Разбираем без юридического тумана: кто обязан уведомить Роскомнадзор, какие сроки, что писать в форме, как подать через Госуслуги, как проверить себя в реестре и что будет, если не подать.
Опубликовано · 6 мин · Арсон тех
В этом гайде
Уведомление в Роскомнадзор это не разрешение и не лицензия. Это анкета, после которой вашу компанию вносят в реестр операторов персональных данных. Реестр открытый, любой может проверить, есть вы там или нет, в том числе ваш клиент, конкурент и инспектор. На этом простота заканчивается, потому что форма длинная, часть полей непонятна без привычки, а за отсутствие записи в реестре с 2025 года штрафуют всерьёз.
Этот текст собран из вопросов, с которыми к нам приходят чаще всего. Мы разложили его на короткие статьи, каждую можно читать отдельно, ссылки в начале страницы. Здесь общая картина.
Почти все. До сентября 2022 года существовал длинный список исключений: данные сотрудников, данные по договору, однократный пропуск на территорию и так далее. Поправки убрали почти всё. Сейчас в части 2 статьи 22 закона 152-ФЗ остались три случая, когда уведомлять не нужно:
Всё остальное требует уведомления. Если у вас есть сайт с формой заявки, CRM с контактами клиентов, рассылка, бухгалтерская программа с данными сотрудников, вы оператор и должны быть в реестре. Форма собственности значения не имеет: ООО, ИП, самозанятый, некоммерческая организация, физлицо с интернет-магазином на конструкторе.
Отдельный вопрос про самозанятых мы разбираем в статье про ИП и самозанятых: там своя специфика с ИНН и адресом.
Закон говорит «до начала обработки». В жизни это означает: до запуска сайта с формой, до первого клиента в CRM, до первого сотрудника. Если обработка уже идёт годами, а уведомления нет, подавайте сейчас. Срок давности по административному нарушению здесь один год с момента, когда обязанность должна была быть исполнена, но обработка-то продолжается, и каждый день без записи в реестре это длящееся нарушение.
Есть ещё два срока, о которых забывают.
Изменение сведений. Поменяли юридический адрес, добавили новую цель обработки, переехали на другой хостинг, начали передавать данные за рубеж: уведомить нужно не позднее 15-го числа месяца, следующего за месяцем изменения. Про это у нас отдельная статья, потому что именно здесь чаще всего отстают от реальности.
Прекращение обработки. Закрыли направление или компанию: в течение 10 рабочих дней подаётся уведомление о прекращении.
Форма уведомления утверждена приказом Роскомнадзора и содержит около двадцати блоков. Четыре из них вызывают вопросы почти у всех.
Цели обработки. Пишутся не «ведение бизнеса», а конкретно: «заключение и исполнение договоров с клиентами», «обработка обращений с сайта», «ведение кадрового учёта», «продвижение услуг по согласию». Каждая цель это отдельная строка со своим набором категорий данных и правовым основанием. Мы обычно насчитываем у небольшой компании пять-семь целей.
Категории персональных данных. ФИО, контактные данные, паспортные данные, сведения об образовании и так далее. Галочки проставляются по каждой цели. Распространённая ошибка: указать «специальные категории» или «биометрию» там, где их нет, из осторожности. Это повышает требования к защите и внимание проверяющих.
Правовое основание. Для каждой цели нужна ссылка на норму: статья 6 часть 1 пункт 1 (согласие), пункт 5 (договор), Трудовой кодекс для кадрового учёта, Налоговый кодекс для бухгалтерии. Переписывать весь закон не нужно, достаточно статьи и пункта.
Сведения о месте нахождения базы данных. Тот самый пункт про «ЦОД», по которому в поиске тысячи запросов. Указывается страна и адрес размещения серверов, где физически лежат данные: хостинг, облако, офисный сервер. Если данные россиян хранятся за рубежом, это нарушение части 5 статьи 18 независимо от уведомления, так что сначала решите вопрос с локализацией, потом заполняйте форму. Мы собрали типичные формулировки в статье про заполнение формы.
Также в форме указывается ответственный за организацию обработки персональных данных с контактами, описание мер защиты по статье 18.1, сведения о трансграничной передаче, если она есть, и дата начала обработки.
Три способа.
После подачи запись появляется в реестре обычно в течение 30 дней. Статус проверяется на том же портале по ИНН. Как именно искать себя и что означают статусы, в статье про проверку в реестре.
До мая 2025 года за неподачу уведомления штрафовали по статье 19.7 КоАП как за непредставление сведений: три-пять тысяч рублей для организации. Многие считали это приемлемой ценой за отсутствие бумажной работы. Поправки изменили расклад: появилась отдельная часть 10 статьи 13.11 КоАП, и штраф для юридических лиц теперь от 100 до 300 тысяч рублей, для должностных лиц и ИП от 30 до 50 тысяч.
Важнее другое. Отсутствие в реестре это первое, что проверяет инспектор при любом обращении на вашу компанию, и первое, что видит бот Роскомнадзора при дистанционной проверке сайта. Запись в реестре не защищает от других претензий, но её отсутствие делает вас лёгкой мишенью. Полная таблица штрафов за всё, что связано с персональными данными, в статье про штрафы по 152-ФЗ в 2026 году.
Если на любом пункте возникает пауза, это нормально: именно эти пункты мы проверяем в аудите персональных данных, и уведомление в Роскомнадзор входит в него как отдельный результат. А проверить сайт на самые частые ошибки можно за минуту бесплатным сканером.
Аудит 152-ФЗ
Оставьте контакт, разберём вашу ситуацию и дадим оценку за один рабочий день.
Роскомнадзор проверяет сайты автоматически. Разбираем, что известно о системе мониторинга, какие признаки нарушений она фиксирует, чем это грозит и как проверить свой сайт теми же методами до того, как это сделает ведомство.
Как устроена проверка сайта без выезда: что смотрит инспектор и автоматические системы, какие нарушения находят чаще всего и как подготовиться, чтобы проверка закончилась ничем.
Где искать реестр операторов персональных данных, как найти себя или контрагента по ИНН, что означают статусы записи и что делать, если запись есть, но данные в ней устарели.