Коротко: уведомление нужно почти всем, кто обрабатывает персональные данные, – клиентов, посетителей сайта или только сотрудников. Проще всего подать его через Госуслуги: электронная подпись не нужна. Мы подавали уведомление для своего сервиса сами и собрали ловушки формы, на которых застряли, – от профиля ИП на Госуслугах до адреса дата-центра. Подали 26 октября 2026 года, в реестр операторов нас внесли на следующий день.
Нужно ли вам уведомление
Да, если вы обрабатываете персональные данные с помощью компьютера: форма заявки на сайте, база клиентов, таблица с контактами, кадровый учёт. С 1 сентября 2022 года прежние исключения («только данные сотрудников», «данные по договору с клиентом») отменены. Без уведомления можно обрабатывать данные только в трёх случаях: без средств автоматизации, в государственных информационных системах для защиты безопасности государства и в целях транспортной безопасности (ч. 2 ст. 22 152-ФЗ).
Штраф за неподачу – 100–300 тыс. ₽, для ИП – столько же (ч. 10 ст. 13.11 КоАП).
Что подготовить заранее
Большая часть ответов уже есть в вашей политике обработки персональных данных – форма повторяет её разделы. Перед началом соберите:
- цели обработки и для каждой – какие данные, чьи, на каком основании;
- меры защиты данных (кто ответственный, какие документы приняты, как ограничен доступ);
- дату, когда вы начали собирать персональные данные – реальную, а не сегодняшнюю;
- адрес дата-центра, где стоит сервер с данными, и полный адрес хостинг-провайдера с номером дома. Это самое трудное – подробнее ниже.
Способ подачи: через Госуслуги, без подписи
На портале персональных данных Роскомнадзора (pd.rkn.gov.ru) откройте «Форма уведомления об обработке (о намерении осуществлять обработку) персональных данных» и нажмите «Подать уведомление (перейти к сервису ЕСИА)». Войдите через Госуслуги – нужна подтверждённая учётная запись. Бумажная копия в этом случае не нужна.
Есть ещё два способа: подписать форму квалифицированной электронной подписью (нужна программа КриптоПро) или распечатать и отправить в управление Роскомнадзора по месту регистрации. Для малого бизнеса вариант с Госуслугами самый простой.
Ловушка 1. Для ИП нужен профиль предпринимателя на Госуслугах. Если при входе в «Выборе роли» есть только «Физическое лицо», добавьте профиль ИП: в личном кабинете Госуслуг – раздел организаций, «Индивидуальный предприниматель», указать ОГРНИП. Портал сверит его с реестром ИП. У нас проверка заняла несколько часов, в выходные дольше. Только после этого в роли появится ИП.
Заполнение формы: раздел за разделом
Сведения об операторе
Паспорт, ИНН и ОГРНИП подтянутся из Госуслуг. Вручную – регион регистрации (по адресу ИП или юрлица), адрес с индексом, телефон, почта и регионы обработки – это регионы, где вы сами обрабатываете данные (где сервер и где работаете), а не где живут клиенты.
Цели обработки – каждая отдельным блоком
Цель выбирается из списка, а не пишется свободным текстом. Для договора с клиентами есть готовый пункт «Подготовка, заключение и исполнение гражданско-правового договора»; для остального – «иная» и своя формулировка: «Ответы на обращения пользователей сайта», «Анализ посещаемости сайта» и т. д. Следующая цель – кнопкой «Добавить цель обработки».
В каждом блоке – свои галочки:
- категории данных – если отмечаете «иные персональные данные», появится поле, впишите их (например, «ответы на вопросы анкеты, сведения о заказе»);
- категории субъектов – клиенты, посетители сайта, представители контрагентов;
- правовое основание – длинный список; чаще всего нужны согласие, договор, закон и законный интерес оператора;
- перечень действий – обычно всё, кроме обезличивания и распространения;
- способ обработки – «смешанная», если с данными работает и человек; «автоматизированная», если только программы (например, счётчик посещаемости).
