Роскомнадзор ждёт уведомление от каждой компании и каждого ИП, кто собирает данные людей: ведёт кадровый учёт, принимает заявки через сайт, хранит базу клиентов. Инструкция ведомства отводит на рассмотрение 30 дней. Юристы ЮРСУПЕР подали 15 уведомлений, по которым операторы вошли в реестр, и медиана рассмотрения в этой подборке составила 10 дней. Ниже разбираем, что заполнять, куда отправлять и на чём чаще всего спотыкаются.
Кто обязан подать уведомление
Часть 1 статьи 22 закона 152-ФЗ обязывает оператора уведомить Роскомнадзор до начала обработки персональных данных. Оператор — это любое лицо, которое организует обработку и определяет её цели: ООО, индивидуальный предприниматель, самозанятый, государственный орган.
Компания становится оператором почти сразу после регистрации. Кадровый учёт работает с паспортными данными сотрудников. Форма обратной связи на сайте собирает имя и телефон. Договор с клиентом содержит его реквизиты. Видеонаблюдение в офисе фиксирует изображения людей. Каждый из этих процессов — обработка персональных данных.
С 1 сентября 2022 года круг обязанных резко расширился: закон № 266-ФЗ от 14.07.2022 отменил пункты 1–6 части 2 статьи 22, а это были как раз популярные основания не подавать уведомление. Работа только с данными своих работников больше не освобождает от обязанности.
Кому уведомление не нужно
Часть 2 статьи 22 оставила несколько узких исключений. Уведомление не подаёт тот, кто обрабатывает данные:
- в целях защиты безопасности государства и общественного порядка;
- в целях обеспечения транспортной безопасности;
- исключительно без средств автоматизации.
Последний пункт сужает исключение сильнее, чем кажется. Бумажный журнал посетителей под него подходит, а таблица в Excel уже нет: компьютер считается средством автоматизации.
Что собрать до заполнения формы
Форма уведомления требует не общих слов, а перечня. Подготовьте заранее:
| Что нужно | Откуда берётся |
|---|---|
| Реквизиты оператора без сокращений | данные регистрации в налоговой, паспорт, классификатор адресов ФИАС |
| Перечень целей обработки | фактические процессы компании: кадры, сайт, CRM, договоры, видеонаблюдение |
| Категории субъектов | работники, клиенты, соискатели, посетители, контрагенты |
| Категории данных | обычные (п. 1 ст. 3), специальные (ч. 1 и ч. 3 ст. 10), биометрические (ч. 1 ст. 11) |
| Правовое основание по каждой цели | один из случаев части 1 статьи 6 закона |
| Перечень действий с данными | сбор, запись, хранение, передача, удаление и другие операции |
| Дата начала обработки | фактическая дата; часто совпадает с датой регистрации ООО или ИП |
| Меры защиты по статьям 18.1 и 19 | приказ об ответственном, политика обработки, положение о защите |
| Ответственный за организацию обработки | ФИО и телефон сотрудника либо название сторонней организации |
Инструкция Роскомнадзора требует указывать сведения об операторе без сокращений. «ООО «Ромашка»» вместо «Общество с ограниченной ответственностью «Ромашка»» уже повод вернуть уведомление на уточнение.
Три способа подачи
Портал персональных данных предлагает три варианта. Форма заполняется одинаково, различается финал.
Бумажный вид: печать и территориальный орган
Оператор заполняет форму на портале, распечатывает, подписывает от руки и отправляет в территориальный орган Роскомнадзора по месту регистрации.
Электронная подпись: УКЭП и плагин КриптоПро
Оператор подписывает форму усиленной квалифицированной подписью прямо на портале. Бумажная копия не нужна. Для подписания понадобится плагин КриптоПро ЭЦП Browser plug-in: сам портал сертификаты не настраивает и за их отображение не отвечает.
Госуслуги: подача уведомления через ЕСИА
Оператор проходит аутентификацию через ЕСИА и отправляет уведомление оттуда. Нужна подтверждённая учётная запись, а если уведомление подаётся за организацию, учётная запись должна быть к ней привязана. Бумажную копию отправлять не нужно.
Формы всех трёх уведомлений — о намерении, об изменении сведений и о прекращении обработки — утверждены приказом Роскомнадзора от 28.10.2022 № 180.
Как заполнить форму: пошагово по разделам
Форма разбита на блоки, и порядок в ней жёсткий. Роскомнадзор сокращает «персональные данные» до ПДн, эта аббревиатура встречается и в самой форме, и в инструкции.
- Сведения об операторе. Регион регистрации, тип оператора, наименование, адреса, ИНН, ОГРН, контакты. Филиалы добавляются отдельными полями.
- Цель обработки. Цель выбирается из списка; если подходящей нет, оператор выбирает «иная» и вписывает формулировку сам. Целей может быть несколько, каждая добавляется кнопкой и заполняется отдельно.
- Общие сведения по цели. Категории данных, категории субъектов, правовое основание, перечень действий, способы обработки (автоматизированная, неавтоматизированная, смешанная), дата начала обработки, срок или условие прекращения, трансграничная передача.
