Уведомление в Роскомнадзор в 2026 году: кто обязан и как подать

Кто такой оператор персональных данных

Оператор персональных данных — это тот, кто определяет, зачем и как обрабатывать данные людей: собирает, хранит, передаёт третьим лицам. Формулировка из закона звучит абстрактно, а на практике всё просто. Если сайт собирает имя, email, телефон или любые другие сведения, по которым можно узнать человека, — вы оператор.

До 2022 года часть бизнеса опиралась на исключения из ч. 2 ст. 22 152-ФЗ: «обрабатываем только для исполнения договора», «только данные сотрудников», «только то, что и так публично». С 1 сентября 2022 года Федеральный закон № 266-ФЗ отменил эти основания. Сейчас они уже не освобождают от обязанности уведомить Роскомнадзор.

Вы, скорее всего, оператор, если на сайте есть:

• форма обратной связи, заявки или подписки на рассылку;
• приём онлайн-оплаты — данные плательщика тоже персональные;
• личный кабинет или регистрация пользователей;
• CRM с данными клиентов;
• база сотрудников — актуально и для ИП с наёмным персоналом.

Интернет-магазин с корзиной — оператор. Стоматологическая клиника с формой записи — оператор. Студия дизайна с формой «оставить заявку» — тоже. Мастер маникюра, который ведёт запись через сайт или Taplink с формой, скорее всего, оператор не меньше, чем магазин с оборотом в миллионы.

Когда уведомление не нужно

Обязанность уведомить Роскомнадзор до начала обработки персональных данных установлена ст. 22 152-ФЗ. После поправок 266-ФЗ в ч. 2 этой статьи остались только три исключения:

1. обработка ведётся исключительно без средств автоматизации — только на бумаге, без баз данных и цифровых инструментов (п. 8 ч. 2 ст. 22);
2. данные входят в государственные информационные системы, созданные для защиты безопасности государства и общественного порядка (п. 7 ч. 2 ст. 22);
3. обработка предусмотрена законодательством о транспортной безопасности (п. 9 ч. 2 ст. 22).

Пункты 1–6 той же части, на которые раньше ссылалось большинство компаний — исполнение договора, обработка данных только сотрудников, только общедоступных сведений, — утратили силу с 1 сентября 2022 года. Если у сайта есть формы или CRM, ни одно из оставшихся трёх исключений обычно не подходит.

Иностранные компании, которые обрабатывают данные российских пользователей и ведут деятельность на территории РФ, тоже обязаны уведомить Роскомнадзор и назначить представителя в России.

Что грозит за неуведомление

Ответственность за нарушения в обработке персональных данных — ст. 13.11 КоАП РФ. С 30 мая 2025 года действует редакция после Федерального закона № 420-ФЗ, и штрафы за неуведомление выросли на порядок.

За непредставление или несвоевременное представление в Роскомнадзор уведомления об обработке персональных данных — ч. 10 ст. 13.11 КоАП:

• для граждан — от 5 000 до 10 000 ₽;
• для должностных лиц — от 30 000 до 50 000 ₽;
• для ИП и юридических лиц — от 100 000 до 300 000 ₽.

До вступления в силу 420-ФЗ этот же проступок наказывался по ст. 19.7 КоАП штрафом на юрлицо 3 000–5 000 ₽. Разница — почти в 100 раз.

По нашим проверкам это заметно на практике: из 14 037 сайтов, проверенных vlip.site с апреля по сентябрь 2026 года, у 95,5% нашлось хотя бы одно нарушение по персональным данным или смежным требованиям, в среднем 3,5 нарушения на сайт.

Отдельно закон регулирует утечки персональных данных — там штрафы для юрлиц измеряются миллионами и зависят от масштаба утечки, а за повторное нарушение возможен оборотный штраф: 1–3% годовой выручки, но не менее 20 млн и не более 500 млн рублей. Это отдельный и гораздо более суровый состав, к обычному уведомлению об обработке данных отношения не имеющий, — если у вас пока нет данных о состоявшейся утечке, тратить силы стоит на другое: подать уведомление и привести документы на сайте в порядок.

Как подать уведомление в Роскомнадзор

Форма подачи — на портале pd.rkn.gov.ru, в разделе «Уведомления» → «Подать уведомление об обработке персональных данных». Перед тем как открывать её, подготовьте: ИНН и ОГРН (или ОГРНИП для ИП), юридический и почтовый адрес, данные человека, ответственного за организацию обработки ПД.

Есть два способа подписать и отправить форму:

• Через Госуслуги. Нужна подтверждённая учётная запись, а если подаёте от имени организации — привязанная к ней. Электронная подпись не требуется, это самый удобный вариант для ИП и небольших компаний.
• С усиленной квалифицированной электронной подписью (УКЭП). Подходит, если подпись уже есть. Потребуется браузерный плагин КриптоПро ЭЦП.

Дальше форма состоит из нескольких блоков.

Сведения об операторе. Полное наименование — строго как в выписке из ЕГРЮЛ или ЕГРИП, без сокращений вроде «Иванов И.И.» вместо «ИП Иванов». ИНН и ОГРН — без пробелов. Юридический адрес вводится через подсказки ФИАС, а не вручную: система сверяет его с реестром. Почтовый адрес и email обязательны — на них приходят уведомления о статусе заявки, поэтому указывайте те, за которыми реально следите.

