Уведомление в Роскомнадзор путают с политикой на сайте: кажется, что это одно и то же действие. Это две разные обязанности с разной ценой, и у уведомления своих сроков три, а не один. Разберём по порядку.
Подают до начала обработки
- Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи.
Федеральный закон от 27.07.2006 № 152-ФЗ, ст. 22 ч. 1. Сверено 18.09.2026, редакция от 26.07.2026.
Формулировка «о своём намерении» задаёт момент: уведомляют до запуска формы, а не после первой заявки. Практически это значит, что уведомление относится к подготовке сайта наравне с политикой, а не к разбору последствий.
Исключений почти не осталось
Здесь главная перемена, и многие памятки её не заметили:
- Оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных:
- утратили силу с 1 сентября 2022 года. - Федеральный закон от 14.07.2022 N 266-ФЗ; 7) включенных в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка; 8) в случае, если оператор осуществляет деятельность по обработке персональных данных исключительно без использования средств автоматизации; 9) обрабатываемых в случаях, предусмотренных законодательством Российской Федерации о транспортной безопасности, в целях обеспечения устойчивого и безопасного функционирования транспортного комплекса, защиты интересов личности, общества и государства в сфере транспортного комплекса от актов незаконного вмешательства.
Федеральный закон от 27.07.2006 № 152-ФЗ, ст. 22 ч. 2. Сверено 18.09.2026, редакция от 26.07.2026.
Шесть пунктов из девяти отменены одним законом. Среди отменённых были как раз те, на которые ссылались обычные компании: данные, полученные в связи с договором, и данные работников.
Из оставшихся трёх к обычному бизнесу применим один — пункт 8, обработка исключительно без использования средств автоматизации. Слово «исключительно» решает всё: заявка, попавшая в почтовый ящик, в CRM или в таблицу, обработана с использованием средств автоматизации, и исключение не работает.
Что в уведомлении
Состав сведений тоже сократился тем же законом:
- Уведомление, предусмотренное частью 1 настоящей статьи, направляется в виде документа на бумажном носителе или в форме электронного документа и подписывается уполномоченным лицом. Уведомление должно содержать следующие сведения: 1) наименование (фамилия, имя, отчество), адрес оператора;
- цель обработки персональных данных; 3) - 6) утратили силу с 1 сентября 2022 года. - Федеральный закон от 14.07.2022 N 266-ФЗ;
Федеральный закон от 27.07.2006 № 152-ФЗ, ст. 22 ч. 3. Сверено 18.09.2026, редакция от 26.07.2026.
Дальше в том же пункте 7 части 3 требуется описание мер, предусмотренных статьями 18.1 и 19 закона. То есть уведомление опирается на те же меры, о которых говорит документ о политике: одно связано с другим, но подаётся отдельно.
Два срока, о которых узнают позже всего
Уведомление не разовое действие. Об этом в части 7:
- В случае изменения сведений, указанных в части 3 настоящей статьи, оператор не позднее 15-го числа месяца, следующего за месяцем, в котором возникли такие изменения, обязан уведомить уполномоченный орган по защите прав субъектов персональных данных обо всех произошедших за указанный период изменениях. В случае прекращения обработки персональных данных оператор обязан уведомить об этом уполномоченный орган по защите прав субъектов персональных данных в течение десяти рабочих дней с даты прекращения обработки персональных данных.
Федеральный закон от 27.07.2006 № 152-ФЗ, ст. 22 ч. 7. Сверено 18.09.2026, редакция от 26.07.2026.
Два срока, и оба практические. Сменился адрес, название или цель обработки — уведомить нужно не позднее 15-го числа следующего месяца. Закрыли направление и перестали собирать данные — десять рабочих дней с даты прекращения.
Второй срок особенно легко пропустить: о прекращении никто не вспоминает, потому что кажется, что обязанности заканчиваются вместе с обработкой.
Сколько стоит не подать
По части 10 статьи 13.11 КоАП за невыполнение или несвоевременное выполнение обязанности по уведомлению: граждане 5000–10 000 рублей, должностные лица 30 000–50 000, юридические лица 100 000–300 000.
Сравните с неопубликованной политикой на сайте: там для организации 30 000–60 000. Уведомление, о котором думают меньше, стоит впятеро дороже документа, о котором думают все. Подробнее про изменения в ответственности — в разборе 2026 года.
Это не то же самое, что политика на сайте
Разведём две обязанности, потому что их постоянно смешивают.
Политика — документ, который публикуется на страницах, где идёт сбор. Адресат — посетитель сайта. Проверяется снаружи, открытием страницы.
Уведомление — обращение в надзорный орган о намерении обрабатывать данные. Адресат — государство. На сайте его не видно вовсе.
Одно не заменяет другое, и выполнение одной обязанности не закрывает вторую. Кто именно обязан публиковать политику и почему для предпринимателя ответ другой, разобрали отдельно.
Чего мы не делаем
Мы агентство, а не юридическая фирма: уведомления за клиентов не подаём и не оцениваем, подпадаете ли вы под исключение из части 2. Выше приведены нормы и сроки, а применимость к вашей обработке определяет юрист или сам надзорный орган.
Наша часть остаётся технической: что видно на сайте и что проверяется снаружи. Как это выглядит со стороны наблюдения, разобрали здесь.
Нормы сверены 18 сентября 2026 года: закон о персональных данных в редакции от 26.07.2026, кодекс об административных правонарушениях в редакции от 26.07.2026.
Коротко
Уведомляют до начала обработки, а не после запуска. Шесть исключений из девяти отменены с 1 сентября 2022 года, и к обычной компании применимо одно — обработка исключительно без средств автоматизации, то есть без почты, CRM и таблиц. Сроков на самом деле три: до начала, до 15-го числа следующего месяца при изменениях и десять рабочих дней при прекращении обработки. Штраф для организации от 100 до 300 тысяч, впятеро дороже, чем за неопубликованную политику.