Ловушка 2. «Шифровальные средства» – это не HTTPS. Форма спрашивает о сертифицированных средствах криптографической защиты (СКЗИ) – с классом КС1–КА и серийными номерами. Если у вас обычный сайт с HTTPS, ответ – «не используются».
Меры защиты, дата начала, трансграничная передача
Меры – текстом, как в политике: назначен ответственный, приняты локальные акты, определён уровень защищённости, ограничен доступ, шифруется передача данных, ведутся резервные копии. ИП ответственного назначать не обязан – эта обязанность в ст. 22.1 152-ФЗ установлена для организаций, – поэтому у ИП честнее написать «обработку организует лично индивидуальный предприниматель». Пишите только то, что сделано на самом деле: этот текст потом виден всем в карточке реестра. Уровень защищённости для большинства небольших сайтов – УЗ-4, тип угроз – 3-й (ПП РФ № 1119).
Дата начала обработки – реальная: день, когда сайт начал собирать данные. Сегодняшняя дата при работающем сайте – недостоверные сведения.
Трансграничная передача – «не осуществляется», только если данные действительно никуда за рубеж не уходят: ни через счётчики, ни через почту, ни через зарубежные сервисы.
Местонахождение базы данных и хостинг
Ловушка 3 – главная. Форма требует адрес дата-центра и сведения об организации, ответственной за хранение данных. Если своего дата-центра нет (ответ «Собственный ЦОД – нет»), укажите адрес дата-центра, где физически стоит сервер (по справочнику, до номера дома), а в сведениях об организации, ответственной за хранение, – того, кто владеет этой инфраструктурой: ИНН, ОГРН и адрес. Если хостинг-провайдер сам арендует место в чужом дата-центре, это не обязательно он. Официального разъяснения Роскомнадзора мы не нашли; по практике здесь указывают владельца дата-центра, а договор и поручение обработки остаются с хостинг-провайдером. Без номера дома справочник адрес не принимает, а у нас форма ещё и подставила в это поле наш собственный адрес, который нельзя было удалить.
Узнать, в каком дата-центре стоит сервер, можно только у хостинг-провайдера – спросите заранее, ответ может занять несколько дней. Реквизиты владельца дата-центра обычно опубликованы на его сайте в разделе документов. Наше исследование 295 сайтов хостинг-провайдеров показало: 58% не указывают ИНН или ОГРН даже в контактах и реквизитах на сайте (исследование).
Поэтому выбирать хостинг стоит ещё до уведомления: юрлицо с опубликованными реквизитами, известным адресом дата-центра в России и – в идеале – соглашением о поручении обработки персональных данных (ч. 3 ст. 6 152-ФЗ).
Последние поля
- Блок «Сведения о лицах… в государственных и муниципальных информационных системах» – если у вас нет доступа к ГИС, удалите его кнопкой «удалить».
- Исполнитель – кто заполнял форму, должность, контакты.
- Две галочки внизу – об ознакомлении с порядком и о согласии на передачу данных.
Ловушка 4. Черновик теряет поля. Сессия портала истекает при простое, а сохранённый черновик после открытия может потерять часть полей – у нас пропали индекс, галочка «почтовый адрес совпадает», регионы и обе галочки внизу. Сохраняйте черновик чаще и перед отправкой пройдите форму целиком ещё раз.
Мелочь: узкое поле ОГРНИП не показывает последнюю цифру – это не ошибка, проверьте, нажав в поле End.
После отправки
Портал покажет номер и ключ уведомления – сохраните их: по ним проверяется статус («Проверка состояния уведомления»). Роскомнадзор вносит сведения в реестр в течение 30 дней (ч. 4 ст. 22 152-ФЗ). Проверить себя можно и без ключа: на портале персональных данных откройте «Реестр операторов» и найдите себя по ИНН.
Закон не требует указывать номер из реестра на сайте, но в подвале и в политике он помогает: посетитель и партнёры могут сами открыть вашу запись.
Если Роскомнадзор найдёт в уведомлении неточности, он сообщит об этом – исправленные сведения подаются той же формой. Поэтому важно, чтобы уведомление совпадало с вашей политикой обработки персональных данных: регулятор сверяет одно с другим.
