Две трети организаций и ИП без записи в реестре операторов: разбор 6,7 млн ИНН

Коротко: что мы нашли

Что видно в вашей записи, проще всего узнать по ИНН. Введите его на главной странице kpib.ru: эксперт Комитета сверит запись с ЕГРЮЛ и с законом и пришлёт заключение на почту. Это бесплатно.

Как мы считали

Реестр операторов ведёт Роскомнадзор на pd.rkn.gov.ru. Сведения в нём общедоступны, кроме сведений о средствах защиты (ч. 4 ст. 22 152-ФЗ). Но открыт реестр по одной записи: поиск показывает не больше 50 результатов, а набора в открытых данных Роскомнадзора на 6 ноября 2026 года нет. Сверху страницы висит счётчик, 2 665 468 операторов, и больше никакой статистики.

Поэтому мы пошли с другой стороны. Список организаций тоже открыт, это ЕГРЮЛ и ЕГРИП. Мы взяли 6 667 604 действующих ИНН: 2 912 439 юрлиц, это около 95 % действующих, и 3 755 165 ИП и глав КФХ, около трёх четвертей. К каждому ИНН добавили поля из открытых данных ФНС: форму организации, основной ОКВЭД, дату регистрации, категорию МСП, численность и выручку.

С 29 октября по 4 ноября 2026 года каждый ИНН мы проверили по открытой части реестра. Нашлось 2 171 525 записей. Двадцать случайных результатов перепроверили руками на портале, все совпали. Наружу из расчётов выходят только доли и суммы. Совпадает ли ответственный с руководителем и на каком почтовом сервисе его ящик, скрипт сравнивал автоматически, имена и адреса в анализ не попали.

Две трети без записи

Самая честная строка третья. У компании с выручкой или хотя бы одним сотрудником почти наверняка есть кадровый учёт, а значит, персональные данные работников. Уведомить Роскомнадзор нужно до начала обработки (ч. 1 ст. 22 152-ФЗ). Исключений после 1 сентября 2022 года осталось три (ч. 2 ст. 22): обработка исключительно без средств автоматизации, данные в государственных системах для защиты безопасности государства и общественного порядка, транспортная безопасность. Налоговый режим, маленький штат и отсутствие сайта к ним не относятся.

Чем крупнее компания, тем чаще у неё есть запись. Но до нуля не доходит даже верх шкалы:

Чем моложе бизнес, тем реже он в реестре. Из юрлиц, зарегистрированных в 2025–2026 годах, без записи 76,2 %, из ИП 90,2 %. Большую часть этого времени отдельная ответственность за неподачу уже действовала. У юрлиц, зарегистрированных до 2010 года, без записи 30,8 %.

Две волны: 2022 и 2025

Если разложить найденных операторов по дате регистрации уведомления, видны два всплеска.

Сентябрь 2022 года, 210 969 операторов за месяц. С 1 сентября 266-ФЗ отменил шесть исключений из девяти. Уведомлять стали и те, кто обрабатывает только данные своих работников и клиентов по договору.

Май 2025 года, 667 614. С 30 мая 2025 года за неподачу уведомления действует отдельный штраф (ч. 10 ст. 13.11 КоАП), размер штрафа определяется с учётом обстоятельств дела. В средний месяц 2024 года регистрировалось 3,8 тыс. операторов, в мае 2025 года в 177 раз больше. Май и июнь вместе дали 1 023 049 записей, это 47 % всех найденных.

Почти половина записей появилась не тогда, когда организации начали обрабатывать данные, а когда не иметь записи стало дорого. Это видно и по самим записям, о них ниже. Оговорка: мы видим только тех, кто действует сейчас, поэтому ранние годы занижены. А при повторной подаче в поле может стоять дата последнего уведомления.

Кто без записи: формы и отрасли

Полярные группы. Гаражные кооперативы, ИП, религиозные организации, потребкооперативы и СНТ: от 72 до 87 % без записи. Государственные и муниципальные бюджетные и автономные учреждения: около 10 %, в реестре почти все. ООО ровно посередине, 50,7 % из 2,26 млн.

