Уведомление Роскомнадзора об обработке персональных данных: кто обязан подать

Кратко

Кто обязан подавать уведомление в Роскомнадзор?

Уведомление обязан подать любой оператор персональных данных до начала их обработки. Так сформулирована ч. 1 ст. 22 ФЗ-152: «Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи». Уполномоченный орган - Роскомнадзор.

Оператором закон называет любое лицо, которое организует или осуществляет обработку персональных данных и определяет ее цели: юридическое лицо, ИП, физическое лицо, государственный орган.¹1Определение оператора - п. 2 ст. 3 ФЗ-152. Статус самозанятого или отсутствие работников в этом определении не упоминаются. Никакого порога по числу субъектов, выручке или штату в норме нет.

До сентября 2022 года у малого бизнеса было законное исключение: ч. 2 ст. 22 разрешала не уведомлять, если оператор обрабатывает данные только своих работников или только для исполнения договора с самим субъектом. Федеральный закон от 14.07.2022 № 266-ФЗ эти пункты (п. 1-6 ч. 2) отменил. Сегодня в части 2 остались три исключения, и к обычному бизнесу относится одно:

Практический вывод: если персональные данные людей у вас хотя бы раз попадают в компьютер, телефон, онлайн-сервис или таблицу, п. 8 не работает, и уведомление обязательно. Какие еще документы по 152-ФЗ обязан оформить малый бизнес помимо уведомления, я собрал в обзоре «Персональные данные для ИП и малого бизнеса».

«У меня мало данных» - почему это не освобождает

Количество данных на обязанность не влияет: закон привязывает уведомление к факту автоматизированной обработки, а не к масштабу. Это самый живучий миф в разговорах с ИП и директорами микрокомпаний, и он держится на старой редакции ст. 22, где исключение для «своих работников» действительно было.

Возьмем вымышленный, но типовой пример. ИП ведет онлайн-запись клиентов на услуги: имя, телефон, дата визита хранятся в сервисе записи и дублируются в таблице на ноутбуке. Работников нет, клиентов - полсотни в месяц. Каждый признак оператора здесь на месте: ИП определяет цель (оказать услугу и напомнить о визите), организует обработку (выбрал сервис), обрабатывает данные автоматизированно (сервис и таблица). Уведомление обязательно.

С данными работников логика та же. Кадровый учет в 1С, зарплатный проект в банке, табель в Excel - все это автоматизированная обработка персональных данных работников. То, что до 2022 года было исключением, теперь полноценное основание для уведомления, и в форме под него указывается отдельная цель.

Критериев «что считать автоматизацией» на уровне подзаконных актов нет, и эта неопределенность работает против оператора в одну сторону: при проверке любую обработку с использованием компьютера будут считать автоматизированной, а спорить придется уже в суде.

Нужно ли подавать ИП без работников и самозанятому?

Да, если они обрабатывают данные клиентов или заказчиков-физлиц с помощью любых средств автоматизации. Статус самозанятого или отсутствие штата обязанность не снимает: ч. 1 ст. 22 говорит об операторе, а оператором по ст. 3 может быть и физическое лицо.

Отсутствие работников закрывает только одно основание - кадровое. Если у самозанятого нет ни работников, ни данных клиентов в электронном виде (например, он продает товары через маркетплейс и данных покупателей не видит), обрабатывать ему нечего, и уведомлять нечего. Как только появляется список клиентов с телефонами в мессенджере, CRM или таблице - появляется и обязанность.

Отдельно про исключение «без средств автоматизации». В практике ведомства его читают узко: бумажный журнал остается неавтоматизированной обработкой, пока данные из него не попадают ни в один электронный носитель. Телефон, в который переписали номер клиента, чтобы позвонить, эту границу уже переходит.

Если вы уже работаете без уведомления

Подавать нужно до начала обработки - так буквально записано в ч. 1 ст. 22. Если обработка уже идет, а уведомления нет, срок формально пропущен, и единственное правильное действие - подать сейчас: состав по ч. 10 ст. 13.11 КоАП называется «невыполнение или несвоевременное выполнение» обязанности, и каждый день без уведомления оставляет вас в первой формулировке.

Подача с опозданием отдельного состава не образует - Роскомнадзор принимает уведомление и вносит оператора в реестр в течение 30 дней с даты поступления (ч. 4 ст. 22). Плата за рассмотрение не взимается (ч. 5 ст. 22). Дату начала обработки в форме указывайте реальную: занижать ее ради видимости своевременности - это уже недостоверные сведения, которые ведомство вправе запросить уточнить (ч. 6 ст. 22).

