Если вы владелец сайта или бизнеса в России и собираете любые данные пользователей (от имени и почты до номера телефона), вы обязаны сообщить об этом государству. Процедура называется «уведомление Роскомнадзора о начале обработки персональных данных», и её нарушение грозит серьёзными штрафами. В этой инструкции разберём, как подать уведомление в Роскомнадзор, кто должен это делать, какие документы нужны и что будет, если этого не сделать.
Кто обязан подавать уведомление
Операторы персональных данных
По закону 152-ФЗ «О персональных данных» (от 27.07.2006), оператором признаётся любой, кто самостоятельно организует сбор и обработку данных физических лиц. Это может быть:
- Интернет-магазин, собирающий ФИО, адрес доставки и телефон покупателя.
- Салон красоты, записывающий клиентов в CRM.
- Онлайн-школа, хранящая данные учеников.
- Бухгалтерская фирма, обрабатывающая зарплатные ведомости сотрудников.
Исключения: когда уведомление не нужно
Уведомление не требуется, если обработка данных происходит:
- В рамках трудового законодательства (данные сотрудников для кадрового учёта).
- Исключительно для личных или семейных нужд (например, вы ведёте записную книжку родственников).
- Без использования средств автоматизации (бумажная картотека без доступа третьих лиц) — но на практике это редкость.
Во всех остальных случаях подача уведомления обязательна.
Какие данные нужно указать в уведомлении
Форма уведомления утверждена приказом РКН от 28.10.2022 № 180. Она включает следующие блоки:
Информация об операторе
- Полное наименование юридического лица или ФИО индивидуального предпринимателя.
- Юридический адрес и фактический адрес местонахождения.
- ИНН, ОГРН (для юрлиц) или паспортные данные (для ИП).
Цели обработки
Чётко сформулируйте, зачем вы собираете данные. Например:
- «Для оформления заказа в интернет-магазине».
- «Для ведения кадрового учёта сотрудников».
- «Для рассылки информационных материалов с согласия подписчика».
Не пишите общих фраз вроде «для улучшения сервиса» — Роскомнадзор может запросить уточнение.
Категории субъектов
Кто именно те люди, чьи данные вы обрабатываете? Варианты:
- Клиенты (покупатели, заказчики).
- Сотрудники (если обработка выходит за рамки трудового законодательства).
- Подписчики (пользователи, оставившие контакты на сайте).
- Контрагенты (физические лица — партнёры по договорам).
Перечень собираемых данных
Укажите конкретные типы данных:
- ФИО, дата рождения, пол.
- Контактные данные (телефон, email, адрес).
- Паспортные данные (если собираете).
- Данные о местоположении (IP-адрес, cookie — с мая 2025 года признаны персональными данными решением Таганского суда Москвы).
- Биометрические данные (отпечатки пальцев, фото — требуют отдельного письменного согласия по ст. 11 152-ФЗ).
Способы сбора и обработки
- Через формы на сайте (регистрация, заказ, подписка).
- Через мобильное приложение.
- Вручную при личном обращении.
- Через API сторонних сервисов (например, CRM или платёжные системы).
Сроки обработки
Укажите, как долго вы храните данные:
- До достижения цели (например, до выполнения заказа).
- В течение срока договора с клиентом.
- Постоянно (если данные нужны для бухгалтерской отчётности — 3 года, согласно приказу Росархива № 236).
- После отзыва согласия — уничтожение в течение 30 дней (ст. 21 152-ФЗ, с возможностью продления на 5 рабочих дней при мотивированном уведомлении).
Меры защиты данных
Кратко опишите, какие меры принимаете:
- Шифрование каналов связи (HTTPS).
- Антивирусная защита серверов.
- Ограничение доступа к базам данных (пароли, роли).
- Физическая охрана серверных помещений (если данные хранятся локально).
Пошаговая инструкция: как подать уведомление в Роскомнадзор
Шаг 1. Подготовьте документы
Вам понадобятся:
- Свидетельство о регистрации юрлица (ОГРН) или ИП.
- Устав (для юрлиц) — если планируете указывать дополнительные виды деятельности.
- Документ, подтверждающий полномочия лица, подписывающего уведомление (приказ о назначении директора или доверенность).
- Список всех сайтов и приложений, через которые собираете данные.
Шаг 2. Заполните форму на портале РКН
Уведомление подаётся через личный кабинет на портале pd.rkn.gov.ru или через Госуслуги (раздел «Подача уведомления об обработке персональных данных»). Форма состоит из нескольких разделов:
- Данные оператора (заполняются один раз, потом можно редактировать).
- Цели и категории обработки (для каждой цели — отдельная запись).
- Способы сбора и меры защиты.
Шаг 3. Подпишите и отправьте
Электронная подпись (КЭП) не обязательна для физических лиц и ИП — можно подписать простой электронной подписью (логин/пароль от Госуслуг). Для юрлиц рекомендуется использовать усиленную квалифицированную подпись (КЭП), но форма допускает и подпись через СМС-код.