Цели обработки. Для интернет-магазина или сайта с формами это обычно «продвижение товаров, работ, услуг на рынке» — она покрывает данные клиентов и посетителей сайта. Если есть хотя бы один сотрудник по трудовому договору, добавьте «ведение кадрового и бухгалтерского учёта». Для каждой цели отдельно заполняются категории персональных данных (отмечайте только то, что реально собираете — не ставьте галочку на биометрии, если её нет), категории субъектов (клиенты, посетители сайта, работники), правовое основание обработки (для большинства коммерческих сайтов — согласие субъекта и исполнение договора, п. 1 и 5 ч. 1 ст. 6 152-ФЗ) и перечень действий с данными: сбор, хранение, передача третьим лицам, если вы передаёте данные платёжным системам или курьерским службам.

Способ обработки. Если часть операций делает человек — например, менеджер вручную вносит заявку из бумажной анкеты в CRM, — выбирайте «смешанная обработка», это самый частый случай.

Меры по обеспечению безопасности. Минимум, который указывает практически любой оператор: принята политика обработки персональных данных, применяются организационные и технические меры защиты, проводится внутренний контроль. Если есть сотрудники, добавьте назначение ответственного лица и ведение журнала доступа.

Ответственный за организацию обработки ПД. Для ИП это обычно сам предприниматель, для небольшой компании — конкретный сотрудник, а не абстрактная должность. Укажите его ФИО или наименование, адрес, телефон и email.

Дата начала обработки — это дата регистрации ИП или юрлица, а не дата заполнения формы. Условие прекращения обработки формулируется содержательно: например, «прекращение деятельности организации» или «достижение цели обработки».

Трансграничная передача. Если данные хранятся только на серверах в России и вы не передаёте их иностранным сервисам — выбирайте «не осуществляется». Если пользуетесь зарубежными инструментами — Google Analytics, Mailchimp, облачным хранилищем за пределами РФ, — это трансграничная передача, и её нужно указать отдельно. Роскомнадзор ведёт перечень стран, обеспечивающих адекватную защиту прав субъектов персональных данных (приказ РКН № 128 от 05.08.2022) — в него входят страны ЕС и большинство государств мира, но не входят, например, США. Передача в страну из перечня возможна сразу после подачи уведомления, в остальные — только с отдельным основанием.

Сведения о базе данных. Укажите адрес дата-центра или серверной, где физически хранятся данные, и организацию, которая отвечает за хранение — обычно это ваш хостинг-провайдер. Адрес уточните у него: писать просто «Москва» недостаточно.

После заполнения всех разделов форма отправляется на подпись выбранным способом. В ответ система формирует номер уведомления и ключ для проверки статуса — сохраните их, без них не получится отследить заявку. Роскомнадзор вносит сведения в реестр в течение 30 календарных дней с даты получения уведомления (ч. 4 ст. 22 152-ФЗ). Начинать обработку данных можно уже с даты подачи — ждать появления записи в реестре не нужно.

Уведомление — не разовая процедура. Если меняются цели обработки, категории субъектов, появляется трансграничная передача или меняются реквизиты компании, нужно подать отдельную форму об изменении сведений — она на том же портале.

Как проверить, что вы уже в реестре

Реестр операторов персональных данных Роскомнадзора открыт для всех. Зайдите на pd.rkn.gov.ru в раздел «Реестр операторов персональных данных» и введите ИНН, ОГРН или название организации. Если запись есть, вы увидите регистрационный номер и дату регистрации. Если записи нет, а данные вы обрабатываете, — уведомление ещё предстоит подать.

Быстро понять общую картину по своему сайту — не только по реестру, но и по другим требованиям 152-ФЗ, вроде согласия на обработку данных в формах и cookie-баннера, — можно через бесплатную автоматическую проверку по ИНН на vlip.site. Она показывает, есть ли компания в реестре, вместе с остальными находками по сайту. Полный чек-лист того, что ещё стоит проверить на сайте помимо уведомления, — в статье «Как проверить сайт на соответствие 152-ФЗ», а сводка всех требований закона и штрафов по ним — на странице проверки сайта на соответствие 152-ФЗ.

Уведомление и запись в реестре сами по себе не заменяют остальные документы. У сайта отдельно должна быть политика обработки персональных данных, согласия в формах и, если есть форма оплаты или заказа, — публичная оферта. Реестр фиксирует, что вы уведомили Роскомнадзор о своих целях обработки; он не проверяет, соответствует ли документация на сайте тому, что вы заявили.

Частые ошибки при подаче

Подать после начала работы сайта. Уведомление должно быть до, а не после. Если формы на сайте уже работают, лучше подать сейчас, чем продолжать без уведомления, — но само нарушение за прошедший период это не отменяет.

Забыть про трансграничную передачу. Google Analytics, Яндекс Метрика, зарубежные CRM и рассылочные сервисы — тоже трансграничная передача, и её нужно указать в форме.

Указать одну общую цель обработки вместо нескольких. Клиентская база для исполнения договоров — одна цель, рассылка с акциями — другая. Каждую стоит вписать отдельно.

Не назначить ответственного за обработку ПД. ИП может назначить себя, юрлицо — конкретного сотрудника. Без этого поля форма считается заполненной некорректно.

Не обновить уведомление при изменениях. Смена адреса, директора, появление нового вида данных или новой страны-получателя — повод подать уведомление об изменении сведений, а не оставлять реестр с устаревшей записью.