Уведомление об обработке персональных данных: кто обязан и какой штраф

Коротко: уведомление в Роскомнадзор обязан подать любой оператор персональных данных до начала обработки, если работает хотя бы с одной компьютерной системой: сайт с формой, CRM, 1С, Excel. Подача бесплатна. Роскомнадзор вносит запись в реестр в течение 30 дней, за один день можно только подать. За неуведомление по части 10 статьи 13.11 КоАП для организации и ИП предусмотрен штраф от 100 до 300 тысяч рублей.

Кто обязан подать уведомление

Часть 1 статьи 22 закона «О персональных данных» не оставляет вариантов: оператор до начала обработки обязан уведомить Роскомнадзор о своём намерении обрабатывать данные. Оператор по закону это не только крупная компания. Это любое лицо, которое организует обработку и определяет, какие данные и зачем собираются: организация, ИП, физическое лицо.

Обработкой считается почти любое действие: сбор, запись, хранение, уточнение, использование, передача, удаление. Заявка с сайта, список клиентов в таблице, личные дела сотрудников в программе — всё это обработка.

Какие исключения остались и какие отменены

До 1 сентября 2022 года из обязанности были исключены шесть групп операторов. Федеральный закон от 14.07.2022 № 266-ФЗ признал пункты 1–6 части 2 статьи 22 утратившими силу. Вместе с ними ушли привычные отговорки: «у меня только сотрудники», «данные нужны для договора», «я никому их не передаю».

Сегодня исключений три: пункты 7, 8 и 9 части 2. Для малого бизнеса реален только один, пункт 8 — оператор работает исключительно без использования средств автоматизации. Если хоть часть данных попадает в компьютер, исключение не действует. Сам Роскомнадзор в подсказках к форме называет автоматизированной обработку с помощью средств вычислительной техники.

Если вы подпадаете под пункт 8 и сомневаетесь, где проходит граница, разберите свои процессы по шагам. Сайт с формой, облачная почта и бухгалтерская программа — типичные места, где данные попадают в компьютер, и тогда исключение не работает.

Когда подавать и какие сроки в уведомлении

Главный срок — «до начала обработки». Закон не даёт вам отсрочки на запуск сайта или найм первого сотрудника. Остальные сроки привязаны к событиям:

Все сроки в одном месте, с примерами расчёта и перечнем частых ошибок мы собрали в статье о сроках подачи уведомления. Как менять сведения, когда они поменялись, описано в статье об изменении уведомления. О том, что делать при прекращении обработки, читайте в материале о прекращении обработки.

Как подать: три способа на одном портале

Подача идёт на Портале персональных данных Роскомнадзора, pd.rkn.gov.ru, в разделе «Реестр операторов» → «Электронные формы заявлений». Форма одна, отличается способ подтверждения. Роскомнадзор называет три способа:

Пошаговую инструкцию с шагами и подводными камнями смотрите в статье как подать уведомление в Роскомнадзор. Отдельно о Госуслугах: как проходит подача через Госуслуги. Если ищете «личный кабинет оператора», вам в разбор того, что есть на портале.

Что нужно указать в уведомлении

Состав сведений задаёт часть 3 статьи 22, а форму утвердил приказ Роскомнадзора от 28.10.2022 № 180. Форм три: о намерении обрабатывать данные, об изменении сведений и о прекращении обработки. В уведомлении о намерении указывают:

• Оператор: наименование или ФИО, адрес.
• Цели обработки. Для каждой цели отдельно, по части 3.1: категории данных, категории субъектов, правовое основание, перечень действий, способы обработки.
• Меры защиты по статьям 18.1 и 19, в том числе сведения о шифровальных средствах.
• Ответственный за организацию обработки, его телефон, почта и адрес.
• Дата начала обработки и срок или условие её прекращения.
• Трансграничная передача: есть она или нет.
• Место базы данных граждан России.
• Сведения об обеспечении безопасности по требованиям Правительства.

Сведения об ответственном за организацию обработки попадают в общедоступный реестр: на это Роскомнадзор прямо указывает на странице подачи. Не публикуются только сведения о средствах обеспечения безопасности (часть 4 статьи 22). Как заполнять каждое поле, разобрано в статье образец заполнения уведомления.

Сколько стоит и кто платит

Государству вы не платите. Часть 5 статьи 22 прямо запрещает возлагать на оператора расходы на рассмотрение уведомления и внесение сведений в реестр. Госпошлины нет.

Деньги берут за подготовку: разобрать цели, описать меры защиты, ответить на запрос. Если ситуация простая и есть время, форму можно заполнить самому. Выбор зависит от того, насколько вам важно не получить запрос уточнений и сэкономить рабочий день.

Что происходит после подачи

Роскомнадзор в течение 30 дней вносит сведения в реестр операторов. Реестр общедоступен, найти себя можно по ИНН, названию или регистрационному номеру. На 6 октября 2026 года, по данным портала, в нём значилось 2 655 513 операторов. Как проверить запись и что делать, если вас не нашли, описано в статье о реестре операторов.

Если сведения неполные или недостоверные, Роскомнадзор вправе потребовать уточнения до внесения в реестр (часть 6 статьи 22). Статья 22 отказа в приёме уведомления не называет. В инструкции Роскомнадзора по заполнению формы сказано, что уведомление может быть возвращено на уточнение или отклонено. Поэтому запрос лучше предупредить: проверить поля до отправки.

