Нужно ли подавать уведомление в Роскомнадзор об обработке персональных данных

Коротко

По общему правилу — да. Оператор персональных данных обязан уведомить Роскомнадзор о намерении обрабатывать данные до начала обработки (ч. 1 ст. 22 152-ФЗ). Оператор (п. 2 ст. 3 152-ФЗ) — тот, кто организует или ведёт обработку: и организация, и индивидуальный предприниматель, с работниками и без них.

Исключений из этой обязанности осталось три. Довод «у нас только сотрудники, уведомлять не надо» не работает: исключение для данных работников отменено в 2022 году.

Из трёх оставшихся оснований большинству компаний стоит прежде всего проверить одно: обработку полностью без использования средств автоматизации, то есть без компьютера и любых информационных систем. Два других — специальные случаи. Эта статья не выносит вердикт по конкретной компании: подходит ли исключение вам, показывает фактическая модель вашей обработки.

Кто обязан подавать уведомление

Обязанность возникает от факта обработки персональных данных, а не от размера компании или её организационной формы. Закон формулирует её в ч. 1 ст. 22 152-ФЗ: оператор до начала обработки обязан уведомить уполномоченный орган по защите прав субъектов персональных данных — это Роскомнадзор — о своём намерении обрабатывать данные, если не подходит одно из исключений из ч. 2 той же статьи.

Оператор — по определению п. 2 ст. 3 152-ФЗ государственный или муниципальный орган, юридическое или физическое лицо, которое само или совместно с другими лицами организует и (или) осуществляет обработку персональных данных, а также определяет цели обработки, состав данных и действия с ними. Обработка — это собирать, записывать, хранить, использовать, передавать сведения о людях. Такие сведения появляются в обычной работе почти любого бизнеса:

  • заявки и обращения с сайта, формы обратной связи, заказы обратного звонка;
  • список клиентов в CRM, таблице или мессенджере;
  • кадровые документы и данные для расчёта зарплаты;
  • резюме, которые кандидаты присылают на почту;
  • договоры с физическими лицами — подрядчиками и исполнителями.

Если вы сами определяете, зачем и какие такие сведения обрабатывать, вы оператор. Отсутствие уведомления в этом случае — ситуация, которую нужно разобрать, а не оставлять как есть. Отдельный случай — исполнитель, который обрабатывает данные для другой компании по её заданию: кто из сторон оператор, зависит от того, кто определяет цели и состав данных.

Обязан ли подавать уведомление ИП, в том числе без сотрудников

Индивидуальный предприниматель — такой же оператор, как организация. Статья 22 не делает для предпринимателей отдельного исключения: обязанность определяется тем, обрабатываете ли вы персональные данные, а не тем, есть ли у вас штат.

ИП без сотрудников, который ведёт список клиентов, принимает заявки с сайта или хранит копии договоров с физическими лицами, персональные данные обрабатывает. ИП с работниками обрабатывает ещё и данные работников.

Предприниматель, который действительно не работает ни с какими сведениями о людях, вопроса об уведомлении не имеет. Но проверять это стоит по фактам: где лежат контакты покупателей, куда приходят заявки, что хранится в переписке и в облачных сервисах. Про размер штрафа для ИП — в разделе об ответственности: положение предпринимателя там отличается от положения гражданина.

Какие исключения остались после 2022 года

В ч. 2 ст. 22 перечислены случаи, когда оператор вправе обрабатывать данные без уведомления. Федеральный закон от 14.07.2022 № 266-ФЗ отменил в этой части пункты 1–6.

Среди отменённых был пункт 1. В редакции, действовавшей до 01.09.2022, он разрешал обработку без уведомления данных, «относящихся к субъектам персональных данных, которых связывают с оператором трудовые отношения». Отсюда и пошло убеждение «у нас только сотрудники, значит, уведомлять не надо». В старых статьях и справочниках оно ещё встречается, но по Федеральному закону от 14.07.2022 № 266-ФЗ этот пункт утратил силу с 01.09.2022: сам по себе кадровый учёт от уведомления не освобождает.

Осталось три основания. Оператор вправе обрабатывать данные без уведомления, если они:

  • включены в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка (п. 7);
  • обрабатываются исключительно без использования средств автоматизации — оператор осуществляет такую деятельность полностью без них (п. 8);
  • обрабатываются в случаях, предусмотренных законодательством о транспортной безопасности (п. 9).

Пункты 7 и 9 адресованы специальным случаям — государственным системам безопасности и транспортной безопасности. Большинству компаний стоит прежде всего проверить пункт 8: он работает, только если обработка ведётся полностью без средств автоматизации.

