Обязана ли ваша компания уведомить Роскомнадзор об обработке персональных данных?

Если ваша компания принимает на работу людей, заключает договоры с клиентами — физическими лицами или собирает заявки через сайт, она обрабатывает персональные данные и обязана до начала обработки подать в Роскомнадзор уведомление об обработке персональных данных (ч. 1 ст. 22 закона № 152-ФЗ «О персональных данных»). Исключений в законе три, и обычному офису, магазину или сервисной компании они практически никогда не подходят; прежние шесть исключений утратили силу 1 сентября 2022 года. Если обработка давно идёт, а уведомления нет, его подают сейчас: обязанность от этого не исчезает. С 30 мая 2025 года за неподанное уведомление компанию штрафуют на сумму от 100 000 до 300 000 рублей (ч. 10 ст. 13.11 Кодекса РФ об административных правонарушениях). Подачу поручают ответственному за организацию обработки персональных данных — закон требует назначить такого человека, и это может быть, например, бухгалтер. Проверить, есть ли компания в реестре операторов, стоит самому: это две минуты.

Кому уведомление обязательно

Обязанность лежит на операторе. По закону оператор — это «государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными» (п. 2 ст. 3 закона № 152-ФЗ). Персональные данные по тому же закону — «любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу» (п. 1 ст. 3), а обработка — «любое действие» с ними, «включая сбор, запись, систематизацию, накопление, хранение» (п. 3 ст. 3).

Примерьте определения к своей компании. Личное дело работника, расчёт его зарплаты, копия паспорта в бухгалтерии — обработка персональных данных. Договор с клиентом — физическим лицом, его телефон в базе, заявка с сайта с именем и номером — тоже. Цели этой обработки определяет компания, значит, она и есть оператор. Численность, оборот и вид деятельности закон не учитывает: компания с единственным работником — такой же оператор, как сеть магазинов. Даже у компании без наёмных работников и с клиентами только среди юридических лиц есть персональные данные: имя и паспортные данные самого директора в документах о его назначении и в банковских документах, имена и телефоны представителей контрагентов в договорах и переписке. Это тоже данные физических лиц, и компания их хранит и использует.

Кто вправе не подавать

Закон разрешает обрабатывать данные без уведомления только в трёх случаях (ч. 2 ст. 22 закона № 152-ФЗ):

• данные включены в государственные информационные системы, созданные для защиты безопасности государства и общественного порядка;
• оператор обрабатывает данные «исключительно без использования средств автоматизации»;
• данные обрабатываются по законодательству о транспортной безопасности.

Первое и третье исключения касаются не типа компании, а определённых данных и целей: государственных систем безопасности и транспортной безопасности. Обработку данных работников и клиентов обычного офиса, магазина или сервисной компании они не освобождают. Второе исключение означает обработку без вычислительной техники вообще: автоматизированная обработка — это обработка «с помощью средств вычислительной техники» (п. 4 ст. 3 закона № 152-ФЗ). Компьютер в бухгалтерии, база клиентов в таблице или в системе управления отношениями с клиентами (CRM), почта с заявками — уже автоматизация. Компания, которая ведёт все записи о людях только на бумаге, в жизни почти не встречается, поэтому на это исключение рассчитывать не стоит.

Если обработка давно идёт, а уведомления нет

Формулировка Роскомнадзора «о начале или осуществлении» любой обработки (портал персональных данных) означает, что уведомление ждут и от компании, которая обрабатывает данные не первый год.

Сначала проверьте, нет ли компании в реестре: на портале Роскомнадзора есть поиск по реестру операторов по названию или ИНН (реестр операторов). Бывает, что уведомление подавали много лет назад и просто забыли; тогда вопрос другой — актуальны ли сведения (об этом ниже).

Если записи о компании в реестре операторов нет, подавайте уведомление сейчас. Нарушение по ч. 10 ст. 13.11 КоАП РФ — это «невыполнение или несвоевременное выполнение» обязанности уведомить; подача его прекращает, а ожидание проверки ничего не улучшает. Штраф за прошлое опоздание при этом возможен — в течение какого срока могут оштрафовать, разобрано в разделе «Что будет, если не сделать».

