Уведомление в Роскомнадзор об обработке персональных данных
Сообщение в Роскомнадзор о том, что организация начинает обрабатывать персональные данные. Подаётся до начала обработки, а заявленные сведения попадают в общедоступный реестр операторов.
Зачем нужен документ
Уведомление часто принимают за разрешение — будто Роскомнадзор рассматривает заявку и допускает организацию к работе с данными. Это не так: ведомство ничего не согласовывает, оно вносит в реестр то, что оператор о себе заявил. Смысл документа в другом — организация публично описывает, какие данные, зачем и на каком основании она обрабатывает, и дальше отвечает за расхождение между этим описанием и практикой.
Отсюда вторая функция — реестр как точка входа надзора. Сведения из уведомления общедоступны по ч. 4 ст. 22, поиск идёт по ИНН и занимает минуту: ни выезда, ни предупреждения, ни запроса документов для этого не нужно. Поэтому отсутствие организации в реестре — не «тихий» риск, а видимый снаружи факт, а несовпадение заявленных целей с тем, что происходит на сайте, — готовая зацепка для проверки.
Третье назначение — принудительная инвентаризация. Форму нечем заполнить, пока не собраны цели обработки, категории субъектов, правовое основание по каждой цели, ответственный с контактами, класс средств шифрования и адрес базы данных. Почти каждое поле уведомления — это ссылка на приказ, акт или перечень из комплекта документов. Организации, которые начинают с уведомления, обычно обнаруживают, что сначала придётся сделать всё остальное.
Чем грозит отсутствие
До 30 мая 2025 года за неуведомление наказывали по общей норме о непредставлении сведений в государственный орган — предупреждение или несколько тысяч рублей. Теперь у этого нарушения своя часть статьи, и суммы другого порядка.
Как ещё называют этот документ
Что должно быть в документе
Состав сведений задан ч. 3 ст. 22, а ч. 3.1 добавляет к нему обязательный разрез — по каждой цели отдельно. Пункты 3–6 прежнего перечня отменены с 1 сентября 2022 года, поэтому уведомления, поданные раньше, заполнены не по действующему составу.
Портал Роскомнадзора добирает и то, чего в законе прямо нет, но без чего форма не отправится: регион регистрации и регионы обработки, ОГРН с датой выдачи, ОКВЭД, ОКПО, ОКФС, ОКОГУ, класс средств криптографической защиты и их наименования, а для базы данных — адрес центра обработки; если центр не свой, указываются наименование, ИНН и ОГРН его владельца. Готовый документ формируется на портале и получает собственный номер и ключ — по ним запись потом и находят.
Требования законодательства
Как связан с другими документами
Уведомление — не самостоятельный документ, а выжимка из всего комплекта. Каждое поле формы опирается на приказ, акт или перечень, и именно поэтому его нельзя заполнить первым.
Когда обновлять документ
Уведомление подаётся один раз, а вот запись в реестре живёт вместе с организацией. Любое изменение сведений, которые в него вошли, требует отдельного уведомления — по приложению № 2 к приказу № 180.
Срок на уведомление об изменениях считается не от даты события: сообщить нужно не позднее 15-го числа месяца, следующего за месяцем, в котором изменения возникли. Правило «десять рабочих дней на любые изменения», которое до сих пор кочует по статьям в интернете, действовало до 1 сентября 2022 года — сегодня десять рабочих дней относятся только к прекращению обработки.
Что спросит проверяющий
Здесь у проверяющего преимущество: сведения он берёт не у оператора, а из реестра — и это те сведения, которые оператор заявил о себе сам. Разговор строится на сверке.
Разбор эксперта
За 4 463 аудита самая частая картина по этой позиции — не отсутствие уведомления, а уведомление, поданное когда-то давно и с тех пор не описывающее организацию. Пять-семь целей общими словами, никакой детализации по каждой цели, ответственный, уволившийся несколько лет назад, ни слова о том, где лежит база. Формально организация в реестре есть. Фактически заявленные ею сведения недостоверны — и это отдельный разговор с проверяющим, а не смягчающее обстоятельство.