Пункт 8 требует, чтобы вся деятельность по обработке персональных данных шла без использования средств автоматизации. Например, бумажные анкеты, журналы и карточки, данные из которых не вносятся в компьютер. Если данные попадают в электронную таблицу, CRM, программу учёта, почту, форму на сайте или мессенджер, это, как правило, признак автоматизированной обработки и исключение п. 8 не подходит. Это наше прочтение нормы, а не цитата закона; окончательно вопрос решает фактическая модель обработки.

Подходит ли пункт 8 конкретной компании, определяется тем, как обработка устроена на самом деле, а не желанием не подавать уведомление.

Как подать уведомление: что указать и что происходит после подачи

Состав сведений задан самим законом (ч. 3 ст. 22 152-ФЗ), а не только формой на портале. Уведомление направляется на бумажном носителе или в виде электронного документа и подписывается уполномоченным лицом. Форму уведомления и порядок его электронной подачи смотрите на сайте Роскомнадзора: здесь мы порядок подачи и интерфейс не описываем.

В уведомлении указывают:

  • наименование организации или ФИО предпринимателя и адрес оператора;
  • цель обработки персональных данных;
  • описание мер, предусмотренных ст. 18.1 и 19 152-ФЗ, в том числе сведения о наличии шифровальных (криптографических) средств и их наименования;
  • лицо, ответственное за организацию обработки, — ФИО или наименование, телефоны, почтовый адрес и адрес электронной почты;
  • дату начала обработки;
  • срок или условие прекращения обработки;
  • сведения о наличии или отсутствии трансграничной передачи данных;
  • место нахождения базы данных с персональными данными граждан России;
  • сведения об обеспечении безопасности данных по требованиям Правительства;
  • если данные находятся в государственных или муниципальных информационных системах, — лиц, которые имеют к ним доступ или обрабатывают их по договору.

Отдельное правило — ч. 3¹ ст. 22, введённая тем же законом № 266-ФЗ: по каждой цели обработки оператор указывает категории персональных данных, категории субъектов, правовое основание обработки, перечень действий и способы обработки. Условный пример: магазин, который принимает онлайн-заказы и делает рассылку, указывает как минимум две цели. Для исполнения заказов — это имя, телефон и адрес покупателей, основание — договор, действия — сбор, хранение, передача службе доставки. Для рассылки — отдельная строка со своими данными и своим основанием.

Отсюда практический вывод, но это наш вывод, а не требование закона: пока не разобрано, какие у вас цели обработки и какие данные чьи под каждую цель, корректно заполнить уведомление нельзя.

После подачи Роскомнадзор в течение тридцати дней вносит сведения и дату направления уведомления в реестр операторов (ч. 4 ст. 22). Реестр общедоступен, кроме сведений о средствах обеспечения безопасности, поэтому проверить, есть ли в нём ваша организация, можно самостоятельно. Если уведомление подано недавно, запись может ещё не появиться: срок на внесение — тридцать дней.

Что будет, если не подать уведомление

За невыполнение или несвоевременное выполнение обязанности уведомить Роскомнадзор о намерении обрабатывать персональные данные предусмотрен административный штраф по ч. 10 ст. 13.11 КоАП РФ. Эта часть введена Федеральным законом от 30.11.2024 № 420-ФЗ и действует с 30.05.2025. Размеры штрафа:

  • для граждан — от 5 000 до 10 000 рублей;
  • для должностных лиц — от 30 000 до 50 000 рублей;
  • для юридических лиц — от 100 000 до 300 000 рублей.

В частях 10–18 ст. 13.11 под должностным лицом понимается должностное лицо государственного или муниципального органа либо некоммерческой организации, а под юридическим лицом — оператор-юридическое лицо, не являющееся государственным или муниципальным органом либо некоммерческой организацией (примечания 2 и 3 к ст. 13.11). Для коммерческой организации, например ООО, применяется третья строка.

Индивидуальные предприниматели по примечанию 1 к ст. 13.11 за правонарушения по частям 8–18 этой статьи, а значит и по ч. 10, несут административную ответственность как юридические лица. Для ИП ориентиром служит вилка от 100 000 до 300 000 рублей, а не размер штрафа для гражданина.

Как ч. 10 применяется на практике, эта статья не описывает: подтверждённых источников о практике Роскомнадзора и судов у нас нет.

Не смешивайте эту норму с ч. 11 той же статьи. Она относится к другой обязанности — уведомить Роскомнадзор при установлении факта неправомерной или случайной передачи персональных данных, и штрафы по ней другие.

