Если вы владелец сайта или бизнеса в России, вы почти наверняка имеете отношение к персональным данным. Любая форма обратной связи, подписка на рассылку, корзина в интернет-магазине, а иногда даже простой счётчик посещений — это обработка персональных данных. И зачастую закон требует, чтобы ваш бизнес был включён в реестр операторов персональных данных. Многие узнают об этом только после получения предписания от Роскомнадзора или судебного иска. В этой статье разберём, что такое реестр операторов персональных данных, кому в нём нужно быть, как проверить своё присутствие и что делать, если вас там нет.
Что такое реестр операторов персональных данных
Реестр операторов персональных данных — это государственная информационная система, которую ведёт Роскомнадзор. В неё вносятся сведения о юридических лицах и индивидуальных предпринимателях, которые обрабатывают персональные данные граждан. Простыми словами, это база данных всех, кто законно работает с чужой личной информацией на территории России.
Правовая основа
Порядок ведения реестра регулируется статьёй 22 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных». Именно эта статья обязывает операторов уведомлять Роскомнадзор о начале обработки данных. Сведения из реестра являются открытыми и общедоступными, за исключением информации, составляющей государственную тайну. Это значит, что любой желающий может проверить, есть ли компания в реестре операторов персональных данных.
Кто попадает в реестр
В реестр операторов персональных данных попадают не все подряд. Закон предусматривает ряд исключений, когда обработка данных не требует включения в реестр. Например, если вы обрабатываете данные только своих сотрудников, не передаёте их третьим лицам и не используете для распространения в интернете, уведомление может не потребоваться. Однако на практике большинство сайтов с формами сбора данных (заявки, регистрация, обратный звонок) подпадают под обязательное уведомление.
Как проверить, есть ли вы в реестре операторов персональных данных
Проверка наличия в реестре операторов персональных данных — процедура простая, но требующая внимательности. Рассмотрим пошагово, как это сделать.
Шаг 1. Переход на официальный портал
Зайдите на официальный сайт Роскомнадзора (rkn.gov.ru) или на специализированный портал pd.rkn.gov.ru. В разделе «Реестр операторов, осуществляющих обработку персональных данных» есть поисковая форма. Она открыта для всех, никакой авторизации не требуется.
Шаг 2. Поиск по реестру
В поисковой строке можно ввести ИНН, ОГРН или наименование организации, а для ИП — ФИО и ИНН. Система выдаст список совпадений. Важно понимать: если вы ввели ИНН и получили пустой результат, это ещё не значит, что вас точно нет в реестре операторов персональных данных. Возможна техническая ошибка или неверно указанные данные при подаче уведомления.
Шаг 3. Анализ результатов
Если вы нашли себя в реестре — отлично. Обратите внимание на номер записи и дату её внесения. Если записи нет, но вы уверены, что должны быть, — читайте следующий раздел.
Кому нужно быть в реестре, а кому — нет
Прежде чем паниковать из-за отсутствия в реестре операторов персональных данных, разберитесь, обязаны ли вы вообще туда попадать.
Кто обязан уведомлять РКН
Уведомление о начале обработки персональных данных обязаны подавать операторы — те, кто самостоятельно или совместно с другими лицами организует обработку данных. Это касается:
- интернет-магазинов и сайтов с формами заявок;
- компаний, ведущих CRM-системы с данными клиентов;
- организаций, которые собирают данные для маркетинговых исследований;
- всех, кто передаёт данные третьим лицам (например, в банки, страховые, курьерские службы).
Если ваша деятельность подпадает хотя бы под один из этих пунктов, вам нужно быть в реестре операторов персональных данных.
Исключения из правил
Статья 22 152-ФЗ предусматривает случаи, когда уведомление не требуется. Вот основные из них:
- обработка данных только сотрудников (при этом данные не передаются третьим лицам и не публикуются в открытых источниках);
- обработка данных без использования средств автоматизации (например, на бумажных носителях);
- обработка данных, если оператор является государственным органом или муниципальным учреждением (для них действует отдельный порядок);
- обработка данных, полученных в рамках гражданско-правовых договоров с субъектами данных (но здесь есть нюансы — если вы собираете данные через сайт, это уже не подпадает под исключение).
