Регистрация оператора персональных данных: кому обязательно и как это сделать

Коротко: Уведомить Роскомнадзор нужно почти всем, кто собирает данные клиентов, сотрудников или посетителей сайта, – до начала обработки. Исключения из ст. 22 152-ФЗ редки и не отменяют обязанности получать согласия и обеспечивать безопасность данных.

Если ваш сайт собирает любые данные посетителей – от имени и телефона в форме обратной связи до email для рассылки – вы уже становитесь оператором персональных данных. И закон требует, чтобы вы уведомили об этом Роскомнадзор. Регистрация оператора персональных данных – это обязательная процедура для большинства бизнесов в России. Разберемся, кому она нужна, кто может её избежать и как всё оформить правильно.

Кто считается оператором персональных данных по 152-ФЗ

Оператор – это любое лицо (организация или ИП), которое самостоятельно или совместно с другими организует обработку персональных данных и определяет, для чего это делается и как. Если вы собираете данные клиентов, сотрудников, подрядчиков или посетителей сайта – вы оператор. Неважно, храните вы данные в облачном сервисе, на собственном сервере или в бумажной картотеке.

Основные признаки оператора

• Вы сами решаете, какие данные собирать и зачем
• Вы определяете, как долго их хранить
• Вы выбираете, кому передавать данные (бухгалтерия, служба доставки, CRM-система)
• Вы отвечаете за безопасность этих данных

Даже если вы используете готовый сервис для сбора заявок (например, форму на сайте или CRM), вы всё равно остаётесь оператором – именно вы определяете цель сбора.

Кому обязательно уведомлять Роскомнадзор

Уведомление о начале обработки персональных данных подаётся в большинстве случаев. Закон (ст. 22 152-ФЗ) требует это сделать до начала обработки. Но есть исключения – о них ниже.

Кто обязан подать уведомление

• Все компании с сотрудниками – обработка данных работников (трудовые договоры, кадровый учёт, зарплата)
• Интернет-магазины и сервисы – сбор данных покупателей (имя, телефон, адрес доставки)
• Сайты с формами обратной связи – даже одна форма «Заказать звонок» делает вас оператором
• Медицинские и образовательные учреждения – обработка специальных категорий данных
• Банки, страховые компании, операторы связи – обработка данных клиентов по закону
• Любой бизнес, собирающий данные клиентов – от салона красоты до автомастерской

Кто может не уведомлять (исключения из ст. 22)

Закон предусматривает случаи, когда уведомление не требуется. Но важно: даже если вы не обязаны уведомлять, вы всё равно обязаны соблюдать все требования 152-ФЗ – получать согласие, обеспечивать безопасность, уничтожать данные по требованию.

Исключения – их всего три:

• Данные, обрабатываемые без использования средств автоматизации – полностью бумажные картотеки (но это редкость для сайтов)
• Данные, обрабатываемые в государственных информационных системах – например, данные для госуслуг, когда обработка ведётся в целях защиты безопасности государства и общественного порядка
• Данные, обрабатываемые в целях транспортной безопасности

Важно: если вы используете сайт для сбора данных, вы почти наверняка не попадаете под исключение: сайт – это автоматизированная обработка, а не государственная информационная система и не транспортная безопасность. Если вы делаете рассылки, анализируете поведение посетителей или храните данные «на всякий случай» – уведомление обязательно.

Как подать уведомление: пошаговая инструкция

Процесс подачи уведомления о начале обработки персональных данных регулируется приказом Роскомнадзора от 28.10.2022 № 180. Рассмотрение занимает до 30 дней.

Шаг 1. Подготовьте информацию для уведомления

Вам понадобятся:

• Полное наименование организации или ФИО ИП
• Юридический и фактический адрес
• ИНН, ОГРН/ОГРНИП
• Сведения о представителе (если подаёте через представителя)
• Цели обработки персональных данных – чётко сформулируйте, зачем вы собираете данные (например: «для оформления заказов в интернет-магазине», «для кадрового учёта», «для маркетинговых рассылок»)
• Категории данных – какие именно данные собираете (ФИО, телефон, email, адрес, паспортные данные, данные о здоровье и т.д.)
• Категории субъектов – чьи данные обрабатываете (клиенты, сотрудники, посетители сайта, подрядчики)
• Правовое основание обработки – на каком основании (согласие, договор, закон)
• Сроки обработки и хранения – как долго храните данные
• Сведения о мерах защиты – какие меры принимаете для безопасности данных (антивирусы, шифрование, разграничение доступа)
• Сведения о трансграничной передаче – передаёте ли данные за рубеж (например, если используете зарубежные сервисы)
• Ответственный за организацию обработки – ФИО (или наименование) и контакты (п. 7.1 ч. 3 ст. 22)
• Место нахождения базы данных с персональными данными граждан РФ (п. 10.1 ч. 3 ст. 22)
• Сведения о шифровальных (криптографических) средствах, если они есть (п. 7)
• Дата начала обработки и срок или условие её прекращения (пп. 8–9)

Шаг 2. Заполните форму уведомления

Форма утверждена приказом РКН № 180. Заполнить можно:

• Через портал pd.rkn.gov.ru – официальный сайт Роскомнадзора для подачи уведомлений
• Через Госуслуги – для юридических лиц и ИП с электронной подписью
• На бумаге – лично в территориальный орган РКН или почтой

Электронная форма удобнее – она проверяет обязательные поля и сразу показывает ошибки.

Шаг 3. Подпишите и отправьте

Если подаёте электронно – нужна усиленная квалифицированная электронная подпись (УКЭП). Если на бумаге – подпись руководителя и печать (при наличии).

