Отдельный разбор в этой серии уже объяснял, кто вообще обязан регистрироваться как оператор персональных данных — короткий ответ: почти любой бизнес с сайтом, CRM или онлайн-кассой. Здесь — механика самой процедуры: куда подавать, что именно писать в форме и сколько ждать ответа. И одна важная перемена, которую многие пропустили: штраф за неподачу этого уведомления с 30 мая 2025 года вырос в десятки раз.
Три способа подать уведомление
Статья 22 закона 152-ФЗ разрешает направить уведомление «на бумажном носителе или в форме электронного документа». На практике это три рабочих варианта:
| Способ | Что нужно |
|---|---|
| Бумажный документ | Заполнить форму и отправить почтой в территориальный орган Роскомнадзора по месту регистрации оператора |
| Электронный документ с УКЭП | Усиленная квалифицированная электронная подпись организации |
| Портал персональных данных РКН | Заполнить форму на pd.rkn.gov.ru с авторизацией через учётную запись Госуслуг |
Для малого бизнеса без квалифицированной подписи проще всего третий путь — портал РКН через Госуслуги. Форма там структурированная: она сама подсказывает, какие поля обязательны.
Какие сведения указать (статья 22)
Перечень обязательных сведений закреплён в части 3 статьи 22. Он заметно короче, чем был раньше: пункты 3–6 утратили силу с 1 сентября 2022 года (закон 266-ФЗ). Актуальный состав:
- наименование (или ФИО) и адрес оператора;
- цель обработки персональных данных;
- описание мер защиты по статьям 18.1 и 19 — в том числе сведения о наличии шифровальных средств и их наименования;
- ФИО или наименование и контакты лица, ответственного за организацию обработки;
- дата начала обработки;
- срок или условие прекращения обработки;
- наличие или отсутствие трансграничной передачи данных;
- место нахождения базы данных с персональными данными граждан РФ.
И ключевая деталь, на которой спотыкаются при первом заполнении: для каждой цели обработки отдельно нужно указать категории персональных данных, категории субъектов, правовое основание, перечень действий с данными и способы обработки. Если целей несколько — например, «продажа товаров» и «email-рассылка», — этот блок заполняется по каждой.
Именно здесь виден разрыв между теми, у кого данные о клиентах собраны в одном месте, и теми, у кого они разбросаны по десятку сервисов. В первом случае описать состав информационных систем для уведомления — вопрос получаса. Во втором — сначала приходится вспоминать, где вообще лежат контакты.
🪤 Находка: штраф за неподачу вырос в десятки раз
До 30 мая 2025 года неподача уведомления об обработке персональных данных считалась мелким нарушением по статье 19.7 КоАП — штраф для юридического лица составлял 3 000–5 000 ₽, сопоставимо со стоимостью самой процедуры. Многие сознательно откладывали регистрацию, считая риск копеечным.
Закон 420-ФЗ это изменил. Состав переехал в новую часть 10 статьи 13.11 КоАП, а суммы выросли на два порядка:
| Кто нарушил | Штраф по ч. 10 ст. 13.11 КоАП |
|---|---|
| Граждане | 5 000 – 10 000 ₽ |
| Должностные лица | 30 000 – 50 000 ₽ |
| Юридические лица | 100 000 – 300 000 ₽ |
Для юрлица нижняя граница — 100 000 ₽, то есть даже минимальный штраф теперь в 20 раз выше прежнего максимума. Это отдельная санкция: она не про утечку и не про отсутствие согласия клиента, а именно про то, что оператор не сообщил о себе. Полную таблицу остальных штрафов 152-ФЗ и честную статистику их реального применения мы свели в отдельном разборе.
Сколько ждать внесения в реестр
После того как уведомление поступило, Роскомнадзор вносит оператора в реестр в течение тридцати дней. Отдельно ждать «одобрения», чтобы начать работу, не нужно — обязанность считается исполненной с момента подачи корректного уведомления, а не с даты появления записи в реестре. Проверить, что запись появилась, можно в публичном реестре операторов на том же портале.
Частая ошибка — подать «на потом»
Уведомление подаётся до начала обработки персональных данных — то есть до того, как на сайте заработает первая форма сбора контактов. На практике небольшие интернет-магазины запускают сайт и сбор заявок сразу, а регистрацию откладывают. Формально нарушение начинается с первого дня работы формы, а не с момента, когда о нём вспомнили. Отложенная подача не «обнуляет» этот период.
Когда уведомление можно не подавать
Закон устанавливает всего три случая, когда оператор вправе не направлять уведомление о обработке персональных данных. Эти исключения перечислены в пунктах 7–9 части 2 статьи 22 Федерального закона № 152-ФЗ и носят узкий, специальный характер.
- Пункт 7 — персональные данные обрабатываются в государственных информационных системах, созданных для обеспечения безопасности государства и общественного порядка. Это исключение для госорганов, не для бизнеса.
