Персональные данные

Уведомление субъекта персональных данных: когда и как

Редактор ФТИ 7 октября 2026 8 мин чтения

Коротко

Когда оператор обязан уведомить самого человека: данные получены не от субъекта, нарушения устранены, внесены изменения. Что сообщить по ч. 3 ст. 18, пять исключений и образец уведомления с вымышленными данными.

Коротко: оператор обязан уведомить самого человека в нескольких случаях, и это не то же самое, что уведомление Роскомнадзора по ст. 22. Главный случай: данные получены не от субъекта. Тогда до начала обработки ему сообщают оператора, цель и основание, перечень данных, пользователей, права и источник (ч. 3 ст. 18 закона № 152-ФЗ). Есть и другие: об устранении нарушений и уничтожении данных (ч. 3 ст. 21), о внесённых изменениях (ч. 3 ст. 20), о продлении срока ответа. Ниже случаи, исключения и образец.

Локальные акты, инструкции и документы по вашей ситуации · состав называем после разбора, до оплаты · правки до вашего «принимаю»

Документы по 152-ФЗ под ваш бизнес — 9 900 ₽

Собрать пакет →

Главное

Данные получены не от субъекта: уведомить до начала обработки (ч. 3 ст. 18), если нет исключения из ч. 4.
Состав сообщения: оператор, цель и основание, перечень данных, пользователи, права, источник.
Исключений пять (ч. 4 ст. 18). Одно из них: данные получены на основании закона или в связи с договором, стороной, выгодоприобретателем или поручителем по которому является субъект.
Другие уведомления субъекту идут по ст. 14, 20 и 21, как правило, после его обращения; по ч. 3 ст. 21 об устранении нарушений уведомляют и тогда, когда их выявил сам оператор.
Форму и способ закон не называет. Мы предлагаем способ фиксации как рекомендацию.

Два разных уведомления

	Уведомление Роскомнадзора	Уведомление субъекта
Норма	Ст. 22 закона № 152-ФЗ	Ч. 3 ст. 18, ч. 3 ст. 20, ч. 3 ст. 21, ч. 3 ст. 14
Кому	Уполномоченному органу	Человеку, чьи данные обрабатываются
Когда	До начала обработки, при изменениях и прекращении	Когда наступил случай из закона
Что даёт	Запись в реестре операторов	Информирование человека

Подача в Роскомнадзор — отдельная тема: уведомление об обработке персональных данных. Мы подаём его под ключ за 4 900 ₽, подробности на странице уведомления в Роскомнадзор.

Когда уведомлять субъекта

Случай	Норма	Что и когда
Данные получены не от субъекта	Ч. 3 ст. 18	До начала обработки сообщить информацию из ч. 3 (список ниже)
Выявлена неправомерная обработка, нарушения устранены или данные уничтожены	Ч. 3 ст. 21	Уведомить субъекта об устранении нарушений или об уничтожении; если обращение или запрос пришли через Роскомнадзор, то и его
Внесены изменения по сведениям субъекта	Ч. 3 ст. 20	Уведомить субъекта о внесённых изменениях и принятых мерах и принять разумные меры для уведомления третьих лиц, которым данные передавали
Нужно продлить срок ответа или прекращения обработки	Ч. 3 ст. 14, ч. 1 и 2 ст. 20, ч. 5.1 ст. 21	Мотивированное уведомление с причинами, продление не более чем на 5 рабочих дней
Закон делает обязательными предоставление данных или согласие	Ч. 2 ст. 18	Разъяснить субъекту юридические последствия отказа дать данные и (или) согласие. Это разъяснение, но оно близко по смыслу

Про утечку: ч. 3.1 ст. 21 обязывает уведомить Роскомнадзор в течение 24 и 72 часов. Обязанности уведомлять самих субъектов в этой части нет. Как действовать, описано в статье об утечке за 24 часа.

Что сообщить, если данные получены не от субъекта

Ч. 3 ст. 18 называет шесть позиций. Сообщить нужно до начала обработки.