Что сделать

  1. Выпишите, какие персональные данные вы обрабатываете и где они находятся: сайт, CRM, таблицы, бухгалтерия и кадры, бумажные журналы, мессенджеры, облачные сервисы.
  2. Определите, есть ли среди них обработка с помощью компьютера или сервиса. Если есть, исключение по п. 8 ч. 2 ст. 22 вам не подходит, и вопрос об уведомлении остаётся открытым.
  3. Проверьте, есть ли вы в реестре операторов Роскомнадзора. Отсутствие записи ещё не доказывает нарушение: уведомление могли подать недавно, а название в реестре записано иначе. Результат поиска фиксируйте с датой.
  4. Если уведомление нужно, разбейте обработку по целям и для каждой цели соберите категории данных, категории субъектов, основание, действия и способы. После этого заполните сведения по списку из ч. 3 ст. 22 и подайте уведомление.

Нормы

  • п. 2 ст. 3 152-ФЗ — определение оператора
  • ч. 1 ст. 22 152-ФЗ — по действующему тексту ИПС на 24.09.2026
  • ч. 2 ст. 22 152-ФЗ — п. 1–6 утратили силу по 266-ФЗ от 14.07.2022, с 01.09.2022
  • ч. 3, 3.1 и 4 ст. 22 152-ФЗ — ч. 3.1 введена 266-ФЗ от 14.07.2022
  • ч. 7 ст. 22 152-ФЗ — в ред. 266-ФЗ от 14.07.2022
  • ч. 10 ст. 13.11 КоАП РФ — введена 420-ФЗ от 30.11.2024, действует с 30.05.2025
  • примечания 1–3 к ст. 13.11 КоАП РФ — по тексту на 24.09.2026

Что дальше

Перед подачей уведомления нужен полный список того, что вы обрабатываете и зачем. Быстрая проверка из десяти вопросов покажет, на какие требования 152-ФЗ стоит обратить внимание в вашей ситуации. После подачи сведения нужно поддерживать в актуальном состоянии: об изменениях сообщают не позднее 15-го числа следующего месяца, о прекращении обработки — в течение десяти рабочих дней.

Пройти быструю проверку

Вопросы об уведомлении

Нужно ли подавать уведомление, если у нас только сотрудники и больше никаких данных?

Исключение для данных работников отменено в 2022 году (266-ФЗ от 14.07.2022, пункты 1–6 ч. 2 ст. 22). Поэтому наличие только кадровых данных обязанность не снимает. Исключение п. 8 применимо, только если вся обработка ведётся без использования средств автоматизации. Если данные работников вносятся в компьютер, программу учёта или электронные таблицы, оно, как правило, не подходит. Подходит ли оно вам, определяет фактическая модель обработки.

ИП обязан подавать уведомление?

Обязанность определяется обработкой персональных данных, а не формой бизнеса. ИП, который ведёт клиентскую базу, принимает заявки с сайта или имеет работников, — оператор и подпадает под ч. 1 ст. 22. Отдельного исключения для предпринимателей в этой статье нет.

Мы работаем несколько лет и не подавали уведомление — что делать сейчас?

Закон требует уведомить Роскомнадзор до начала обработки. Как отнесётся к просрочке правоприменитель, эта статья не разбирает и не предсказывает. Практический порядок такой: выяснить, ведётся ли обработка и подходит ли какое-то исключение, разбить её по целям, собрать сведения по ч. 3 и 3.1 ст. 22 и подать уведомление.

Как узнать, есть ли мы в реестре операторов?

Реестр операторов общедоступен, его ведёт Роскомнадзор (ч. 4 ст. 22 152-ФЗ). Сведения вносятся в течение тридцати дней после поступления уведомления, поэтому недавно поданное уведомление может ещё не отображаться. Отсутствие записи не доказывает нарушение: возможны задержка внесения (до тридцати дней) или иное написание названия. Если записи нет, зафиксируйте дату поиска и искомое название.

Что будет, если не подать уведомление?

По ч. 10 ст. 13.11 КоАП РФ штраф для граждан составляет от 5 000 до 10 000 рублей, для должностных лиц — от 30 000 до 50 000 (в частях 10–18 это только должностные лица государственных и муниципальных органов и некоммерческих организаций; к руководителю коммерческой компании эта вилка не относится, компания отвечает как юридическое лицо), для юридических лиц — от 100 000 до 300 000 рублей. Индивидуальные предприниматели по примечанию 1 к этой статье отвечают как юридические лица. Практику применения нормы мы не анализировали.

Нужно ли подавать новое уведомление, если данные изменились?

Новое уведомление подавать не нужно, но об изменениях сообщить обязательно. Если изменились сведения, указанные в уведомлении, оператор не позднее 15-го числа месяца, следующего за месяцем, в котором возникли изменения, обязан уведомить Роскомнадзор обо всех изменениях за этот период. О прекращении обработки нужно уведомить в течение десяти рабочих дней с даты прекращения (ч. 7 ст. 22 152-ФЗ). После смены целей, состава данных, ответственного лица или места нахождения базы данных сверьте поданные сведения с фактической моделью обработки.