Как это было у нас
- 26 октября 2026, вечер – отправили уведомление через Госуслуги. Статус на портале сразу сменился на «Уведомление принято на портале».
- В тот же день – письмо от Роскомнадзора: уведомление зарегистрировано в системе документооборота, присвоен входящий номер. Это ещё не номер в реестре.
- 27 октября – приказом Роскомнадзора нас внесли в реестр операторов. Регистрационный номер – 77-26-577156.
На следующий день – быстрее, чем обычно ожидают, но рассчитывать стоит на срок по закону, до 30 дней. Запросов об уточнении сведений не было: форма совпадала с нашей политикой обработки персональных данных.
Что означает номер и что видно в реестре
Официальной расшифровки номера Роскомнадзор не публикует, но по записям реестра видно устройство. Первые цифры – код управления Роскомнадзора: у компаний и ИП из Москвы и Московской области это 77, потому что их уведомления рассматривает одно управление. Вторые – две последние цифры года внесения. Дальше – порядковый номер записи.
Карточка в реестре открыта для всех. В ней видны ваши цели обработки, категории данных и субъектов, правовые основания, описание мер защиты, регионы обработки, страна базы данных и дата начала обработки. Паспортных данных и полного адреса ИП там нет – только город и регион.
Если сведения изменятся
Уведомление описывает, как вы обрабатываете данные, а не каждый случай обработки. Пришла новая заявка или новый отзыв – сообщать ничего не нужно, если такие данные и такая цель в уведомлении уже есть. Сообщать нужно, когда описание перестаёт быть правдой: появилась новая цель (например, рассылки), в цель добавились новые данные (например, имя автора опубликованного отзыва), сменились хостинг или дата-центр, реквизиты, регионы обработки.
Срок – не позднее 15-го числа месяца, следующего за месяцем изменений; все изменения за месяц сообщаются одним уведомлением, той же формой на портале. О прекращении обработки – в течение 10 рабочих дней (ч. 7 ст. 22 152-ФЗ).
Частые вопросы
Нужна ли электронная подпись, чтобы подать уведомление?
Нет, если подавать через Госуслуги: достаточно подтверждённой учётной записи. Подпись нужна только для третьего способа – подписания формы через КриптоПро.
Что писать о хостинге, если сервер арендован?
Адрес дата-центра, где стоит сервер, с номером дома, и реквизиты организации, ответственной за хранение, – по практике это владелец дата-центра, а не обязательно ваш хостинг-провайдер. Если провайдер не говорит, в каком дата-центре сервер, – запросите заранее; долгое молчание – повод задуматься о смене провайдера.
Какую дату начала обработки указать?
Реальную – когда вы начали собирать персональные данные. Если сайт работает давно, указывайте эту дату, даже если уведомление подаёте только сейчас.
Сколько ждать внесения в реестр?
До 30 дней. Статус проверяется по номеру и ключу уведомления на портале персональных данных Роскомнадзора. Нас внесли в реестр на следующий день после подачи.
Нужно ли новое уведомление после каждого отзыва или заявки?
Нет. Уведомление описывает цели и состав данных, а не отдельные случаи. Сообщить об изменениях нужно, только если появилась новая цель, новые данные, сменились хостинг, реквизиты или регионы, – до 15-го числа следующего месяца.
На что опираемся
- Федеральный закон от 27.07.2006 № 152-ФЗ, ст. 6, 12, 18, 22, 22.1
- Приказ Роскомнадзора от 28.10.2022 № 180 (форма уведомления)
- Постановление Правительства РФ от 01.11.2012 № 1119
- Исследование 152 NORMA «Хостинг-провайдеры и 152-ФЗ» (октябрь 2026)
- Соберите документы под свою компанию – политика, отдельное согласие по 156-ФЗ и cookie-политика, реквизиты по ИНН. Политика – бесплатно. Перейти к генератору →
- Проверьте свой сайт бесплатно – найдём нарушения 152-ФЗ и покажем, какие штрафы за них грозят.
- Пришло требование Роскомнадзора или случай сложный? Опишите задачу – посмотрим и скажем, чем можем помочь.