- Местонахождение базы данных граждан РФ. Страна и адрес центра обработки данных. Для России адрес выбирается из справочника.
- Лица с доступом к данным в государственных и муниципальных системах. Блок заполняют операторы, которые работают с ГИС.
- Обеспечение безопасности. Меры по статьям 18.1 и 19, технические средства защиты, использование шифровальных средств и класс СКЗИ, ответственный за организацию обработки с номером телефона.
Один нюанс режимов доступа: сведения об ответственном за организацию обработки закон объявляет общедоступными (часть 4 статьи 22), а сведения о средствах защиты в открытый доступ не попадают.
Пять ошибок, из-за которых уведомление возвращают
152-ФЗ в графе «правовое основание». Инструкция Роскомнадзора пишет об этом прямым текстом: закон «О персональных данных» правовым основанием обработки не служит. Основание берётся из части 1 статьи 6: согласие субъекта, исполнение договора, требование другого закона.
Одна цель на всю компанию. «Осуществление уставной деятельности» ведомство не принимает. Цель описывает конкретный процесс: кадровый учёт, подбор персонала, исполнение договоров с клиентами, продвижение услуг.
Противоречия внутри перечня. Цель говорит про кадровый учёт, а категория субъектов указана только «клиенты». Такое уведомление возвращается на уточнение, и отсчёт срока начинается заново.
Сокращения в реквизитах. Наименование, адрес и должность пишутся так, как они записаны в ЕГРЮЛ и паспорте.
Потерянные номер и ключ. После отправки портал показывает форму уведомления один раз. Инструкция предупреждает: второй возможности посмотреть и распечатать уведомление нет. Номер и ключ нужно сохранить сразу, без них статус потом не проверить.
Сколько ждать приказа
Инструкция Роскомнадзора называет срок рассмотрения: 30 дней с момента отправки. По итогам ведомство вносит оператора в реестр, отклоняет уведомление или возвращает его за уточнением сведений.
Практика идёт быстрее. В подборке из 15 уведомлений, которые подали юристы ЮРСУПЕР, медиана составила 10 дней, а четыре приказа вышли на следующий день после регистрации уведомления. Срок зависит не от региона, а от аккуратности заполнения: чем меньше в перечне противоречий, тем меньше поводов запросить уточнение.
Записи открыты для проверки: каждую можно найти в реестре операторов по номеру, они собраны в разделе судебной и надзорной практики.
Обработка идёт давно, а уведомления нет
Ситуация встречается чаще, чем кажется. Из тех же 15 операторов 13 начали обрабатывать данные раньше, чем подали уведомление. Медианный разрыв составил год и пять месяцев, у пятерых он превысил пять лет.
Рекорд подборки — 11 лет. Предприниматель из Грозного обрабатывал персональные данные с 28 апреля 2014 года, уведомление зарегистрировали 3 апреля 2025 года, приказ о внесении в реестр вышел на следующий день (запись 20-25-001980, приказ № 24 от 04.04.2025).
Просрочка дорогу в реестр не закрывает: Роскомнадзор внёс всех пятнадцать операторов, включая тех, кто работал годами. Поданное с опозданием уведомление снимает длящееся нарушение, поэтому подать его выгоднее, чем ждать проверки.
Штраф за неподачу
Часть 10 статьи 13.11 КоАП наказывает и за неподачу, и за просрочку:
| Кого штрафуют | Сумма |
|---|---|
| Граждан | 5 000 — 10 000 ₽ |
| Должностных лиц | 30 000 — 50 000 ₽ |
| Юридических лиц | 100 000 — 300 000 ₽ |
Эту часть ввёл Федеральный закон № 420-ФЗ от 30.11.2024. Отдельная часть 11 той же статьи наказывает за неуведомление об утечке, и там суммы для юрлиц измеряются миллионами.
Что делать после внесения в реестр
Уведомление о намерении подаётся однократно. Дальше оператор следит за изменениями.
Изменились сведения об операторе
Компания переехала, сменила директора, добавила цель обработки или новую категорию данных — нужно подать уведомление об изменении сведений. Часть 7 статьи 22 отводит на это срок до 15-го числа месяца, следующего за месяцем, в котором изменения возникли. Количество таких уведомлений не ограничено.
Обработка персональных данных прекращена
Оператор подаёт уведомление о прекращении обработки по той же форме приказа № 180.
Проверка статуса уведомления в Роскомнадзоре
Состояние отправленного уведомления проверяется на портале по номеру и ключу. Если срок вышел, а записи в реестре нет, оператор пишет в электронную приёмную Роскомнадзора.
Когда проще передать задачу юристу
Уведомление заполняется один раз, а последствия ошибки растягиваются на месяцы: возврат на уточнение обнуляет срок, а неподанное уведомление добавляет штраф к уже длящемуся нарушению. Юристы ЮРСУПЕР разбирают процессы компании, собирают перечень целей, заполняют форму и ведут переписку с ведомством до приказа. Что входит в работу и сколько она стоит — на странице услуги «Уведомление в Роскомнадзор под ключ».