Второе по частоте — уверенность, что уведомление не нужно, «потому что у нас только работники». Это освобождение отменено 1 сентября 2022 года вместе с пятью другими. Из девяти оснований осталось три, и единственное, которое хоть теоретически применимо к обычной компании, — обработка исключительно без средств автоматизации. Организация с бухгалтерской программой, корпоративной почтой и сайтом под него не подходит.
Показательный пример из июля 2026 года: мы переоформляли уведомление городской поликлиники. Семь прежних целей, записанных общими фразами, пришлось удалить целиком и завести двенадцать новых — с категориями субъектов (включая пациентов и их законных представителей), правовым основанием по каждой цели и раздельными способами обработки. Это не косметика: старая запись не позволяла ответить на вопрос «на каком основании вы обрабатываете диагноз», а новая отвечает ссылкой на 323-ФЗ. Разница между этими двумя состояниями и есть предмет проверки.
Найдите себя в реестре операторов по ИНН и откройте собственную запись. Дальше сверяйте не по принципу «есть или нет», а построчно: цели, категории субъектов, ответственный и его контакты, адрес базы данных, средства шифрования. Почти всегда после такой сверки нужно не первичное уведомление, а уведомление об изменении сведений — это быстрее и дешевле, чем потом объяснять, почему реестр расходится с реальностью.
Частые вопросы
Да. Освобождение для данных работников отменено с 1 сентября 2022 года вместе с пятью другими основаниями из ч. 2 ст. 22. Сейчас в перечне остались три случая: данные в государственных системах, созданных для защиты безопасности государства и общественного порядка; обработка исключительно без средств автоматизации; обработка по законодательству о транспортной безопасности.
Формально такое исключение сохранилось. Практически оно почти недостижимо: достаточно бухгалтерской программы, корпоративной почты, электронной отчётности или формы на сайте, чтобы обработка перестала быть «исключительно без средств автоматизации». Бумажные дела в шкафу ничего не меняют, если те же фамилии попадают в учётную систему.
Роскомнадзор вносит сведения в реестр в течение тридцати дней с даты поступления уведомления. Пошлины нет: закон прямо запрещает возлагать на оператора расходы, связанные с рассмотрением уведомления и внесением записи. Если сведений не хватает или они недостоверны, ведомство вправе потребовать уточнить их до внесения в реестр.
Да, если он оператор — то есть сам определяет цели обработки. Форма та же, что у организаций, а вот ответственность строже, чем принято думать: по примечанию 1 к ст. 13.11 в части 10 предприниматель отвечает как юридическое лицо, то есть от 100 000 ₽, а не как должностное.
Не позднее 15-го числа месяца, следующего за месяцем, в котором изменения возникли. Отдельно стоит прекращение обработки: о нём уведомляют в течение десяти рабочих дней с даты прекращения. Распространённое правило «десять рабочих дней на любые изменения» устарело — оно действовало до 1 сентября 2022 года.
Отдельного состава для этого в ст. 13.11 нет: часть 10 говорит только об уведомлении о намерении обрабатывать данные. Непредставление сведений в государственный орган наказывается по ст. 19.7 КоАП — предупреждение либо штраф от 3 000 до 5 000 ₽ для организации. Дороже обходится другое: реестр, разошедшийся с фактической обработкой, даёт проверяющему готовый перечень несоответствий.
Да, как минимум сверить состав сведений. Четыре пункта прежнего перечня отменены, зато появились требование раскрывать каждую цель через категории данных, категории субъектов, правовое основание, действия и способы обработки, а также пункт о лицах с доступом к данным в государственных и муниципальных системах. Старая запись почти наверняка не содержит того, что закон требует сейчас; исправляется это уведомлением об изменении сведений.