- Пункт 8 — обработка ПДн ведётся исключительно без использования средств автоматизации. То есть полностью «ручная» работа с бумажными носителями, без компьютеров, баз данных и любых автоматизированных систем.
- Пункт 9 — обработка сведений осуществляется в целях обеспечения транспортной безопасности. Это также относится к строго определённому кругу организаций.
Если ваш бизнес не относится ни к одному из этих пунктов, уведомление подавать обязательно. Обратите внимание: с 1 сентября 2022 года (Федеральный закон № 266-ФЗ) утратили силу пункты 1–6 части 2 статьи 22. Раньше они освобождали от уведомления обработку в рамках трудовых отношений, по договору с субъектом, а также случаев, когда обрабатывались только фамилия, имя и отчество. Теперь кто обязан подавать уведомление — практически все операторы, кроме трёх перечисленных категорий.
Внимание: если вы раньше не подавали уведомление, полагаясь на отменённые исключения, ваша обработка сейчас может быть незаконной. Рекомендуем проверить статус и подать уведомление, если это ещё не сделано.
Если сведения изменились или обработка прекратилась
После того как уведомление подано, работа с персональными данными редко остаётся неизменной. Меняются адреса, виды обработки, способы хранения, а иногда деятельность с ПДн прекращается совсем. Закон предусматривает разные сроки для этих ситуаций — и их важно не путать.
| Событие | Срок уведомления РКН | Правовое основание |
|---|---|---|
| Изменение ранее поданных сведений | Не позднее 15-го числа месяца, следующего за месяцем изменения | ч. 7 ст. 22 152-ФЗ |
| Прекращение обработки | В течение 10 рабочих дней с даты прекращения | ч. 7 ст. 22 152-ФЗ |
Разница принципиальная: для изменений у вас есть почти полтора месяца (если изменения произошли, например, в мае — уведомить нужно до 15 июня), а для прекращения обработки — всего 10 рабочих дней. Обратите внимание и на природу самих сроков: 15-е число — календарная дата, а вот 10 дней на уведомление о прекращении обработки — рабочие, а не календарные, так что выходные и праздники в этот отсчёт не входят.
Когда обработка персональных данных прекращается, Роскомнадзор обязан исключить оператора из реестра. Срок для этого — в течение 30 дней (часть 4.1 статьи 22). Но это уже ответственность самого РКН, а не оператора. Ваша задача — уведомить вовремя, а дальше реестр обновится автоматически.
Как проверить, что ваши сведения в реестре актуальны? Это делается бесплатно и без регистрации на публичном портале pd.rkn.gov.ru/operators-registry/operators-list/. Достаточно ввести ИНН или наименование организации. В карточке оператора вы увидите регистрационный номер и дату включения в реестр. Это простой способ как проверить запись в реестре и убедиться, что ваше уведомление действительно зарегистрировано, а изменения — внесены. Обратите внимание: детальная информация о принятых мерах безопасности в открытом реестре не публикуется, это охраняемая законом тайна — публично доступны только регистрационный номер, наименование оператора и дата включения.
Уведомление требует точно знать состав своих информационных систем, цели обработки и категории данных по каждой цели. Когда данные о клиентах уже структурированы в одном месте, заполнить форму РКН — рутина, а не археология. AXIOM даёт эту структуру с первого дня.
Как устроено «Согласие» →Вопросы про подачу уведомления в РКН
Какими способами можно подать уведомление?
Три: бумажный документ почтой в терр. орган РКН, электронный документ с усиленной квалифицированной ЭП, или через портал pd.rkn.gov.ru с авторизацией по Госуслугам.
Что указать в уведомлении?
По ст. 22 152-ФЗ: наименование и адрес оператора, цель обработки, меры защиты, ответственного за обработку, дату начала, срок прекращения, трансграничную передачу, место БД. Для каждой цели — категории данных, субъектов, правовое основание, действия и способы.
Сколько штраф за неподачу?
С 30.05.2025 по ч. 10 ст. 13.11 КоАП: юрлица 100 000–300 000 ₽, должностные лица 30 000–50 000 ₽, граждане 5 000–10 000 ₽. Раньше было 3 000–5 000 ₽ по ст. 19.7.
Сколько ждать реестра?
30 дней с даты поступления уведомления. Начинать обработку можно с момента подачи, не дожидаясь записи.
Продукт по теме
Похожие материалы
Источники
- Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 22 (уведомление об обработке, перечень сведений, срок внесения в реестр) — consultant.ru
- КоАП РФ, ст. 13.11 ч. 10 (штраф за неподачу уведомления об обработке ПДн) — consultant.ru
- Портал персональных данных Роскомнадзора, форма уведомления — pd.rkn.gov.ru
Суммы и номера частей сверены с текстом норм на 11.07.2026. Перечень сведений в ст. 22 приведён в актуальной редакции с учётом того, что пункты 3–6 части 3 утратили силу с 01.09.2022 (266-ФЗ).