицо госоргана, муниципального органа или НКО, а «юридическое лицо» это оператор, не являющийся госорганом или НКО. По буквальному тексту для ООО в части 10 названа организация. Руководитель коммерческой организации в этой части отдельной строкой не указан. Практики и разъяснений Роскомнадзора по этому вопросу мы не нашли.
Срок давности по делам в области персональных данных один год (ч. 1 ст. 4.5 КоАП). Все суммы по статье собраны в материале о штрафах за персональные данные. Суммы «до 18 млн» относятся к другим нарушениям, не к неуведомлению. Как проходят проверки, описано в статье о проверке Роскомнадзора.
Как ООО подать уведомление
Подача идёт на портале pd.rkn.gov.ru тремя способами: на бумаге, электронно с усиленной квалифицированной подписью или электронно через вход с Госуслугами (ЕСИА). Для ЕСИА нужна подтверждённая учётная запись, привязанная к организации. Если электронное уведомление подписывает не директор, к нему прикладывают машиночитаемую доверенность. Пошагово весь путь разобран в статье как подать уведомление в Роскомнадзор, а про вход через Госуслуги написано в материале об уведомлении через Госуслуги.
Подача бесплатна: расходов на оператора закон не возлагает (ч. 5 ст. 22). Роскомнадзор вносит сведения в реестр в течение 30 дней с даты поступления. Когда запись появится, найти её можно по ИНН. Как это сделать, описано в статье про реестр операторов.
Если в ООО что-то изменилось, срок на изменения установлен до 15-го числа следующего месяца. Подробности в статье об изменении уведомления. Общий порядок для любого оператора описан в основной статье об уведомлении. Если вы ИП, смотрите статью об уведомлении для ИП. Акционерным обществам и НКО посвящена статья об уведомлении для АО и НКО.
Как мы помогаем
Для ООО у нас три услуги, их можно брать отдельно или вместе.
| Услуга | Что входит | Цена |
|---|---|---|
| Уведомление в Роскомнадзор под ключ | Заполнение по каждой цели, проверка мер защиты, подача, ответ на запрос уточнений без доплаты | 4 900 ₽ |
| Документы по 152-ФЗ | Политика, согласия, приказ об ответственном, локальные акты под ваш бизнес, правки до вашего «принимаю» | 9 900 ₽ |
| Аудит сайта на 152-ФЗ | Проверка форм, политики, сервисов и сверка с уведомлением, отчёт за 3 рабочих дня | 4 900 ₽ |
Уведомление, документы и документы для сайта вместе дают пакет «Старт»: 14 900 ₽ вместо 18 700 ₽. Вход на портал делает ваш руководитель, пароли и ключи электронной подписи нам не передаются. Подготовка и подача занимают 1–2 дня после получения ваших данных. Внесение в реестр срок Роскомнадзора, по закону до 30 дней. Что потом держать в порядке, описано на странице сопровождения по персональным данным.
Если ответственным в ООО становится сотрудник, подготовиться к роли можно на курсе повышения квалификации ФТИ «Защита персональных данных» (72 часа дистанционно, удостоверение с записью в ФИС ФРДО). Закон такого обучения именно по этому курсу не требует: пункт 6 части 1 статьи 18.1 говорит об ознакомлении и (или) обучении работников как о мере оператора. Сами документы и подачу уведомления курс не заменяет.
Нормативные документы
На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.
- Федеральный закон № 152-ФЗ, статья 22 — уведомление об обработке персональных данных, части 1, 2, 3.1, 4, 5
- Федеральный закон № 152-ФЗ, статья 22.1 — лица, ответственные за организацию обработки персональных данных в организациях
- Федеральный закон № 152-ФЗ, статья 18.1 — меры оператора, политика, её публикация
- Федеральный закон № 152-ФЗ, статья 3 — основные понятия, определение оператора
- Федеральный закон № 152-ФЗ, статья 9 — согласие субъекта персональных данных
- КоАП РФ, статья 13.11 — нарушение законодательства в области персональных данных, части 2, 3, 10 и примечания
- КоАП РФ, статья 4.5 — давность привлечения к административной ответственности
- Трудовой кодекс РФ, статья 86 — общие требования при обработке персональных данных работника
Частые вопросы
Обязано ли ООО уведомлять Роскомнадзор об обработке персональных данных?
Да, если обработка идёт с использованием средств автоматизации: сайт, CRM, 1С, Excel. Оператор обязан уведомить Роскомнадзор до начала обработки (ч. 1 ст. 22 закона № 152-ФЗ). Размер ООО и число сотрудников значения не имеют.
Нужно ли ООО уведомление, если есть только сотрудники и нет клиентов?
Нужно. Исключения для работников и для данных по договору утратили силу с 1 сентября 2022 года (закон № 266-ФЗ). Если кадровый учёт ведётся в 1С или таблице, это автоматизированная обработка.
Когда ООО можно не уведомлять Роскомнадзор?
В трёх случаях из части 2 статьи 22: государственные системы для защиты безопасности государства и общественного порядка, обработка исключительно без средств автоматизации и обработка по законодательству о транспортной безопасности. Для обычного ООО практически значим только второй случай, бумажный учёт без компьютера.
Нужен ли ООО ответственный за обработку персональных данных?
Да. Оператор, являющийся юридическим лицом, назначает ответственного (ч. 1 ст. 22.1). Он получает указания от исполнительного органа и подотчётен ему. Сведения о нём указываются в уведомлении и видны в реестре.
Какой штраф грозит ООО за неуведомление?
По части 10 статьи 13.11 КоАП организации, не являющейся госорганом или НКО, от 100 до 300 тысяч рублей. Это верхняя граница, а не фиксированная сумма. Норма действует с 30 мая 2025 года. Срок давности один год.
Нужна ли ООО политика обработки персональных данных на сайте?
Да. Оператор обязан опубликовать политику или иным образом обеспечить неограниченный доступ к ней, а при сборе данных через сайт разместить её на страницах, с которых идёт сбор (ч. 2 ст. 18.1). За её отсутствие часть 3 статьи 13.11 предусматривает для организаций от 30 до 60 тысяч рублей.
Сколько стоит подача уведомления для ООО?
Государству ничего: закон не возлагает на оператора расходов по рассмотрению уведомления (ч. 5 ст. 22). Платить можно только за подготовку и подачу. Роскомнадзор вносит запись в реестр в течение 30 дней.
Кто от имени ООО подаёт уведомление на портале?
Директор или уполномоченное лицо. Через Госуслуги нужна подтверждённая учётная запись, привязанная к организации. С электронной подписью подписывает лицо, указанное в сертификате, а если это не директор, прикладывается машиночитаемая доверенность.
Нужно ли ООО 60 документов по персональным данным?
Такой нормы в законе нет. Состав и перечень мер оператор определяет сам (ч. 1 ст. 18.1). Но политика, назначение ответственного, локальные акты и публикация политики названы в статье 18.1 и 22.1 прямо.
Где подготовить уведомление и документы для ООО и сколько это стоит у ФТИ?
Уведомление в Роскомнадзор под ключ стоит 4 900 ₽, документы по 152-ФЗ 9 900 ₽, аудит сайта 4 900 ₽. Пакет «Старт» (уведомление, документы и документы для сайта) 14 900 ₽ вместо 18 700 ₽. Вход на портал делает ваш руководитель, пароли и ключи нам не передаются.