Позиция	Что писать
1. Оператор	Наименование либо ФИО и адрес оператора или его представителя
2. Цель и основание	Цель обработки и её правовое основание
2.1. Перечень данных	Какие данные вы получили
3. Пользователи	Предполагаемые пользователи данных: кто будет с ними работать
4. Права	Права субъекта, установленные законом № 152-ФЗ
5. Источник	Откуда получены данные

Когда уведомлять не нужно

Ч. 4 ст. 18 освобождает оператора от уведомления по ч. 3, если:

Исключение	Пример
Субъект уже уведомлён об обработке его данных этим оператором (п. 1)	Человек получил от вас информацию по ч. 3 ранее
Данные получены на основании федерального закона или в связи с исполнением договора, стороной которого, либо выгодоприобретателем или поручителем по которому является субъект (п. 2)	Вы получили данные в связи с исполнением договора, по которому человек является стороной
Разрешённые для распространения данные обрабатываются с соблюдением запретов и условий ст. 10.1 (п. 3)	Данные из публикации, которую субъект разрешил распространять
Статистические или иные исследовательские цели, журналистика, творческая деятельность, если права субъекта не нарушаются (п. 4)	Опрос в исследовательских целях
Уведомление нарушает права и законные интересы третьих лиц (п. 5)	Сообщение раскроет данные других людей

Подходит ли именно ваш случай под исключение, оценивайте осторожно: закон не называет, кто доказывает наличие исключения. Наша рекомендация: если сомневаетесь, уведомить, а основания для исключения записать. Данные в примерах вымышлены.

Работники: отдельное правило Трудового кодекса

Если данные работника возможно получить только у третьей стороны, работник должен быть уведомлен заранее, и от него нужно письменное согласие. Работодатель должен сообщить о целях, предполагаемых источниках и способах получения данных, их характере и последствиях отказа дать письменное согласие (п. 3 ст. 86 ТК). Подробнее о кадровых документах: документы по персональным данным для кадров.

Образцы уведомлений

Если данные получены не от субъекта

Образец с вымышленными данными: организация «Образец», партнёр «Партнёр». Это не утверждённая форма, закон формы не устанавливает. Подставьте свои данные.

Общество с ограниченной ответственностью «Образец»
[адрес, телефон, электронная почта]

Исх. № [номер] от [дата]
[ФИО субъекта]
[адрес или электронная почта]

Уведомление об обработке персональных данных, полученных не от Вас

Уважаемый(ая) [имя отчество]!

В соответствии с ч. 3 ст. 18 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» сообщаем, что ООО «Образец» получило Ваши персональные данные от [ООО «Партнёр», на основании [договора / иного основания]]. Информируем Вас до начала их обработки.

1. Оператор: ООО «Образец», [адрес].
2. Цель обработки и её правовое основание: [цель; основание, например, согласие / законный интерес / иное основание из ч. 1 ст. 6].
3. Перечень персональных данных: [фамилия, имя, отчество; телефон; адрес электронной почты].
4. Предполагаемые пользователи данных: [работники отдела ...; лицо, обрабатывающее данные по поручению: [наименование]].
5. Ваши права, установленные Федеральным законом № 152-ФЗ: получить сведения об обработке (ст. 14); требовать уточнения, блокирования или уничтожения данных (ч. 1 ст. 14); [отозвать согласие (ч. 2 ст. 9)]; обжаловать действия оператора в уполномоченный орган или в суд (ст. 17).
6. Источник получения данных: [наименование, адрес].

Обращения направляйте: [адрес, электронная почта].

Генеральный директор            ____________ / [И. И. Иванов]

Об устранении нарушений и уничтожении данных

Общество с ограниченной ответственностью «Образец»

Исх. № [номер] от [дата]
[ФИО субъекта]
[адрес или электронная почта]

Уведомление об устранении нарушений и уничтожении персональных данных

Уважаемый(ая) [имя отчество]!

По Вашему обращению от [дата] (вх. № [номер]) в ООО «Образец» выявлена неправомерная обработка Ваших персональных данных: [описание, например, данные использовались для рассылки без основания].
В соответствии с ч. 3 ст. 21 Федерального закона от 27.07.2006 № 152-ФЗ сообщаем: обработка прекращена [дата], Ваши персональные данные [уничтожены [дата] / блокированы до уничтожения]. Принятые меры: [перечень].

Генеральный директор            ____________ / [И. И. Иванов]

Если данные уничтожались, оператору потребуется подтверждение. Что в нём писать и как хранить, разобрано в статье об акте уничтожения персональных данных.