Есть и смягчающий механизм. Статья 4.1.1 КоАП предусматривает замену штрафа предупреждением для субъектов малого и среднего предпринимательства за впервые совершенное правонарушение, выявленное при государственном контроле, - при условиях ч. 2 ст. 3.4 КоАП (нет вреда и угрозы жизни, здоровью, имуществу). Это возможность, которую применяет орган или суд, а не право оператора требовать предупреждения. Рассчитывать на нее как на страховку я бы не стал; рассчитывать стоит на поданное уведомление.

Уведомление - самый быстрый из всех шагов по ФЗ-152, и одновременно точка, с которой Роскомнадзор начинает любую проверку. Порядок работы тот же, что при описании процессов в карте рисков: сначала выписываются процессы, потом под них подбираются формулировки, а не наоборот. Проверка идет так: сначала сверяет реестр с сайтом, потом смотрит внутренние документы. Когда цели, категории и ответственный за обработку зафиксированы в одном месте, форма заполняется за вечер. И обновления не теряются между сменой адреса и подключением нового сервиса. Ниже разберем, что именно в этой форме писать.

Что писать в форме: цели, категории, основания?

Форма утверждена приказом Роскомнадзора от 28.10.2022 № 180 и повторяет ч. 3 и 3.1 ст. 22 ФЗ-152: реквизиты оператора, затем блок сведений на каждую цель обработки, затем меры защиты, ответственный, дата начала, условие прекращения, трансграничная передача и место нахождения базы данных. Ключевое слово - «на каждую цель»: ч. 3.1 требует указывать категории данных, категории субъектов, правовое основание, перечень действий и способы обработки отдельно для каждой цели.

Отсюда главная ошибка заполнения: одна цель на все - «осуществление хозяйственной деятельности». Такая формулировка не проходит логику формы и в реестре выглядит как отсутствие понимания собственных процессов. Правильно - разложить обработку по реальным процессам:

Категории данных в форме выбираются из перечня, и по умолчанию у малого бизнеса они «иные» - не специальные (здоровье, убеждения) и не биометрические. Если вы ведете медицинские записи клиентов или собираете фотографии для пропусков, это отдельные категории с отдельными требованиями, и в уведомлении их надо назвать честно.

Правовое основание - вторая типовая ошибка. Согласие ставят на все, тогда как для кадрового учета основание - закон, для клиентских записей - договор, и только для рассылок и форм на сайте - согласие. Разложить основания правильно нужно еще и потому, что от этого зависит, какие согласия вы обязаны собирать, а какие нет.

Остальные поля заполняются по факту, но три из них проверяют внимательно. Место нахождения базы данных - страна и адрес: если данные россиян лежат в зарубежном облаке, это нарушение ч. 5 ст. 18 ФЗ-152 вне зависимости от уведомления. Ответственный за организацию обработки - конкретное лицо с должностью и контактом, назначенное приказом (ст. 22.1 ФЗ-152); ИП без работников указывает себя. Меры по ст. 18.1 и 19 - здесь достаточно перечислить принятые организационные и технические меры: политика обработки, локальные акты, разграничение доступа, антивирус, резервное копирование. Использование криптосредств отмечается отдельно.

Три способа подать уведомление

Подача идет через портал Роскомнадзора pd.rkn.gov.ru, и способов подписать заполненную форму три. Бумага в чистом виде осталась только как запасной вариант.

1. Заполнить электронную форму на портале. Сервис выдает код и ключ доступа к черновику - сохраните их: если понадобится вернуться к заполнению или подать изменения, они пригодятся. Обязательные поля отмечены; цели добавляются блоками, по одному на процесс.
2. Подписать через Госуслуги. Вход через ЕСИА с подтвержденной учетной записью организации, ИП или физлица - бумажный экземпляр не нужен. Для самозанятого без ИП это вход под личной учетной записью.
3. Либо подписать усиленной квалифицированной электронной подписью. Форма подписывается УКЭП через плагин КриптоПро на самом портале, бумага тоже не нужна.
4. Либо отправить на бумаге. Заполнить форму онлайн, распечатать, подписать и направить в территориальный орган Роскомнадзора по месту регистрации оператора. Датой подачи будет дата поступления в ведомство.
5. Проверить реестр через 30 дней. Роскомнадзор вносит сведения в реестр операторов в течение 30 дней с даты поступления уведомления (ч. 4 ст. 22). Запись в реестре открыта: найдите себя по ИНН и сверьте, что цели и категории отображены так, как вы их подали.

