Юристы ЮРСУПЕР готовят и подают уведомления. Пятнадцать записей из нашей практики открыты для проверки: Роскомнадзор внёс в реестр каждого из этих операторов. Номер каждой записи открыт: карточку с целями обработки, категориями субъектов и датой приказа читатель проверяет на портале персональных данных сам. Записи собраны в разделе практики.
Кто обязан подать уведомление
Часть 1 статьи 22 закона 152-ФЗ обязывает оператора уведомить Роскомнадзор до того, как он начнёт обрабатывать персональные данные. Оператором закон называет любую компанию или предпринимателя, кто определяет цели обработки: собирает анкеты клиентов, ведёт кадровый учёт, принимает заявки с сайта, хранит базу контрагентов.
До 1 сентября 2022 года закон разрешал не уведомлять шести категориям операторов: тем, кто обрабатывает данные работников, данные по договору с клиентом, только фамилию, имя и отчество и ещё нескольким. Федеральный закон № 266-ФЗ от 14.07.2022 эти пункты отменил. После отмены без уведомления вправе работать три категории: государственные информационные системы защиты безопасности, операторы, которые обрабатывают данные исключительно без средств автоматизации, и операторы транспортной безопасности.
Практический вывод: ИП с одним наёмным работником, интернет-магазин с формой заказа, салон с записью по телефону: все они операторы и все обязаны подать уведомление.
Штраф за неподанное уведомление
Часть 10 статьи 13.11 КоАП штрафует за неподанное и за просроченное уведомление одинаково: гражданина на 5–10 тысяч рублей, должностное лицо на 30–50 тысяч, юридическое лицо на 100–300 тысяч. Эту часть ввёл Федеральный закон № 420-ФЗ от 30.11.2024.
Утечка данных обходится дороже. Часть 11 той же статьи за несообщение об утечке штрафует юридическое лицо на 1–3 миллиона рублей, а части 12–14 за саму утечку поднимают планку до 3–15 миллионов, смотря сколько человек пострадало.
Сколько ждёт ответа оператор: цифры нашей практики
Роскомнадзор рассматривал наши уведомления по-разному: медиана легла на 10 дней, самое долгое заняло 57. Четыре уведомления ведомство закрыло за сутки: приказ вышел на следующий день после регистрации.
Срок зависит не от региона, а от того, насколько аккуратно заполнены цели обработки и категории субъектов. Уведомление с противоречиями внутри перечня возвращается к оператору, и отсчёт начинается заново.
Обработка идёт давно, а уведомления нет
Тринадцать операторов из этих пятнадцати начали обрабатывать данные раньше, чем подали уведомление. Медианный разрыв составил 1 год 5 месяцев, у пятерых он превысил пять лет. Рекорд практики составил 10 лет 11 месяцев: предприниматель из Грозного работал с 28 апреля 2014 года, а уведомление зарегистрировал 3 апреля 2025 года.
Просрочка не закрывает дорогу в реестр. Роскомнадзор внёс всех пятнадцать операторов, включая тех, кто обрабатывал данные годами. Уведомление, поданное с опозданием, снимает длящееся нарушение, поэтому подать его выгоднее, чем ждать проверки.
Как проходит работа
1. Разбор процессов
Юрист выясняет, где компания собирает персональные данные: кадры, сайт, CRM, договоры с контрагентами, видеонаблюдение, программа лояльности. Каждый найденный процесс превращается в цель обработки с собственным перечнем данных и категорией субъектов.
2. Заполнение уведомления
Цели, категории субъектов, состав данных, перечень действий, меры защиты, сроки хранения. Уведомление с противоречиями внутри перечня возвращается к оператору, поэтому юрист проверяет связки до отправки.
3. Подача и переписка
Юрист направляет уведомление в Роскомнадзор и ведёт переписку с ведомством до приказа о внесении в реестр. Запросы об уточнении сведений отрабатывает сам.
4. Запись в реестре
Клиент получает номер записи и ссылку на карточку в открытом реестре: там видны цели обработки, категории субъектов и дата приказа. Проверить запись может любой контрагент.
Документы, которые нужны оператору кроме уведомления
Уведомление сообщает ведомству о намерении обрабатывать данные, не более того. Сама обработка требует набора документов, который перечисляет статья 18.1 закона 152-ФЗ:
- политика обработки персональных данных, опубликованная на сайте;
- приказ о назначении ответственного за организацию обработки: его издают юридические лица;
- локальные акты, где для каждой цели описаны категории данных, сроки хранения и порядок уничтожения;
- формы согласий для сотрудников, клиентов и посетителей сайта;
- внутренний контроль соответствия обработки закону.
Роскомнадзор запрашивает эти документы при проверке. Уведомление без них показывает ведомству, что оператор про обязанности знает, но их не выполняет.
Разбор самой формы по разделам, три способа подачи и пять ошибок, из-за которых уведомление возвращают на уточнение, собраны в статье «Как подать уведомление в Роскомнадзор об обработке персональных данных».
Частые вопросы
Нужно ли ИП без работников подавать уведомление?
Нужно, если предприниматель собирает данные клиентов, контрагентов или посетителей сайта. Наёмные работники здесь не главное: обязанность возникает от самого факта обработки, а часть 1 статьи 22 закона 152-ФЗ не делает исключения для ИП. В этой подборке 11 записей из 15 принадлежат именно предпринимателям.
Как проверить, подавали ли уведомление раньше?
Поиск по реестру операторов на портале pd.rkn.gov.ru принимает ИНН и наименование. Если запись найдена, в карточке видны дата приказа и перечень целей. Полезно сверить цели с тем, что компания делает сейчас: устаревший перечень требует сообщения об изменении сведений.
Что делать, если данные обрабатываются только на бумаге?
Пункт 8 части 2 статьи 22 освобождает от уведомления оператора, который обрабатывает данные исключительно без средств автоматизации. На практике условие выполняется редко: бухгалтерия в 1С, почта, мессенджеры и CRM дают автоматизированную обработку.
Через сколько после подачи компания попадёт в реестр?
По пятнадцати уведомлениям из нашей практики медиана составила 10 дней: самое быстрое ведомство рассмотрело за сутки, самое долгое за 57 дней. Дата приказа и есть дата внесения записи, она указана в карточке оператора.
Придётся ли подавать уведомление повторно?
Повторное уведомление закон не требует, но при изменении сведений оператор сообщает о них Роскомнадзору: новые цели обработки, смена адреса, смена ответственного лица. Часть 7 статьи 22 закона 152-ФЗ отводит на это срок до 15-го числа месяца, следующего за месяцем изменений. Про прекращение обработки сообщают быстрее, в течение десяти рабочих дней.
Уведомление подаётся один раз на всю компанию или на каждый филиал?
Уведомление подаёт оператор, то есть юридическое лицо целиком. Филиалы отдельными операторами не считаются, но регионы обработки данных в уведомлении перечисляются все.
Отзывы клиентов на Яндекс Картах
Оценки и тексты приходят прямо из карточки организации. Мы не можем их редактировать или удалять — и вы это видите.
Открыть карточку на Яндекс Картах