Реестр операторов персональных данных: что мы нашли в 1 735 записях

Коротко: что мы нашли

Как мы считали

Когда организация проверяет себя по ИНН на нашем сайте, мы берём её запись из открытого реестра операторов на pd.rkn.gov.ru и сведения из ЕГРЮЛ на дату проверки. Затем сравниваем: есть ли запись, когда её меняли в последний раз, совпадают ли наименование и юридический адрес, какие меры защиты названы и какие цели указаны. По каждой проверке эксперт Комитета готовит заключение.

Мы взяли все 1 735 текущих заключений с 6 сентября по 28 октября 2026 года: 1 150 коммерческих организаций, 495 государственных и муниципальных учреждений и 90 индивидуальных предпринимателей. Наименования и ИНН в расчётах не участвуют, считаем только доли.

Важная оговорка. Это не срез всего реестра. Проверку запросили сами организации, многие после нашего извещения, поэтому среди них больше тех, у кого есть вопросы. Но и выборка не маленькая: 1 735 записей за неполные два месяца.

Запись без замечаний у каждой шестой

Хуже всего у государственных и муниципальных учреждений: запись без замечаний нашлась у 15 из 495. Зато у них реже всего нет записи совсем: уведомление подавали, но давно.

Записи нет почти у каждой четвёртой

Оператор обязан уведомить Роскомнадзор до начала обработки персональных данных (ч. 1 ст. 22 152-ФЗ). Работники, клиенты, заявки с сайта: обработка начинается с первого же человека. За невыполнение этой обязанности ч. 10 ст. 13.11 КоАП предусматривает штраф для организации от 100 000 до 300 000 ₽. Размер определяется с учётом обстоятельств дела.

Записи нет у 390 организаций из 1 735. Среди ИП это 51 из 90: многие считают, что закон о персональных данных касается только компаний. Кому уведомление нужно, а кому нет, мы разобрали в статье для ИП, самозанятых и мастеров.

Запись устарела: подали и забыли

С 1 сентября 2022 года в уведомлении для каждой цели обработки указывают категории данных, категории субъектов, правовое основание, действия и способы обработки (ч. 3.1 ст. 22 152-ФЗ). С 26 декабря 2022 года действует новая форма уведомления, утверждённая приказом Роскомнадзора от 28.10.2022 № 180. Записи, которые с тех пор не обновляли, этих сведений обычно не содержат.

Таких записей 384. У 225 из них последнее изменение было в 2015–2021 годах, у 159 в 2022 году. Это тот самый ответ, который мы слышим в разговоре: «подавали уведомление ещё в 2015 году». Подавали, но с тех пор изменились и закон, и сама организация.

Наименование, адрес и меры не совпадают с жизнью

Запись нашлась у 1 345 организаций. Вот что в ней чаще всего не так.

Наименование расходится с ЕГРЮЛ у 39 %, юридический адрес у 16 %. Организацию переименовали или она переехала, а запись осталась прежней. Об изменении сведений закон требует сообщить не позднее 15-го числа месяца, следующего за месяцем изменений (ч. 7 ст. 22 152-ФЗ).

Меры защиты расписаны частично у 45 %, формально у 6 %. В поле «Описание мер» положено перечислить меры по ст. 18.1 и 19 152-ФЗ. Мы сверяем его с чек-листом из 15 пунктов: шесть организационных (ответственный, политика, ознакомление работников, внутренний контроль и другие) и девять технических. В 28 % записей нет ни одной технической меры, в 11 % нет ни одной из пятнадцати. Типичная запись с частичными мерами выглядит так:

Запись подана в 2025 году, по новой форме. Из мер в ней только пароли на компьютерах и ограничение доступа к технике. Ни ответственного, ни политики, ни ознакомления работников в описании мер нет, хотя закон называет их первыми (ч. 1 ст. 18.1 152-ФЗ).

Цели в реестре и в политике живут отдельно

Одна цель на всё у 73 % найденных записей. Сверим это с тем, что организации рассказали о себе сами.

При проверке организация отвечает на пару вопросов о себе. Из 1 345 организаций с записью 768 написали, что работают с людьми напрямую. У 184 из них, это 24 %, в записи нет ни слова о клиентах, покупателях, пациентах, учащихся или других гражданах. 607 организаций написали, что у них есть сайт. Сайт, заявки или онлайн-формы упомянуты только в 126 их записях. У остальных 79 % сайта в записи нет. Если на нём есть форма заявки или политика, где описана обработка данных посетителей, запись этому не соответствует.

Оба документа открыты: политику публикуют на сайте (ч. 2 ст. 18.1 152-ФЗ), запись видна на pd.rkn.gov.ru. Сравнить их может любой, и расхождение видно без запроса документов. Из 331 сайта, который мы проверили, у 140 политики не нашлось совсем.

Откуда берётся «у нас всё есть»

В разговорах с организациями фразу «не нужно, у нас всё есть» мы слышим в 199 сделках из 2 679, это 7,4 %. По нашему опыту, за ней стоит одно из трёх: уведомление подавали много лет назад, документы когда-то сделал бухгалтер, или их взяли из интернета и не сверили с тем, что организация делает на самом деле.

Ни один из этих вариантов не означает, что запись в реестре в порядке. В нашей выборке без замечаний только каждая шестая. Проверить свою можно за десять минут.

Как проверить свою запись

Если не хочется разбираться самому, проверьте организацию бесплатно по ИНН у нас на сайте. Подготовить уведомление о намерении или об изменении сведений поможем на странице «Уведомление в Роскомнадзор».

Разбор эксперта

Запись в реестре операторов открыта всем. Её видят клиенты, партнёры, конкуренты и проверяющие, и это первое, что о вас можно узнать про персональные данные без запроса и без визита.

Чаще всего мы видим не злой умысел, а запись, которую однажды подали и забыли. Сменили название, переехали, открыли сайт, начали работать с клиентами, а в реестре всё как в 2019 году. Исправить это проще, чем кажется: одно уведомление об изменении сведений. Каждое заключение Комитета я подписываю лично.

Александр КеллерманнГенеральный директор, ведущий аудитор ISO/IEC 27001, Комитет по информационной и правовой безопасностиПодробнее об эксперте

Разборы выходят и в каналах:Telegram

Частые вопросы