Если ведомство обнаружит неполные или недостоверные сведения, оно вправе запросить уточнение (ч. 6 ст. 22) - отвечать нужно в указанный в запросе срок, иначе запись могут не внести. Расходов у оператора нет: ч. 5 ст. 22 прямо запрещает возлагать на него затраты по рассмотрению уведомления.

Что будет за неподачу: штрафы по ч. 10 ст. 13.11 КоАП

С 30 мая 2025 года за неподачу или несвоевременную подачу уведомления действует отдельный состав - ч. 10 ст. 13.11 КоАП, введенная Федеральным законом от 30.11.2024 № 420-ФЗ. До этого неподачу квалифицировали по общей ст. 19.7 КоАП о непредставлении сведений - штраф для юрлиц 3-5 тыс. ₽; теперь вилки другого порядка.

Две детали, которые обычно теряются в пересказах. Первая: по примечанию 1 к ст. 13.11 индивидуальные предприниматели за правонарушения по ч. 8-18 несут ответственность как юридические лица - вилка для ИП не 30-50 тыс., а 100-300 тыс. ₽.²2Примечание 1 к ст. 13.11 КоАП распространяет режим юрлиц на ИП по ч. 1.1 и 8-18 статьи. Часть 10 входит в этот диапазон. Вторая: по примечанию 2 под «должностным лицом» в ч. 10-18 понимается только должностное лицо государственного или муниципального органа либо некоммерческой организации. Директор коммерческого ООО отдельно по этой части не отвечает - отвечает само общество.

Штраф назначает суд внутри вилки с учетом смягчающих и отягчающих обстоятельств (ст. 4.1-4.3 КоАП): добровольное устранение нарушения и подача уведомления до рассмотрения дела работают на нижнюю границу, повторность - на верхнюю. Для субъектов МСП, привлекаемых впервые, сохраняется механизм ст. 4.1.1 - замена штрафа предупреждением при условиях, о которых шла речь выше.

Для масштаба: тем же законом № 420-ФЗ введена ч. 11 ст. 13.11 - за неуведомление Роскомнадзора об утечке персональных данных вилка для юрлиц уже 1-3 млн ₽. Реестр операторов - самая дешевая из обязанностей по ФЗ-152, и одновременно та, с которой начинается проверка любой другой.

Когда обновлять уведомление в Роскомнадзоре?

Часть 7 ст. 22 ФЗ-152 устанавливает два разных срока, и вторичные разборы их регулярно путают. Об изменении сведений оператор обязан уведомить «не позднее 15-го числа месяца, следующего за месяцем, в котором возникли такие изменения». О прекращении обработки - «в течение десяти рабочих дней с даты прекращения обработки». Формы для обоих случаев - приложения 2 и 3 к приказу № 180.

Пример на календаре: если 3 сентября вы подключили сервис рассылок и начали собирать электронные адреса клиентов, уведомление об изменении подается не позднее 15 октября. Если 3 сентября вы прекратили деятельность и удалили все базы - уведомление о прекращении нужно направить не позднее 17 сентября (десять рабочих дней).

Уведомление и политика на сайте обязаны совпадать

Потому что расхождение между реестром и сайтом - самостоятельное основание для внеплановой проверки. Приказом Минцифры России от 17.08.2023 № 720 в перечень индикаторов риска (утвержден приказом Минцифры от 15.11.2021 № 1187) добавлен новый: установление Роскомнадзором трех и более фактов несоответствия информации, указанной оператором в уведомлениях, сведениям, размещенным на сайте оператора. Индикатор действует с 18 ноября 2023 года.

Механика простая. Роскомнадзор без визита сравнивает вашу запись в реестре с тем, что опубликовано на сайте: политику обработки, формы сбора данных, указанные цели, адрес, данные об операторе. Три расхождения - и у ведомства появляется формальное основание инициировать внеплановое контрольное мероприятие в порядке ФЗ-248 о государственном контроле.

Практическое следствие: уведомление, политика обработки персональных данных на сайте и реальные процессы должны описывать одно и то же. Обновили одно - обновляйте остальные два. Проверять сверку удобнее по чек-листу ниже, раз в квартал или при любом изменении в процессах.

Чек-лист: проверьте себя за 10 минут

Материал носит информационный характер и не заменяет юридическую консультацию по конкретной ситуации. Нормы приведены по редакциям на дату публикации - перед подачей сверяйте текст ст. 22 ФЗ-152 и ст. 13.11 КоАП в актуальной редакции.