Больше всего без записи в рекламе, грузоперевозках, рознице и салонах красоты: 77–81 %. Здесь много ИП, и они тянут долю вверх. Но «нет записи» только половина картины. Вот те же отрасли с тем, что мы нашли в записях, которые есть:

«Без записи» считаем от всех действующих организаций и ИП отрасли. «Запись устарела»: доля найденных записей, которые последний раз менялись до 1 сентября 2022 года. «Дата начала поздняя»: доля найденных юрлиц, у которых дата начала обработки позже регистрации больше чем на год. «Текст мер массовый»: доля записей, где описание мер слово в слово стоит в тысяче и более записей.

В образовании запись есть почти у двух третей, но каждая вторая найденная запись старая и с «поздней» датой начала. У бухгалтерских фирм записи нет больше чем у половины, хотя через них проходят кадровые и зарплатные данные клиентов. Работающие ИТ-компании в реестре чаще среднего, без записи 36,9 %, а ИП-разработчики реже среднего ИП: без записи 87,2 %.

Регионы

Больше всего действующих организаций и ИП без записи в Якутии (80,8 %), Ингушетии (80,5 %) и Дагестане (79,5 %). Следом Северная Осетия (79,4 %), Кабардино-Балкария и Тыва (по 77,8 %). Меньше всего в Костромской области (57,0 %), Калмыкии (58,6 %), Ставропольском крае (59,2 %) и Орловской области (59,4 %). Москва 66,9 %, Санкт-Петербург 63,8 %. Четыре новых региона в сравнение не берём, причина ниже.

Ошибки в найденных записях тоже распределены неровно:

• Старые записи. В Тыве до сентября 2022 года последний раз менялись 55,2 % найденных записей, в Еврейской автономной области 48,4 %, в Республике Алтай 39,6 %. По стране 11,2 %.
• Массовый текст мер. В Забайкальском крае он в 33,6 % записей, в Татарстане 33,1 %, в Башкортостане 32,2 %, в Ульяновской области 29,9 %. По стране 21,3 %. Похоже, в регионах ходят свои «образцы», но откуда они, мы не знаем.
• «Поздняя» дата начала. Выше всего в Крыму (43,2 %), Кабардино-Балкарии (42,1 %) и Севастополе (37,9 %). В ДНР и ЛНР доля ещё выше, но там в ЕГРЮЛ стоит дата перерегистрации 2023 года. Поэтому ДНР, ЛНР, Запорожскую и Херсонскую области мы не сравниваем.

Что видно в самих записях

Запись можно сравнить с ЕГРЮЛ и с законом. Мы так и сделали для 2 171 525 найденных записей. Ниже расхождения, которые встречаются чаще всего. Это расхождения, а не вывод о нарушении: у части найдутся объяснения. Но каждое из них видно любому, кто откроет карточку.

Дата начала задним числом

Дата начала обработки в уведомлении фактическая (п. 8 ч. 3 ст. 22 152-ФЗ). У юрлица с первого дня есть руководитель и его данные, поэтому обычно эта дата совпадает с регистрацией организации. Так и есть у 65,7 % найденных юрлиц. А у 26,5 % дата начала позже регистрации больше чем на год, у половины из них больше чем на восемь лет. Ещё у 4,4 % она раньше, чем организация появилась в ЕГРЮЛ.

Самые частые «поздние» даты говорят сами за себя:

У этой организации сразу три пометки. Работает она с 2000 года, а в записи «начала обрабатывать данные» 1 сентября 2022 года. Уведомление зарегистрировано 31 мая 2025 года, на следующий день после вступления в силу ч. 10 ст. 13.11 КоАП. Описание мер слово в слово такое же, как в 111 274 записях реестра.

У честной даты есть обратная сторона: по ней видно опоздание. Возьмём юрлица, зарегистрированные после 1 сентября 2022 года, когда исключений для кадровых и договорных данных уже не было. У 76,8 % из них дата начала раньше даты регистрации уведомления больше чем на 30 дней, медиана разрыва 14 месяцев. Подгонять дату начала под дату подачи тоже не выход: это недостоверные сведения в уведомлении, а запись открыта всем.