После отправки система выдаёт номер уведомления. Сохраните его — он понадобится для подтверждения.
Шаг 4. Дождитесь регистрации
Роскомнадзор рассматривает уведомление в течение 30 дней. Если всё заполнено верно, данные вносятся в реестр операторов. Если есть ошибки или неполные сведения, приходит запрос на уточнение — на ответ даётся 30 дней.
Что делать, если данные изменились
Изменение реквизитов оператора
Если вы сменили юридический адрес, название или ИНН, нужно подать уточняющее уведомление в течение 15 рабочих дней с момента изменения. Форма та же, что и для первичного уведомления, но в разделе «Тип уведомления» выберите «Изменение сведений».
Добавление новых целей обработки
Если вы начали собирать данные для новой цели (например, добавили рассылку новостей), подайте отдельное уведомление по этой цели. Не нужно переписывать старые — просто добавьте новую запись.
Прекращение обработки
Если вы больше не собираете данные (закрыли сайт, прекратили деятельность), подайте уведомление о прекращении обработки. Данные должны быть уничтожены в течение 30 дней после отзыва согласия (ст. 21 152-ФЗ).
Ответственность за неподачу уведомления
Штрафы по КоАП
Статья 13.11 КоАП содержит несколько частей, каждая из которых предусматривает штраф за разные нарушения. Размеры штрафов существенно выросли к 2024–2025 годам, поэтому уточняйте актуальный размер на момент обращения. Важно: за сам факт неподачи уведомления или подачу недостоверных сведений штраф может доходить до значительной суммы [ПРОВЕРИТЬ: актуальный размер штрафа по ч. 1 ст. 13.11 КоАП на 2026 год].
Уголовная ответственность
В особо тяжких случаях (систематическое нарушение, крупный масштаб) возможна уголовная ответственность по ст. 272.1 УК (действует с 11.12.2024) — незаконное использование/передача/сбор/хранение компьютерной информации с ПДн, полученной незаконным путём. Наказание: штраф до 300 000 ₽, принудительные работы или лишение свободы до 4 лет (ч. 1).
Риски для бизнеса
- Блокировка сайта по требованию Роскомнадзора.
- Судебные иски от пользователей за незаконный сбор данных.
- Репутационные потери: информация о нарушении публикуется в реестре РКН.
Частые ошибки при подаче
Неполный перечень данных
Многие указывают только «ФИО и телефон», хотя на сайте собирают ещё и адрес доставки, и историю заказов. Роскомнадзор может запросить уточнение, а если выяснится, что данные собираются без уведомления — штраф.
Неверный выбор категории субъектов
Если вы обрабатываете данные и клиентов, и сотрудников, нужно указывать обе категории. Нельзя ограничиться только «клиентами», если в CRM есть данные работников.
Отсутствие информации о трансграничной передаче
Если вы используете зарубежные облачные сервисы (Google Analytics, Amazon AWS, европейские CRM), данные могут передаваться за границу. Перечень стран с «адекватной защитой ПДн» (приказ РКН № 128 от 05.08.2022) включает в основном страны СНГ, Азии и Африки (Беларусь, Казахстан, Киргизия, Китай, Индия, Австралия, Канада, Южная Корея и т.д.). Западные страны (США, страны ЕС) в этот список не входят, поэтому передача данных туда требует отдельного согласия и уведомления РКН.
Игнорирование cookie
С мая 2025 года cookie признаны персональными данными. Если ваш сайт использует cookie для аналитики или рекламы, это должно быть отражено в уведомлении. Единой прямой нормы про формат cookie-баннера в 152-ФЗ нет, но для чувствительных случаев (передача данных рекламным партнёрам) рекомендуется активное согласие (галочка), а не молчаливое.
Как проверить, что уведомление подано правильно
Проверка в реестре операторов
После регистрации ваше уведомление появляется в открытом реестре на сайте РКН (pd.rkn.gov.ru). Вы можете найти себя по ИНН или названию. Если данные не отображаются — уведомление не прошло регистрацию.
Получение подтверждения
После успешной регистрации на email, указанный в уведомлении, приходит письмо с номером записи в реестре. Сохраните его.
Аудит сайта
Рекомендуется раз в год проверять, соответствует ли ваше уведомление реальной практике. Например, если вы добавили новый способ сбора данных (чат-бот на сайте, форма обратной связи), нужно обновить уведомление.
Резюме
Подача уведомления в Роскомнадзор — обязательная процедура для любого бизнеса, собирающего данные пользователей в России. Как подать уведомление в Роскомнадзор, мы разобрали по шагам: подготовить документы, заполнить форму на pd.rkn.gov.ru или Госуслугах, подписать и дождаться регистрации в течение 30 дней. Не забывайте обновлять данные при изменениях и следить за актуальными штрафами — они регулярно растут. Если сомневаетесь в правильности заполнения, лучше проконсультироваться со специалистом или использовать автоматизированные сервисы проверки сайтов на соответствие 152-ФЗ.