После отправки на портале показывают номер и ключ уведомления. Запишите их: форма с ними открывается один раз, а по номеру и ключу проверяют статус.

Штраф за неуведомление

С 30 мая 2025 года за невыполнение или несвоевременное выполнение обязанности уведомить Роскомнадзор о намерении обрабатывать данные действует часть 10 статьи 13.11 КоАП. Прежняя практика со статьёй 19.7 КоАП (3–5 тысяч рублей) устарела.

«300 тысяч» — верхняя граница диапазона, не фиксированная сумма. Для государственных и муниципальных органов и некоммерческих организаций под «должностным лицом» понимается должностное лицо такого органа или НКО (примечание 2). Суммы «до 18 миллионов» относятся к другим составам, например к хранению баз граждан России за рубежом, и к неуведомлению отношения не имеют. Срок давности по делам в области персональных данных — один год (статья 4.5 КоАП).

Уведомление и сайт должны совпадать

Приказ Минцифры от 17.08.2023 № 720 дополнил перечень индикаторов риска при контроле за обработкой персональных данных пунктом 3. Индикатор срабатывает, если контролирующий орган установил три и более факта несоответствия информации в уведомлениях сведениям, размещённым на сайте оператора по части 2 статьи 18.1, то есть в политике обработки.

Это не штраф и не нарушение само по себе. Это сигнал для надзора. На практике расхождения возникают, когда цели, категории данных или список сервисов на сайте уже изменились, а уведомление осталось прежним. Поэтому после любых правок на сайте сверяйте политику и уведомление. Как устроен сайт с формами, смотрите в статье о персональных данных на сайте, а свой сайт можно отдать на аудит сайта на 152-ФЗ.

Если у вас особая ситуация

Обязанность одна для всех, но детали зависят от статуса и бизнеса. Для разных операторов мы подготовили отдельные разборы:

Если в компании только сотрудники

Частый вопрос: «Клиентов у нас нет, данные только кадровые. Нужно ли уведомление?» Да, если кадровые данные ведутся в компьютере: 1С, зарплатная программа, электронная таблица. Исключение для обработки данных сотрудников действовало до 1 сентября 2022 года, потом его отменили. Тот же вывод для компаний, которые обрабатывают данные по договору и никому их не передают.

Для такой компании уведомление проще: одна-две цели, например кадровый и бухгалтерский учёт и обеспечение трудового законодательства. Эти цели есть в списке на форме Роскомнадзора, их не нужно придумывать.

Как мы помогаем

ФТИ — учебный центр, услуги по персональным данным у нас ведёт юрист. Работаем дистанционно по всей России.

• Разбираем ваши цели, данные и системы и говорим, нужна ли отдельная трансграничная передача.
• Заполняем уведомление по каждой цели, описываем меры защиты, указываем ответственного.
• Подаём вместе: вход на портал делает ваш руководитель, пароли и ключи подписи нам не передаются.
• Отвечаем на запрос уточнений от Роскомнадзора и подаём исправленное без доплаты.

Цена — 4 900 ₽, фиксированная, госпошлины нет. Подготовка и подача занимают один-два рабочих дня после получения ваших данных, а в реестр запись вносит Роскомнадзор, в срок до 30 дней. Подробности на странице уведомление в Роскомнадзор под ключ.

Уведомление не заменяет остальные документы. Политику обработки, согласия и приказы можно заказать как документы по 152-ФЗ за 9 900 ₽. Всё вместе — пакет «Старт» за 14 900 ₽ вместо 18 700 ₽ на странице услуги ФТИ. Сроки изменений и прекращения обработки помогает держать сопровождение по персональным данным, 1 990 ₽ в месяц.

Если ответственным за обработку назначен сотрудник, ему может помочь курс повышения квалификации ФТИ «Защита персональных данных»: 72 часа дистанционно, удостоверение с записью в ФИС ФРДО. Закон не требует именно такого курса: пункт 6 части 1 статьи 18.1 называет мерой оператора ознакомление и (или) обучение работников, а курс — один из способов эту меру выполнить. Документы и подачу уведомления курс не заменяет: он учит, как это делается, а саму работу выполняет услуга.

Нормативные документы

На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.

• Статья 22 Федерального закона № 152-ФЗ «О персональных данных» — уведомление об обработке персональных данных
• Статья 22.1 Федерального закона № 152-ФЗ — лица, ответственные за организацию обработки персональных данных
• Статья 12 Федерального закона № 152-ФЗ — трансграничная передача персональных данных
• Статья 21 Федерального закона № 152-ФЗ — сроки уведомления Роскомнадзора об утечке, часть 3.1
• Статья 13.11 КоАП РФ — нарушение законодательства в области персональных данных, часть 10 и примечания
• Статья 4.5 КоАП РФ — давность привлечения к административной ответственности
• Приказ Роскомнадзора от 28.10.2022 № 180 — формы уведомлений о начале, изменении и прекращении обработки
• Приказ Минцифры России от 17.08.2023 № 720 — индикатор риска: расхождение уведомления и сайта оператора
• Портал персональных данных Роскомнадзора — электронные формы уведомлений