Уведомление в Роскомнадзор об обработке персданных
Кто обязан подать, какие исключения остались, что войдёт в форму и сколько стоит промедление. С цитатами закона и рассказом о том, где застряли мы сами.
Уведомить нужно до начала обработки
«Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи».
Ключевое здесь — «до начала». Уведомление не отчёт по факту, а условие, которое закон ставит перед началом работы с данными. Если сайт уже собирает заявки, обязанность считается просроченной.
Исключений осталось три, и они не про обычный сайт
В части 2 статьи 22 было девять пунктов, шесть из них утратили силу. Действующие приведены дословно — оператор вправе обрабатывать без уведомления персональные данные:
- 7)включенных в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка
- 8)в случае, если оператор осуществляет деятельность по обработке персональных данных исключительно без использования средств автоматизации
- 9)обрабатываемых в случаях, предусмотренных законодательством Российской Федерации о транспортной безопасности, в целях обеспечения устойчивого и безопасного функционирования транспортного комплекса, защиты интересов личности, общества и государства в сфере транспортного комплекса от актов незаконного вмешательства
Для владельца сайта практический вывод один: подходящего исключения у него, скорее всего, нет. Пункт про обработку «исключительно без использования средств автоматизации» — это про бумагу. Форма обратной связи, заявка, подписка на рассылку, корзина интернет-магазина — обработка с использованием средств автоматизации.
Что войдёт в уведомление
Перечень задан частью 3 статьи 22. Нумерация пунктов приведена как в законе — пропуски в ней не опечатка, часть пунктов исключалась и добавлялась поправками.
- 1)наименование (фамилия, имя, отчество), адрес оператора
- 2)цель обработки персональных данных
- 7)описание мер, предусмотренных статьями 18.1 и 19
- 7.1)фамилия, имя, отчество физического лица или наименование юридического лица, ответственных за организацию обработки персональных данных, и контактные данные
- 8)дата начала обработки персональных данных
- 9)срок или условие прекращения обработки персональных данных
- 10)сведения о наличии или об отсутствии трансграничной передачи персональных данных
- 10.1)сведения о месте нахождения базы данных информации, содержащей персональные данные граждан Российской Федерации
- 10.2)фамилия, имя, отчество физического лица или наименование юридического лица, имеющих доступ к персональным данным в государственных и муниципальных информационных системах
- 11)сведения об обеспечении безопасности персональных данных
Большую часть этих сведений вы уже публикуете — цели обработки, меры защиты и сроки обычно описаны в политике обработки данных на сайте. Собрать их заранее дешевле, чем заполнять форму по памяти: два поля почти всегда требуют отдельного решения — ответственный за организацию обработки и место нахождения базы данных.
Штраф за неподачу
«Невыполнение или несвоевременное выполнение оператором предусмотренной законодательством Российской Федерации в области персональных данных обязанности по уведомлению уполномоченного органа по защите прав субъектов персональных данных о намерении осуществлять обработку персональных данных — влечет наложение административного штрафа на граждан в размере от пяти тысяч до десяти тысяч рублей; на должностных лиц — от тридцати тысяч до пятидесяти тысяч рублей; на юридических лиц — от ста тысяч до трехсот тысяч рублей».
Обратите внимание на слова «или несвоевременное выполнение»: норма наказывает и за опоздание, а не только за полное молчание.
Где застряли мы сами
Честно: на сегодня наше уведомление не подано, и это не забывчивость. Мы собрали всё, что требует часть 3 статьи 22, — цели, меры, сроки, ответственного, дату начала обработки; почти всё уже было опубликовано в политике обработки данных и в правовых сведениях.
Остановились на пункте 10.1 — сведения о месте нахождения базы данных с персональными данными граждан России. На момент сбора данных наш сайт физически размещался за пределами страны, и вписать в это поле правдивый и одновременно правильный ответ было нельзя. Сначала переезд, потом уведомление — иначе первое же поданное сведение окажется тем, что придётся менять.
Из этого стоит забрать одну вещь: уведомление подаётся не в конце работ по сайту, а после того, как решён вопрос хостинга. Порядок обратный тому, в котором к этому обычно приходят.
Частые вопросы об уведомлении
Скорее всего да. Обязанность по части 1 статьи 22 закона 152-ФЗ возникает до начала обработки, а исключений в части 2 осталось три, и ни одно не про малый бизнес: государственные системы безопасности, обработка исключительно без средств автоматизации и случаи транспортной безопасности. Форма на сайте — это обработка с использованием средств автоматизации, поэтому под исключение она не попадает.
Буквально: данные обрабатываются вне информационных систем. Бумажный журнал посетителей — это оно. Как только данные попадают в форму на сайте, в CRM, в таблицу или в почтовый ящик, обработка перестаёт быть неавтоматизированной, и исключение не действует.
Уведомление подаётся в Роскомнадзор, в том числе через его портал персональных данных; вход — через подтверждённую учётную запись Госуслуг. Состав сведений задан частью 3 статьи 22, и он же определяет, что нужно собрать заранее: адрес оператора, цели, ответственного за организацию обработки, дату начала обработки, сведения о трансграничной передаче и о месте нахождения базы данных.
Часть 10 статьи 13.11 КоАП, введённая Федеральным законом от 30.11.2024 № 420-ФЗ: невыполнение или несвоевременное выполнение обязанности уведомить влечёт штраф на граждан от 5 000 до 10 000 рублей, на должностных лиц от 30 000 до 50 000 рублей, на юридических лиц от 100 000 до 300 000 рублей.
Закон говорит об операторе, а не об организационно-правовой форме: оператор — тот, кто организует и осуществляет обработку. Физическое лицо, собирающее данные клиентов через сайт, под это подпадает. В форме уведомления для самозанятого поля ОГРН и ОГРНИП просто остаются пустыми — их у него нет.
Нет. Мы приводим текст действующих актов со ссылками, чтобы их можно было проверить, и честно рассказываем, где сами застряли. Оценку вашей ситуации даёт юрист.
Мы не юристы и не даём правовых консультаций. На странице приведены требования действующих актов со ссылками, чтобы их можно было проверить: Федеральный закон от 27.07.2006 № 152-ФЗ, статья 22; Кодекс об административных правонарушениях, часть 10 статьи 13.11 в редакции Федерального закона от 30.11.2024 № 420-ФЗ. Тексты сверены 5 сентября 2026 года.