Как отправить и что сохранить

Закон форму и способ уведомления субъекта не называет. Наша рекомендация: отправлять так, чтобы осталась отметка о получении или отправке (заказное письмо с описью, письмо на электронную почту с подтверждением, личный кабинет), и хранить копию и отметку. Записать уведомление можно в журнале обращений. Порядок ответа на запросы описан в статьях о правилах рассмотрения запросов и ответе на запрос.

Как мы помогаем

Пакет «Документы по 152-ФЗ» за 9 900 ₽ закрывает локальные акты, инструкции и журналы по вашей ситуации. Какие именно образцы уведомлений нужны вам, решаем на разборе и называем состав до оплаты. Правки включены до вашего «принимаю». Уведомление в Роскомнадзор мы подаём под ключ за 4 900 ₽. Пакет «Старт» (уведомление, документы и документы для сайта) стоит 14 900 ₽ вместо 18 700 ₽.

Не знаете, что нужно именно вам? Скажем бесплатно и честно, в том числе когда услуга не нужна · цены открыты

Разберём, когда и кого вам нужно уведомлять

Смотреть услуги ФТИ →

Какие документы по персональным данным закон называет прямо, а какие — практика, показано в обзоре комплекта документов. Публичную часть описывает обзор по политике обработки.

Нормативные документы

На эти документы опирается статья. Ссылки ведут на официальные тексты в справочных правовых системах.

Частые вопросы

Нужно ли уведомлять субъекта о том, что его данные обрабатываются?

Если данные получены не от самого субъекта, да, до начала обработки (ч. 3 ст. 18 закона № 152-ФЗ), если нет исключения из ч. 4. Если данные человек дал сам, отдельного уведомления по ч. 3 ст. 18 не требуется, а по просьбе он вправе получить сведения (ч. 1 ст. 18).

Что должно быть в уведомлении субъекта, если данные получены не от него?

Оператор или его представитель и адрес, цель и правовое основание, перечень данных, предполагаемые пользователи, права субъекта и источник получения (ч. 3 ст. 18).

Когда уведомлять субъекта не нужно?

Ч. 4 ст. 18 называет пять случаев: субъект уже уведомлён; данные получены на основании закона или в связи с договором, стороной, выгодоприобретателем или поручителем по которому он является; обработка разрешённых для распространения данных; статистические, журналистские и творческие цели, если при этом не нарушаются права и законные интересы субъекта; нарушение прав третьих лиц.

Чем уведомление субъекта отличается от уведомления Роскомнадзора?

Уведомление Роскомнадзора подаётся по ст. 22 и ведёт к записи в реестре операторов. Уведомление субъекта информирует самого человека по ч. 3 ст. 18 и ст. 20, 21. Это разные обязанности.

Нужно ли уведомлять субъектов об утечке?

В тексте ч. 3.1 ст. 21 обязанность уведомить названа только в отношении Роскомнадзора: 24 часа и 72 часа. Об уведомлении самих субъектов в этой части не сказано.

Нужно ли уведомить субъекта, если его данные уничтожены?

Да, если неправомерная обработка выявлена: об устранении нарушений или об уничтожении оператор обязан уведомить субъекта (ч. 3 ст. 21). Подтверждение самого уничтожения оформляют отдельно по требованиям Роскомнадзора.

Есть ли утверждённая форма уведомления субъекта?

Нет. Закон форму не устанавливает. Образцы в статье вымышленные, подставьте свои данные.

Как уведомлять работника, если данные получают у третьей стороны?

Заранее уведомить, получить письменное согласие, сообщить цели, источники, способы и характер данных и последствия отказа (п. 3 ст. 86 ТК).

Какой штраф за неуведомление субъекта?

Отдельной строки именно за неуведомление по ч. 3 ст. 18 мы не нашли. По нашему прочтению, такое нарушение квалифицируется по ч. 4 ст. 13.11 (невыполнение обязанности предоставить субъекту информацию об обработке его данных): юрлица 40–80 тыс. ₽, ИП 20–30 тыс. ₽, должностные лица 8–12 тыс. ₽. Квалификацию определяет орган, рассматривающий дело.

Поможете ли вы подготовить такие документы?

Да, в рамках пакета «Документы по 152-ФЗ» за 9 900 ₽: локальные акты, инструкции и журналы по вашей ситуации. Состав называем после разбора и до оплаты, правки включены до вашего «принимаю».