Шаг 4. Дождитесь ответа

Роскомнадзор рассматривает уведомление до 30 дней и вносит сведения в реестр операторов персональных данных; запись видна всем. «Регистрации» как разрешения закон не предусматривает: порядок уведомительный, важно направить уведомление до начала обработки, а не ждать внесения в реестр.

Что будет, если не зарегистрироваться

Игнорирование обязанности по уведомлению – это административное правонарушение. Ответственность наступает по ст. 13.11 КоАП РФ.

Штрафы за нарушения в сфере персональных данных существенно выросли к 2024-2025 годам. Штраф за неподачу уведомления – от 100 до 300 тысяч рублей для организаций и ИП (ч. 10 ст. 13.11 КоАП); для должностных лиц государственных органов и некоммерческих организаций – от 30 до 50 тысяч.

Кроме штрафа, есть риски:

• Внеплановая проверка РКН – если узнают о нарушении
• Гражданские иски – от пострадавших субъектов данных

Когда нужно обновлять сведения в реестре

Регистрация оператора персональных данных – не разовое действие. Вы обязаны уведомлять РКН об изменениях:

• Смена наименования или адреса – не позднее 15-го числа месяца, следующего за месяцем, в котором произошли изменения
• Смена целей обработки – если начали собирать данные для новых целей
• Изменение мер защиты – если существенно изменили систему безопасности
• Изменение места нахождения – если переехали
• Прекращение обработки – в течение 10 рабочих дней, если больше не собираете данные (например, закрыли сайт)

Частые ошибки при регистрации

Ошибка 1: Считать, что уведомление не нужно, если сайт маленький

Размер бизнеса не имеет значения. Если вы собираете хотя бы имя и телефон – вы оператор. Исключения из ст. 22 работают только в строго определённых случаях.

Ошибка 2: Путать уведомление с согласием

Уведомление – это сообщение РКН о том, что вы начинаете обработку. Согласие – это одно из оснований обработки данных, которое даёт человек. Уведомление нужно почти всегда; согласие – когда нет другого основания (договора, закона).

Ошибка 3: Не указывать все цели обработки

Если вы указали только «оформление заказов», а потом начали делать рассылки – это нарушение. Лучше указать все реальные цели сразу, даже если пока только планируете.

Ошибка 4: Не обновлять данные после изменений

Переехали в новый офис или сменили название – сообщите в РКН. Иначе данные в реестре будут неактуальными, что тоже нарушение.

Что делать после регистрации

Регистрация – только первый шаг. Дальше нужно:

1. Разработать политику обработки персональных данных – документ, который вы публикуете на сайте
2. Определить основание для каждой цели обработки – согласие (ст. 9 152-ФЗ), договор, закон
3. Назначить ответственного за обработку – внутри компании
4. Обеспечить безопасность – технические и организационные меры
5. Уничтожать данные в срок – после отзыва согласия 30 дней (ч. 5 ст. 21 152-ФЗ), по требованию уничтожить ненужные или незаконно полученные данные – 7 рабочих дней (ч. 3 ст. 20)
6. Уведомлять об утечках – 24 часа на первичное уведомление, 72 часа на детальное (приказ РКН № 187)

Особенности для сайтов и интернет-бизнеса

Если у вас сайт – вы почти наверняка обязаны уведомить РКН. Даже если вы используете готовую CRM или форму от конструктора сайтов.

Что считается сбором данных на сайте

• Формы обратной связи (имя, телефон, email)
• Формы заказа (адрес доставки, платёжные данные)
• Регистрация пользователей (логин, пароль, email)
• Подписка на рассылку (email)
• Cookie-файлы – если по ним можно определить посетителя (п. 1 ст. 3 152-ФЗ)
• Аналитические системы (Яндекс.Метрика, Google Analytics) – если передаёте данные

Что делать с cookie

За обработку данных без законного основания, в том числе без согласия там, где оно нужно, организации грозит штраф 150–300 тысяч рублей, ИП – 50–100 тысяч (ч. 1 ст. 13.11 КоАП), за повторное нарушение организации – до 500 тысяч. Единой нормы про формат cookie-баннера в 152-ФЗ нет, но практика формируется. Для чувствительных случаев (передача данных рекламным партнёрам) рекомендуется активное согласие (галочка), а не молчаливое.

Главное

Регистрация оператора персональных данных – обязательная процедура для большинства владельцев сайтов и бизнеса в России. Если вы собираете любые данные посетителей, клиентов или сотрудников – уведомите Роскомнадзор до начала обработки. Исключения редки и строго ограничены законом. Процедура несложная: заполните форму на pd.rkn.gov.ru или через Госуслуги, дождитесь внесения сведений в реестр. После уведомления не забывайте обновлять данные при изменениях и соблюдать все требования 152-ФЗ – получать согласия, обеспечивать безопасность и уничтожать данные по требованию. Штрафы за нарушения существенны, а репутационные риски – ещё серьёзнее. Не откладывайте регистрацию: это базовый шаг к законной работе с данными в России.

Частые вопросы

На что опираемся

• 152-ФЗ «О персональных данных» – ст. 22 (уведомление Роскомнадзора о начале обработки)
• КоАП РФ – ст. 13.11 (ответственность за нарушения в сфере персональных данных)
• Приказ Роскомнадзора от 28.10.2022 № 180 (форма уведомления о начале обработки)
• Приказ РКН № 187 (уведомление об утечках)

Что сделать дальше

1. Проверьте свой сайт бесплатно – найдём нарушения 152-ФЗ и покажем, какие штрафы за них грозят.
   Проверить бесплатно
2. Соберите документы под свою компанию – политика, отдельное согласие по 156-ФЗ и cookie-политика, реквизиты по ИНН. Политика – бесплатно. Перейти к генератору →
3. Пришло требование Роскомнадзора или случай сложный? Опишите задачу – посмотрим и скажем, чем можем помочь.