Ещё несколько лет назад большинство небольших компаний законно не подавали уведомление в Роскомнадзор: закон освобождал тех, кто обрабатывает данные только своих сотрудников, только в рамках договора с клиентом или только фамилию с именем. Закон 266-ФЗ это изменил. С 1 сентября 2022 года почти все прежние исключения отменены.
Общее правило: уведомляют почти все
Сегодня оператором, обязанным уведомить РКН, становится практически любой, кто собирает персональные данные с использованием средств автоматизации: владелец сайта с формой заявки, интернет-магазин, компания с CRM, ИП с онлайн-кассой, где хранятся контакты покупателей. Объём не важен — даже одна форма обратной связи делает вас оператором, обязанным подать уведомление.
🪤 Находка: прежние исключения больше не действуют
Это ключевая перемена, которую многие пропустили. Пункты 1–6 части 2 статьи 22 закона 152-ФЗ утратили силу с 1 сентября 2022 года. Именно они раньше освобождали от уведомления самые массовые случаи:
- обработка данных только работников организации;
- обработка в рамках договора с субъектом — например, только покупателей;
- обработка, ограниченная фамилией, именем и отчеством;
- данные, обрабатываемые без внесения в информационные системы, и другие.
Всех этих оснований больше нет. Аргумент «мы обрабатываем только своих сотрудников» или «только клиентов по договору» с сентября 2022 года не освобождает от подачи уведомления.
Три случая, когда уведомление всё же не нужно
Действующих исключений в части 2 статьи 22 осталось три:
| Случай | Кого касается |
|---|---|
| Обработка без средств автоматизации | Данные ведутся исключительно на бумаге, без внесения в компьютерные системы. Для интернет-магазина или бизнеса с CRM практически недостижимо |
| Государственные ИС для защиты безопасности | Данные включены в государственные информационные системы, созданные в целях защиты безопасности государства и общественного порядка |
| Транспортная безопасность | Обработка в случаях, предусмотренных законодательством о транспортной безопасности |
Для типичного малого бизнеса реально применим только первый пункт — и то лишь если данные вообще не заносятся ни в один электронный сервис. Как только появляется CRM, онлайн-касса или форма на сайте, исключение отпадает.
Что это значит на практике
Если вы запускали бизнес до сентября 2022 года и когда-то законно решили, что уведомление вам не требуется, — это решение, скорее всего, устарело. Стоит проверить себя в реестре и, если записи нет, подать уведомление. Штраф за неподачу с 30 мая 2025 года — от 100 000 до 300 000 ₽ для юридического лица.
Вопросы про обязанность уведомлять РКН
Нужно ли подавать уведомление, если мы обрабатываем данные только сотрудников?
Да. Исключение для обработки данных только работников отменено с 1 сентября 2022 года (закон 266-ФЗ). Сейчас обработка данных сотрудников с использованием средств автоматизации требует уведомления РКН.
Освобождает ли обработка данных только клиентов по договору?
Нет, больше не освобождает. Пункт про обработку в рамках договора с субъектом утратил силу с 1 сентября 2022 года вместе с другими массовыми исключениями.
В каких случаях уведомление действительно не требуется?
Осталось три случая (ч. 2 ст. 22): обработка исключительно без средств автоматизации; данные в государственных ИС для защиты безопасности государства и общественного порядка; обработка по законодательству о транспортной безопасности. Для малого бизнеса реально применим только первый — и лишь при полном отсутствии электронных систем.
Влияет ли объём данных на обязанность уведомлять?
Нет. Даже одна форма обратной связи на сайте делает владельца оператором, обязанным подать уведомление. Количество субъектов на саму обязанность не влияет.
Продукт по теме
Похожие материалы
Источники
- Федеральный закон от 27.07.2006 № 152-ФЗ, ст. 22 ч. 2 (случаи освобождения от уведомления) — consultant.ru
- Федеральный закон от 14.07.2022 № 266-ФЗ (отмена прежних исключений с 01.09.2022) — rg.ru
Перечень действующих и утративших силу исключений сверен с текстом ст. 22 ч. 2 152-ФЗ на 11.07.2026.