Важный нюанс: даже если вы подпадаете под исключение, но передаёте данные третьим лицам (например, пользуетесь услугами облачной CRM или сервиса рассылок), уведомление подавать всё равно нужно.
Что будет, если вас нет в реестре, а должен быть
Отсутствие в реестре операторов персональных данных при наличии обязанности уведомить Роскомнадзор — это административное правонарушение. Ответственность наступает по статье 13.11 КоАП РФ. Штрафы за это нарушение существенно выросли в 2024–2025 годах, поэтому лучше не рисковать.
Штрафы и ответственность
Точные размеры штрафов лучше уточнять на момент обращения, поскольку они периодически меняются. [ПРОВЕРИТЬ: актуальные размеры штрафов по ч. 1 ст. 13.11 КоАП РФ на текущую дату]. Но можно сказать уверенно: для юридических лиц это десятки тысяч рублей, а при повторном нарушении — значительно больше. Кроме того, Роскомнадзор может вынести предписание об устранении нарушения, и за его неисполнение последует ещё один штраф.
Риски для бизнеса
Помимо штрафов, отсутствие в реестре операторов персональных данных создаёт репутационные риски. Контрагенты и клиенты могут проверить вашу компанию через открытые данные реестра. Если вас там нет, это может вызвать вопросы о вашей благонадёжности. Банки и крупные заказчики при проверке контрагентов также обращают внимание на этот момент.
Как попасть в реестр операторов персональных данных
Если вы обнаружили, что вас нет в реестре, действовать нужно незамедлительно. Процедура внесения в реестр операторов персональных данных занимает до 30 дней с момента подачи уведомления.
Подача уведомления
Уведомление о начале обработки персональных данных подаётся в территориальный орган Роскомнадзора по месту нахождения организации или ИП. Сделать это можно тремя способами:
- через портал «Госуслуги»;
- через сайт Роскомнадзора (pd.rkn.gov.ru);
- лично или почтой в бумажном виде.
Форма уведомления утверждена приказом РКН от 28.10.2022 № 180. В ней нужно указать:
- наименование оператора и его реквизиты;
- правовое основание обработки данных (обычно это ссылка на договор или согласие);
- категории обрабатываемых данных;
- перечень действий с данными;
- сведения о трансграничной передаче (если есть);
- информацию о мерах по обеспечению безопасности данных.
Сроки и результат
Роскомнадзор рассматривает уведомление в течение 30 дней. По итогам рассмотрения оператор вносится в реестр операторов персональных данных, а заявитель получает уведомление о внесении записи. С этого момента вы официально считаетесь оператором, и ваша деятельность по обработке данных становится законной.
Частые ошибки при проверке реестра
Даже если вы уверены, что подавали уведомление, при проверке реестра операторов персональных данных можно столкнуться с неожиданностями. Разберём типичные ошибки.
Ошибка в реквизитах
Часто бывает, что при подаче уведомления допустили опечатку в ИНН или наименовании. В результате поиск по реестру не находит компанию, хотя запись в реестре есть. Поэтому проверяйте не только по ИНН, но и по ОГРН, и по точному наименованию.
Смена юридического адреса
Если вы меняли юридический адрес и не уведомили РКН об изменениях, запись в реестре может быть привязана к старому адресу. При поиске по новому адресу вы не найдёте себя. В этом случае нужно подать заявление об актуализации сведений.
Реорганизация или смена формы
При реорганизации (слиянии, присоединении, преобразовании) юридического лица запись в реестре операторов персональных данных аннулируется, и нужно подавать новое уведомление. Многие об этом забывают и потом удивляются, почему их нет в реестре.
Как правильно читать выписку из реестра
Если вы нашли себя в реестре операторов персональных данных, полезно уметь читать выписку. В ней содержатся следующие сведения:
- регистрационный номер записи;
- дата внесения записи;
- полное и сокращённое наименование оператора;
- адрес местонахождения;
- категории обрабатываемых данных;
- правовые основания обработки;
- сведения о трансграничной передаче.