Меры защиты, списанные у соседей

В каждой записи есть поле «Описание мер, предусмотренных ст. 18.1 и 19 Закона». Это свободный текст, оператор пишет его сам. На 2 170 327 записей с заполненным полем приходится 803 606 разных текстов. У 50,9 % записей текст мер повторяется слово в слово минимум в 10 записях, у 21,3 % в тысяче и больше. Самый частый текст стоит в 111 274 записях, второй в 28 923, третий в 23 583.

Одинаковый текст сам по себе не нарушение. Но поле называется «описание мер», и по тексту, который одинаков у ста тысяч организаций, не понять, что сделала именно ваша. А то, о чём организация вообще не подумала, видно и без экспертизы. Мы прогнали поле по ключевым словам:

Оценку вреда, одну из мер, прямо названных в ст. 18.1, упоминает пятая часть записей. Запись не подтверждает, что меры приняты, но показывает, о чём оператор задумался, когда её заполнял.

Наименование и адрес из прошлой жизни

Если сведения из уведомления изменились, оператор сообщает об этом до 15-го числа следующего месяца (ч. 7 ст. 22 152-ФЗ). Судя по записям, это делают не все.

• В 8 821 записи юрлица до сих пор «закрытое» или «открытое акционерное общество», хотя по ЕГРЮЛ форма уже другая.
• У 9 895 юрлиц и 10 787 ИП адрес в записи в другом городе и регионе, чем в ЕГРЮЛ и ЕГРИП. Это нижняя граница: переезд внутри города так не виден.
• Ещё в 8 535 записях адрес пустой или состоит из индекса и запятых.

Ссылки на акты, которых нет

В правовом основании и в описании мер операторы ссылаются на документы. Иногда на те, что давно не действуют.

• Постановление Правительства РФ от 17.11.2007 № 781 о безопасности персональных данных в информационных системах. Утратило силу в 2012 году, его заменило постановление № 1119. С номером и датой «17.11.2007» оно стоит в 2 433 действующих записях.
• Приказ ФСТЭК России от 05.02.2010 № 58 о методах и способах защиты. Утратил силу в 2013 году, его заменил приказ № 21. Он стоит примерно в 700 записях.

Ссылка на отменённый акт ничего не обосновывает. Обычно она значит, что текст взят из старого образца и с тех пор его никто не перечитывал.

Ответственный и его почта

У 67,3 % найденных юрлиц ответственным за организацию обработки персональных данных записан сам руководитель. Закон это допускает. Но если руководитель сменится, а запись нет, в реестре останется человек, который за обработку уже не отвечает.

Контакты ответственного в записи открыты всем, и на них пишут граждане. У 63 % юрлиц это ящик на бесплатном почтовом сервисе: mail.ru, Яндекс, Рамблер. Такой ящик обычно заведён на конкретного человека и уходит вместе с ним. У 90 340 юрлиц почта ответственного на gmail.com, а с другими зарубежными сервисами таких 93,8 тыс. Сам адрес закон не запрещает. Но письма граждан с их данными приходят на сервер за рубежом, а при сборе персональных данных граждан России базы данных за пределами страны не допускаются (ч. 5 ст. 18 152-ФЗ). За нарушение этого требования ч. 8 ст. 13.11 КоАП предусматривает для организаций штраф от 1 до 6 млн ₽, размер определяется с учётом обстоятельств дела.

Цели и срок хранения

• У 8,7 % юрлиц, у которых по данным ФНС есть хотя бы один работник, среди целей обработки нет ни слова о работниках, кадрах или зарплате. Искали по ключевым словам, и цели видны не во всех записях. Но кадровый учёт есть у любого работодателя, и это отдельная цель.
• У 77,3 % юрлиц условие прекращения обработки одно: ликвидация или прекращение деятельности. Закон допускает указать срок или условие (п. 9 ч. 3 ст. 22). Но данные уволенного работника или бывшего клиента до ликвидации не хранят: срок определяют цели обработки (ч. 7 ст. 5).
• У 38,9 % ИП условием прекращения указана «ликвидация». ИП не ликвидируют, он прекращает деятельность. Мелочь, но по ней видно, что текст писали для другой формы.

Учреждения: запись есть, но старая

Из 2,17 млн найденных записей 243 492, или 11,2 %, последний раз менялись до 1 сентября 2022 года. У ИП таких 1,3 %, у ООО 8,6 %. У учреждений картина обратная: в реестре они почти все, но запись старая. У муниципальных бюджетных учреждений 72,1 %, у муниципальных казённых 70,0 %, у ТСЖ 62,9 %, у федеральных казённых учреждений 60,6 %.

