Уведомление в Роскомнадзор об обработке персональных данных: нужно ли владельцу сайта и как подать
Статья 22 закона 152-ФЗ на примере сайта с формой заявки: исключения, сроки, способы подачи, поля формы, проверка по реестру операторов и штраф.
Если на сайте есть форма заявки, которая собирает имя, телефон или почту, владелец сайта почти наверняка обязан подать в Роскомнадзор уведомление об обработке персональных данных. Подают его до начала обработки, бесплатно, через портал персональных данных pd.rkn.gov.ru. После этого компания или ИП попадает в открытый реестр операторов, и любой может проверить, есть ли она там.
Исключений в законе осталось три, и владельцу обычного сайта они, как правило, не подходят. Ниже — кто обязан, как подать, что писать в форме и как проверить себя в реестре. Это разбор закона для владельцев сайтов, не юридическая консультация: если обработка данных у вас сложная — медицина, дети, передача за границу, — сверьтесь с юристом.
Кто обязан подавать уведомление
Закон 152-ФЗ называет оператором любое юридическое или физическое лицо, которое организует обработку персональных данных и само решает, зачем и какие данные собирать (ст. 3). Обработка — это любое действие с данными: сбор, запись, хранение, передача, удаление. Заявка с сайта, которая приходит на почту и лежит в CRM, — уже обработка, а ООО или ИП, которым принадлежит сайт, — оператор.
Часть 1 статьи 22 обязывает оператора уведомить Роскомнадзор до начала обработки. До 1 сентября 2022 года исключений в части 2 было девять. Потом шесть пунктов из девяти утратили силу, поэтому старые советы «вам подавать не нужно» стоит перепроверять. Сейчас без уведомления можно обрабатывать данные только в трёх случаях:
- данные включены в государственные информационные системы, созданные для защиты безопасности государства и общественного порядка;
- оператор обрабатывает данные исключительно без средств автоматизации;
- данные обрабатываются по законодательству о транспортной безопасности.
Первый и третий случаи к частному сайту отношения не имеют. Второй — обработка «исключительно без средств автоматизации» — это, по сути, бумажный журнал и картотека без компьютера. Форма на сайте, письмо с заявкой в почтовом ящике, таблица с клиентами — это работа с данными на компьютере, поэтому для владельца сайта с формой это исключение обычно не подходит. На самом портале Роскомнадзор пишет об этом так же: с 1 сентября 2022 года операторы должны уведомлять о «любой обработке» персональных данных, кроме трёх названных случаев (pd.rkn.gov.ru).
Сроки и стоимость
Уведомление подают до начала обработки. Если сайт с формой уже работает, а уведомления нет, срок уже пропущен, и подавать его стоит сейчас.
Подача бесплатна: по закону расходы на рассмотрение уведомления и внесение в реестр на оператора не возлагаются (ч. 5 ст. 22).
Дальше действуют такие сроки:
- Роскомнадзор вносит сведения в реестр операторов в течение 30 дней с даты поступления уведомления (ч. 4 ст. 22);
- если сведения изменились — новая цель, форма с новыми полями, другой ответственный, — оператор сообщает об этом не позднее 15-го числа следующего месяца (ч. 7 ст. 22);
- если обработка прекращена, например ИП закрылся, уведомление о прекращении подают в течение десяти рабочих дней (ч. 7 ст. 22).
Как подать уведомление
Формы уведомлений утверждены приказом Роскомнадзора от 28.10.2022 № 180, а заполняются они на портале персональных данных.
- Откройте pd.rkn.gov.ru, раздел «Реестр операторов» → «Электронные формы заявлений».
- Нажмите «Перейти к заполнению формы электронного уведомления».
- Выберите способ подачи. Их три:
- через Госуслуги (ЕСИА) — входите через учётную запись Госуслуг, заполняете и отправляете форму, бумажная копия не нужна. Если уведомление подаётся от имени организации, учётная запись на Госуслугах должна быть привязана к этой организации;
- с усиленной квалифицированной электронной подписью — для подписи в браузере нужен плагин КриптоПро ЭЦП Browser plug-in;
- на бумаге — форму заполняют и отправляют на портале, затем распечатывают, подписывают и направляют в территориальное управление Роскомнадзора по месту регистрации оператора.
- Заполните форму. Обязательные поля отмечены звёздочкой. Если раньше уже подавали уведомление, есть кнопка «Заполнить форму данными из ранее направленного уведомления».
- Отметьте два обязательных пункта: что ознакомились с порядком подачи в электронном виде и что согласны на передачу данных по открытым каналам.
- Отправьте форму и сохраните «Код сформированного уведомления» и «Ключ уведомления». По ним потом можно вернуться к уведомлению и посмотреть, на каком оно этапе.
Для ИП и небольшой компании проще всего вариант через Госуслуги: не нужны ни электронная подпись, ни поход на почту.
Состояние поданного уведомления видно в разделе «Проверка состояния уведомления»: там вводят номер, ключ и защитный код с картинки.