Обратите внимание на категории данных. Если вы обрабатываете специальные категории (состояние здоровья, национальность, религиозные убеждения) или биометрию, это должно быть отражено в реестре. Если нет — есть повод задуматься о корректности поданного уведомления.
Что делать, если вы не нашли себя в реестре
Итак, вы проверили реестр операторов персональных данных и не нашли себя. Что дальше?
Вариант 1. Вы обязаны быть в реестре
Если ваша деятельность подпадает под обязательное уведомление, а вас в реестре нет — срочно подавайте уведомление. Лучше сделать это добровольно, чем дождаться предписания. При этом стоит помнить: если вы уже начали обработку данных без уведомления, это не освобождает от ответственности, но добровольное устранение нарушения может смягчить наказание.
Вариант 2. Вы подпадаете под исключение
Если вы уверены, что подпадаете под исключения из статьи 22 152-ФЗ, то отсутствие в реестре операторов персональных данных для вас — норма. Но будьте готовы документально подтвердить, что вы не передаёте данные третьим лицам и не используете средства автоматизации. В противном случае при проверке РКН может признать вашу позицию необоснованной.
Вариант 3. Вы не уверены
Если вы сомневаетесь, нужно ли вам быть в реестре, лучше проконсультироваться с юристом или подать уведомление «на всякий случай». Лишним оно не будет, а вот его отсутствие может создать проблемы. Тем более что процедура внесения в реестр операторов персональных данных бесплатна.
Практические советы по работе с реестром
Чтобы не попасть в неприятную ситуацию, возьмите за правило регулярно проверять реестр операторов персональных данных. Вот несколько практических рекомендаций.
Регулярная актуализация
Закон обязывает оператора обновлять сведения в реестре при изменении наименования, адреса, категорий обрабатываемых данных. За непредоставление актуальных сведений предусмотрена ответственность. Поэтому заведите себе правило: раз в полгода проверяйте свою запись в реестре.
Хранение документов
Даже если вы есть в реестре операторов персональных данных, храните копии поданных уведомлений и документы, подтверждающие отправку. Это поможет при проверках и спорных ситуациях. Помните, что согласие на обработку данных как документ хранится 3 года с момента истечения или отзыва (перечень, приказ Росархива № 236).
Работа с подрядчиками
Если вы пользуетесь услугами сторонних сервисов (CRM, сервисы рассылок, облачные хранилища), убедитесь, что они тоже есть в реестре операторов персональных данных. Передача данных лицам, не включённым в реестр, — это нарушение, которое может привести к штрафам.
Часто задаваемые вопросы о реестре
Можно ли удалить запись из реестра?
Да, оператор вправе подать заявление о прекращении обработки данных и исключении записи из реестра операторов персональных данных. Это актуально, если вы закрываете бизнес или прекращаете обработку данных. Но помните: пока вы продолжаете обрабатывать данные, запись должна оставаться в реестре.
Как быстро вносят в реестр?
Срок внесения записи в реестр операторов персональных данных — до 30 дней с момента подачи уведомления. На практике это обычно происходит быстрее — за 5–10 рабочих дней.
Что делать, если данные в реестре устарели?
Подайте заявление об актуализации сведений в Роскомнадзор. Сделать это можно через тот же портал pd.rkn.gov.ru. В заявлении укажите новые данные и приложите подтверждающие документы.
Заключение
Проверка реестра операторов персональных данных — это не разовая акция, а часть регулярной работы по соблюдению законодательства. Даже если вы уверены, что всё сделали правильно, лучше перепроверить. Отсутствие в реестре операторов персональных данных при наличии обязанности уведомить РКН — это не просто формальность, а реальный риск штрафов и проблем с контрагентами.
Возьмите за привычку раз в несколько месяцев заходить на сайт Роскомнадзора и проверять свою запись. Это займёт пять минут, но может уберечь от серьёзных последствий. Если вы обнаружили, что вас нет в реестре операторов персональных данных, — не откладывайте подачу уведомления в долгий ящик. Чем быстрее вы это сделаете, тем быстрее ваша деятельность по обработке данных станет полностью законной.