Само по себе это не нарушение: перерегистрироваться закон не требовал, а сведения у школы могли и не меняться. Но с 26 декабря 2022 года действует более подробная форма уведомления (приказ Роскомнадзора от 28.10.2022 № 180). А за четыре года у многих учреждений сменились информационные системы, цели обработки и ответственные. Если что-то из этого поменялось, а запись прежняя, это уже ч. 7 ст. 22.

Чем это грозит

Запись в реестре видят все: клиенты, сотрудники, партнёры, контрагенты, конкуренты и проверяющие. Ошибку в ней не нужно искать, она на первой странице карточки. А по записи понятно, где искать дальше: в политике на сайте, в согласиях, в договорах с подрядчиками.

• Репутация. Дата начала задним числом, чужой текст мер, старое название и отменённый акт в основании видны без запроса и без проверки. По ним понятно, что запись заполнили для галочки и с тех пор не открывали. Клиент по ней решает, доверить ли вам свои данные. Партнёр или контрагент может открыть её, когда проверяет вас перед договором. Сотрудник видит, как организация обходится с его паспортом и зарплатой. Штраф платят один раз, а запись видна всем, пока её не исправят.
• Записи нет. За невыполнение обязанности уведомить Роскомнадзор ч. 10 ст. 13.11 КоАП предусматривает штраф для организаций и ИП от 100 000 до 300 000 ₽. ИП отвечают как юрлица. В государственных органах и учреждениях отвечает должностное лицо: от 30 000 до 50 000 ₽.
• Запись есть, а за ней пусто. Если цели в записи и в политике не совпадают с тем, что организация делает на самом деле, вопросы будут уже к обработке. Пример из нашей рубрики «Разбор дела»: прокуратура проверила у клиники политику на сайте, согласия пациентов, рассылки и архив. Итог по одной проверке: 75 000 ₽ клинике и ещё 75 000 ₽ главному врачу лично, как ответственному.
• Данные собираются за рубежом. Ч. 8 ст. 13.11 КоАП, от 1 до 6 млн ₽ для организаций.

Размер штрафа определяется с учётом обстоятельств дела.

Если вы в этих 67 %: три пути

1. Получить бесплатное заключение. Введите ИНН на главной странице kpib.ru. Мы сверим запись в реестре с ЕГРЮЛ и с законом, а эксперт Комитета пришлёт заключение на почту. Его хватит, чтобы понять, есть ли проблема и какая.

2. Сделать самому. Уведомление о намерении или об изменении сведений подаётся на pd.rkn.gov.ru. Это бесплатно. Начните с пяти полей из шпаргалки ниже.

3. Поручить нам. Подготовим уведомление о намерении или об изменении сведений за один рабочий день и сопроводим до записи в реестре. Стоимость 15 000 ₽, сумма засчитывается в комплект документов («Уведомление в Роскомнадзор»). Если за записью нет документов, приведём организацию в соответствие 152-ФЗ под ключ: комплект от 55 000 ₽, до 10 рабочих дней («Приведение в соответствие 152-ФЗ»).

Запись есть, но с ошибками из этой статьи? Путь тот же: заключение покажет, что исправить, а уведомление об изменении сведений исправит запись.

Как проверить свою запись

Ограничения

Разбор эксперта

Запись в реестре операторов видят все: клиенты, партнёры, конкуренты и проверяющие. Это первое, что о вас можно узнать по персональным данным без запроса и без визита.

Чаще всего мы видим не злой умысел, а запись, которую подали в спешке и забыли. Подали в мае 2025 года, под новый штраф, с датой «как у всех» и с текстом мер от соседа. Исправляется это одним уведомлением об изменении сведений, если документы за записью настоящие. Каждое заключение Комитета я подписываю лично.

Александр КеллерманнГенеральный директор, ведущий аудитор ISO/IEC 27001, Комитет по информационной и правовой безопасностиПодробнее об эксперте

Разборы выходят и в каналах:

Telegram ВКонтакте Дзен TenChat

Частые вопросы