Что указать в уведомлении
Состав сведений задан частью 3 статьи 22, а для каждой цели обработки отдельно указывают категории данных, категории людей, правовое основание, действия с данными и способы обработки (ч. 3.1). В форме на портале это выглядит так:
| Раздел формы | Что это значит для сайта с формой заявки |
|---|---|
| Сведения об операторе | Наименование или ФИО ИП, адрес, ИНН, ОГРН, регионы, где обрабатываются данные |
| Цели обработки | Зачем собираете данные: например, обработка заявок и связь с клиентами. Отдельной целью — кадровый учёт, если есть сотрудники |
| Категории данных и субъектов | Какие поля собирает форма (имя, телефон, почта) и чьи это данные (клиенты, посетители сайта, работники) |
| Правовое основание | На каком основании обрабатываете: согласие человека, договор, требование закона |
| Действия и способы обработки | Сбор, запись, хранение, удаление; с помощью компьютера или смешанно |
| Меры по статьям 18.1 и 19 | Что сделано для защиты: назначен ответственный, принята политика, ограничен доступ, есть ли шифровальные средства |
| Ответственный за обработку | ФИО, телефон, почтовый и электронный адрес |
| Дата начала и условие прекращения | С какого дня обрабатываете и когда перестанете (например, при ликвидации) |
| Трансграничная передача | Уходят ли данные за границу: например, если форма или рассылка работает через иностранный сервис |
| Место нахождения базы данных | Где физически хранятся данные: хостинг, облако, CRM |
Примеры в правой колонке поясняют поля и не являются готовым текстом для вашего уведомления: заполнять нужно по тому, как данные обрабатываются у вас на самом деле.
Две вещи стоит знать заранее. Сведения об ответственном за обработку данных общедоступны — они попадут в открытый реестр, поэтому указывайте рабочие контакты. А если форма заполнена неполно или с ошибками, Роскомнадзор вправе попросить уточнить сведения до внесения в реестр (ч. 6 ст. 22).
Как проверить себя в реестре операторов
Реестр открыт: в нём видны все сведения из уведомления, кроме описания средств защиты данных (ч. 4 ст. 22).
- Откройте реестр операторов на портале персональных данных.
- Введите ИНН. Можно искать и по названию в поле «Организация» (подойдёт часть наименования) или по регистрационному номеру.
- Найдите свою запись и проверьте дату внесения в реестр и указанные цели обработки.
Поиск выдаёт не больше 50 операторов, поэтому по короткому названию лучше искать через ИНН.
Если записи нет, вариантов обычно три: уведомление не подавали; подали меньше 30 дней назад; подали, но Роскомнадзор запросил уточнения. В последних двух случаях помогает «Проверка состояния уведомления» с номером и ключом. Если сайт делала студия и она обещала «всё оформить», реестр — самый быстрый способ проверить, было ли это сделано.
Что будет, если не подать
С 30 мая 2025 года за неисполнение или несвоевременное исполнение обязанности уведомить Роскомнадзор о намерении обрабатывать данные есть отдельная норма — часть 10 статьи 13.11 КоАП. Штрафы по ней:
| Кто | Штраф |
|---|---|
| Гражданин | от 5 000 до 10 000 ₽ |
| Коммерческая организация (ООО, АО) | от 100 000 до 300 000 ₽ |
| Индивидуальный предприниматель | как организация: от 100 000 до 300 000 ₽ |
Строка про ИП — не опечатка. Обычно в КоАП предприниматель отвечает как должностное лицо, но в примечании 1 к статье 13.11 сказано, что за нарушения по частям 1.1 и с 8 по 18 ИП несут ответственность как юридические лица.
В старых статьях до сих пор встречается статья 19.7 КоАП — общая норма о непредставлении сведений в госорган, со штрафом для организаций от 3 000 до 5 000 ₽. На эти суммы при оценке риска ориентироваться уже не стоит: для уведомления об обработке данных теперь есть собственная часть 10 статьи 13.11.
Отсутствие уведомления — отдельное нарушение. Неопубликованная политика обработки данных и сбор данных без надлежащего согласия наказываются по другим частям той же статьи 13.11.
Как уведомление связано с политикой конфиденциальности
Это два разных документа для разных адресатов. Уведомление отправляют в Роскомнадзор, и оно попадает в реестр. Политику обработки персональных данных публикуют на сайте для посетителей: оператор, который собирает данные через интернет, обязан выложить её на страницах сайта, где идёт сбор, и обеспечить к ней свободный доступ (ч. 2 ст. 18.1).
Связь между ними прямая: цели, категории данных и сроки в политике и в уведомлении должны совпадать, потому что описывают одну и ту же обработку. Если на сайте появилась новая форма — например, запись на консультацию с датой рождения, — обновлять придётся и политику, и сведения в реестре (до 15-го числа следующего месяца).
Удобный порядок для владельца сайта:
- Выписать все формы на сайте и поля, которые они собирают.
- Написать или обновить политику так, чтобы она описывала именно эту обработку.
- Подать уведомление с теми же целями и категориями.
- Проверить запись в реестре через 30 дней.
По самому сайту уведомление не видно: ни посетитель, ни сканер его не найдут. Зато видно другое — открыта ли политика, есть ли отметка о согласии рядом с формой, предупреждает ли сайт о cookie до того, как ставит счётчики. Эту часть можно посмотреть бесплатной проверкой сайта на 152-ФЗ: она показывает, что видно в коде страниц, и не заменяет проверку себя в реестре операторов.