Кому поручить и что указать

У компании-оператора должен быть ответственный за организацию обработки персональных данных (дальше — ответственный): его назначает юридическое лицо, он получает указания от исполнительного органа, то есть от директора, и подотчётен ему (ч. 1 и 2 ст. 22.1 закона № 152-ФЗ). Имя, телефон, почтовый адрес и электронная почта ответственного — обязательная часть уведомления, и эти сведения попадают в общедоступный реестр. Ему и поручается собрать сведения и подать уведомление; если такого человека ещё нет, назначьте его приказом до подачи. Подписывает уведомление уполномоченное лицо — директор или тот, кому он это поручил (ч. 3 ст. 22 закона № 152-ФЗ).

Что ответственный должен подготовить по перечню ч. 3 ст. 22:

• Наименование и адрес компании (п. 1).
• Цели обработки (п. 2) — например, кадровый учёт и расчёт оплаты труда, исполнение договоров с клиентами, приём заявок с сайта. По каждой цели отдельно указываются категории данных, категории людей, правовое основание, перечень действий и способы обработки (ч. 3.1 ст. 22 закона № 152-ФЗ). Это самая трудоёмкая часть: цели стоит перечислить все сразу, потому что каждая новая цель потом — повод для уведомления об изменении сведений (о его сроке ниже).
• Описание мер по защите данных по ст. 18.1 и 19 закона, включая сведения о шифровальных средствах (п. 7). Закон называет такие меры «в частности»: назначение ответственного; политика обработки и локальные акты, то есть внутренние документы компании о работе с данными; технические меры безопасности; внутренний контроль; оценка вреда, который может быть причинён людям при нарушении закона; ознакомление работников (ч. 1 ст. 18.1 закона № 152-ФЗ). В уведомлении описывают то, что в компании действительно есть.
• Сведения об ответственном — имя, телефон, почтовый адрес, электронная почта (п. 7.1).
• Дата начала обработки (п. 8) — закон спрашивает именно дату начала, а не дату подачи, поэтому у компании, которая работает с данными давно, это фактическая дата. Срок или условие прекращения обработки (п. 9).
• Есть ли трансграничная передача (п. 10) — передача данных за границу, например через зарубежный почтовый сервис или CRM.
• Где находится база данных с данными граждан России (п. 10.1).
• Кто имеет доступ к данным государственных и муниципальных информационных систем (п. 10.2) — обычной компании этот пункт чаще всего не касается.
• Сведения об обеспечении безопасности по требованиям к защите персональных данных, установленным Правительством Российской Федерации (п. 11). В отличие от описания мер выше это техническая часть; если в компании нет своего специалиста по информационным технологиям, здесь нужен внешний.

Как подать

По закону уведомление направляется на бумаге или в электронной форме и подписывается уполномоченным лицом (ч. 3 ст. 22 закона № 152-ФЗ). Формы уведомлений устанавливает сам Роскомнадзор (ч. 8 ст. 22 закона № 152-ФЗ); по данным портала персональных данных, действующие формы утверждены приказом Роскомнадзора от 28.10.2022 № 180 «Об утверждении форм уведомлений о намерении осуществлять обработку персональных данных, об изменении сведений, содержащихся в уведомлении о намерении осуществлять обработку персональных данных, о прекращении обработки персональных данных». Там же сказано, что уведомление отправляется в территориальный орган Роскомнадзора и что на портале его можно сформировать и отправить тремя способами: в бумажном виде, в электронном виде с усиленной квалифицированной электронной подписью и в электронном виде через Единую систему идентификации и аутентификации (ЕСИА). Последний способ, как поясняет сама форма уведомления, — это вход по подтверждённой учётной записи на портале Госуслуг, привязанной к организации. Электронная подпись у компании обычно уже есть — та же, что для отчётности. В той же форме первым полем выбирается регион регистрации компании: уведомление направляется в территориальный орган по месту регистрации оператора.

Плата за рассмотрение уведомления и внесение в реестр не взимается (ч. 5 ст. 22 закона № 152-ФЗ). Услуги «подадим за вас за 9 000 рублей» из рекламы — плата за чужой труд, а не государственная пошлина. Сохраните подтверждение отправки с датой: срок внесения в реестр закон считает с даты поступления уведомления, а подтверждение — доказательство подачи, если возникнет спор.

После подачи

Роскомнадзор вносит сведения в реестр операторов в течение тридцати дней с даты поступления уведомления (ч. 4 ст. 22 закона № 152-ФЗ). Сведения реестра общедоступны, кроме сведений о средствах защиты данных, поэтому запись можно проверить тем же поиском по ИНН. Если сведения неполны или недостоверны, ведомство вправе запросить уточнение до внесения в реестр (ч. 6 ст. 22 закона № 152-ФЗ) — на письмо из территориального органа нужно ответить, а не отложить.

