Уведомление Роскомнадзора об обработке персональных данных: инструкция и штрафы 2026

Вы думаете, что если у вас маленький интернет-магазин или вы просто ведете базу клиентов в Excel, то государство о вас не знает? Ошибка. С 30 мая 2025 года штрафы за отсутствие уведомления в Роскомнадзор стали настолько серьезными, что могут превысить прибыль малого бизнеса за квартал. Для юридических лиц они достигают 750 000 рублей. Но главное даже не деньги, а риск блокировки сервисов и внезапных проверок.

Многие предприниматели путают два понятия: обязанность хранить данные безопасно и обязанность сообщить государству, что вы вообще ими занимаетесь. Второе - это формальность, которую часто игнорируют до первого письма от регулятора. А когда письмо приходит, времени на подготовку документов уже нет.

Кому нужно подавать уведомление?

Давайте сразу разберемся с мифами. Уведомление требуется практически всем, кто обрабатывает персональные данные с помощью компьютеров. Если вы собираете имена, телефоны или email посетителей вашего сайта - вы оператор. Если вы храните сканы паспортов сотрудников в папке на сервере - вы тоже оператор.

Закон 152-ФЗ определяет оператора как лицо, которое самостоятельно или совместно с другими лицами организует и осуществляет обработку персональных данных. Исключения существуют, но их мало. Например, если вы работаете один и ведете учет клиентов исключительно в бумажном блокноте без использования программ, вы можете быть освобождены. Но как только вы занесете эти данные в CRM или таблицу Excel на компьютере, исключение перестает работать.

Также освобождены те, кто обрабатывает данные только для связи с субъектами (например, доставка заказа по указанному адресу) или проводит анонимизированные статистические исследования. Однако на практике доказать «чистую анонимизацию» сложно, поэтому юристы рекомендуют подавать уведомление всегда, когда есть сомнения. Это дешевле, чем платить штраф.

Что изменилось в штрафах и правилах?

Ситуация кардинально изменилась после принятия Федерального закона № 420-ФЗ от 30 ноября 2024 года. Раньше штраф за неуведомление был символическим - около 5-10 тысяч рублей. Многие предпочитали заплатить его, чем возиться с бумагами. Теперь эта стратегия не работает.

Новые санкции, действующие с середины 2025 года, предусматривают:

• Для должностных лиц: от 30 000 до 50 000 рублей.
• Для индивидуальных предпринимателей: от 50 000 до 100 000 рублей.
• Для юридических лиц: от 50 000 до 750 000 рублей.

Размер штрафа зависит от тяжести нарушения и того, повторно ли оно совершено. Кроме того, с 1 сентября 2025 года ужесточились требования к оформлению согласия на обработку данных. Теперь согласие должно быть отдельным документом, а не пунктом мелким шрифтом в договоре купли-продажи. Отсутствие такого согласия также может стать основанием для проверки и последующего запроса сведений из реестра операторов.

Как заполнить форму уведомления?

Текущая форма утверждена Приказом Роскомнадзора № 180 от 28 октября 2022 года. Она состоит из нескольких разделов, которые пугают новичков своей детализацией. Самая частая ошибка - расплывчатое описание целей обработки.

Не пишите «для улучшения сервиса». Пишите конкретно: «для заключения и исполнения договора купли-продажи», «для доставки товаров», «для рассылки рекламных предложений». Чем конкретнее цель, тем меньше вопросов возникнет у инспектора при проверке.

Второй важный блок - категории субъектов и перечень данных. Здесь важно не переборщить. Не указывайте биометрические данные (отпечатки пальцев, радужная оболочка глаза), если вы их реально не собираете. Указание лишних категорий обязывает вас соблюдать более строгие меры безопасности для этих данных, даже если они у вас не используются.

Раздел «Меры по обеспечению безопасности» требует перечислить технические и организационные меры. Сюда входят: антивирусное ПО, пароли доступа, обучение сотрудников, наличие политики конфиденциальности на сайте. Не нужно писать диссертацию, достаточно указать факт наличия таких мер и ссылку на внутренние регламенты.

Пошаговая инструкция подачи через Госуслуги

Самый быстрый способ - электронная подача. Бумажные уведомления отправляются почтой долго, и теряются чаще. Вот как сделать все правильно через личный кабинет на портале Роскомнадзора:

1. Подготовка документов. Перед заполнением формы у вас должны быть готовы: Политика в отношении обработки персональных данных, Приказ о назначении ответственного лица, описание информационных систем (где лежат данные).
2. Авторизация. Зайдите на сайт pd.rkn.gov.ru. Вам понадобится подтвержденная учетная запись на Госуслугах или квалифицированная электронная подпись (КЭП).
3. Заполнение карточки оператора. Введите ИНН, ОГРН, юридический адрес и контакты. Система автоматически подтянет часть данных из ЕГРЮЛ/ЕГРИП.
4. Описание обработки. Заполните разделы о целях, категориях субъектов и типов данных. Используйте выпадающие списки, где возможно.
5. Меры защиты. Перечислите используемые средства защиты информации (СЗИ). Если используете облачные сервисы (например, Яндекс.Облако или VK Cloud), обязательно укажите провайдера и уровень защищенности инфраструктуры.
6. Отправка. Проверьте данные и подпишите документ электронной подписью. После этого статус заявки изменится на «На рассмотрении».

Срок рассмотрения обычно составляет 30 дней, но на практике уведомления регистрируются быстрее - за 1-2 недели. После регистрации ваша компания появится в открытом реестре операторов персональных данных.

Частые ошибки, приводящие к отказам

По статистике сервисов отчетности, более 60% отказов связаны с формальными ошибками. Вот топ-3 проблемы, которые нужно избежать:

• Несоответствие адреса. Юридический адрес в уведомлении должен совпадать с адресом в ЕГРЮЛ. Если офис фактический отличается, укажите оба, но основной привязывайте к уставному.
• Отсутствие ответственного лица. Нельзя оставить поле пустым или написать «директор». Нужно указать ФИО конкретного сотрудника, который несет ответственность за обработку данных. Часто это сам директор, если штат небольшой.
• Неточное указание ИС (информационных систем). Если данные хранятся в 1С, Битрикс24 и на хостинге сайта, все три системы должны быть упомянуты как места хранения. Пропуск одной из них считается нарушением полноты сведений.

Если Роскомнадзор пришлет запрос на уточнение, не игнорируйте его. Ответить нужно в течение 30 дней. Игнорирование расценивается как неустранимое нарушение, что ведет к исключению из реестра и возможной блокировке обработки данных.

Что делать, если вы уже обрабатываете данные, но не уведомляли?

Подайте уведомление немедленно. Закон требует делать это «до начала обработки», но обратной силы штрафы не имеют в жесткой форме, если вы устраняете нарушение добровольно. Главное - подать документы до момента проверки.

Проверьте, попадаете ли вы под исключения. Если нет, подготовьте пакет документов. Для малого бизнеса стоимость подготовки «под ключ» у консультантов варьируется от 15 000 до 30 000 рублей. Самостоятельная подача бесплатна, но требует времени на изучение методичек Роскомнадзора.

Помните: внесение в реестр не дает иммунитета от проверок, но показывает вашу добросовестность. Инспекторы охотнее идут навстречу тем, кто зарегистрирован, чем тем, кто скрывался.