Поручите ответственному через месяц после подачи проверить реестр и сообщить вам результат: дату внесения и то, что цели в записи совпадают с поданными.

Если сведения изменились или обработка прекращена

Уведомление подаётся один раз, но сведения в нём должны оставаться верными. Об изменении любых сведений из уведомления — сменился ответственный, появилась новая цель, переехала база данных — компания обязана уведомить Роскомнадзор «не позднее 15-го числа месяца, следующего за месяцем, в котором возникли такие изменения» (ч. 7 ст. 22 закона № 152-ФЗ). О прекращении обработки компания обязана уведомить в течение десяти рабочих дней с даты прекращения (ч. 7 ст. 22 закона № 152-ФЗ); тогда сведения исключают из реестра в течение тридцати дней (ч. 4.1 ст. 22 закона № 152-ФЗ).

Практически это значит, что у ответственного должна быть привычка: любое изменение в работе с данными — повод свериться с уведомлением до 15-го числа следующего месяца. Уведомление, поданное несколько лет назад и не обновлявшееся, стоит сверить с реальностью уже сейчас: для изменения сведений на портале есть отдельная форма.

Все сроки одной таблицей:

Что будет, если не сделать

За невыполнение или несвоевременное выполнение обязанности уведомить Роскомнадзор о намерении обрабатывать персональные данные ч. 10 ст. 13.11 КоАП РФ предусматривает штраф: на граждан — от 5 000 до 10 000 рублей, на должностных лиц — от 30 000 до 50 000 рублей, на юридических лиц — от 100 000 до 300 000 рублей. Эта часть введена законом от 30.11.2024 № 420-ФЗ и действует с 30 мая 2025 года (ст. 2 закона № 420-ФЗ; карточка закона в системе «Гарант» с датами опубликования и вступления в силу).

Деталь, которую часто упускают. Для ч. 10 у статьи есть собственные примечания: «должностное лицо» здесь — только должностное лицо государственного или муниципального органа либо некоммерческой организации, а «юридическое лицо» — оператор, который не является таким органом или НКО (примечания 2 и 3 к ст. 13.11 КоАП РФ). Для коммерческого ООО это означает штраф на саму компанию — от 100 000 до 300 000 рублей; отдельный штраф директору по этой части не предусмотрен. В НКО наоборот: саму организацию по этой части не штрафуют, штраф от 30 000 до 50 000 рублей грозит её должностному лицу. Индивидуальные предприниматели отвечают как юридические лица (примечание 1).

Давность привлечения к ответственности за нарушения в области персональных данных — один год со дня совершения нарушения (ч. 1 ст. 4.5 КоАП РФ), а при длящемся нарушении срок считается со дня его обнаружения (ч. 2 ст. 4.5 КоАП РФ). Поправка к ч. 1 ст. 4.5 КоАП РФ, которая действует с 1 октября 2026 года (п. 2 ст. 1 и ст. 2 закона от 04.08.2026 № 295-ФЗ), годичный срок не меняет: она дополняет перечень сроков давности двумя видами нарушений — законодательства в сфере платформенной экономики и законодательства о деятельности саморегулируемых организаций оценщиков, а слова о нарушениях в области персональных данных не затрагивает. Полагаться на то, что неподанное уведомление «сгорело» через год после начала обработки, не стоит: обязанность никуда не делась, а откуда считать год, зависит от того, посчитает ли инспектор нарушение длящимся. Надёжный способ закрыть вопрос один — подать уведомление.

Что изменится дальше

Принятых, но ещё не вступивших в силу поправок к статьям закона № 152-ФЗ и к ст. 13.11 КоАП РФ, на которые опирается эта статья, при подготовке не найдено.

Нормы меняются: перед тем как действовать, сверьте редакцию акта по ссылкам в источниках.

Источники

1. Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ред. от 26.07.2026: ст. 3, ст. 18.1, ст. 22, ст. 22.1.
2. Кодекс Российской Федерации об административных правонарушениях от 30.12.2001 № 195-ФЗ, ред. от 26.07.2026, ч. 1 ст. 4.5 с 1 октября 2026 года — в редакции закона № 295-ФЗ: ст. 4.5, ст. 13.11; Федеральный закон от 04.08.2026 № 295-ФЗ «О внесении изменений в Кодекс Российской Федерации об административных правонарушениях» (п. 2 ст. 1 действует с 1 октября 2026 года): ст. 1, ст. 2.
3. Федеральный закон от 30.11.2024 № 420-ФЗ «О внесении изменений в Кодекс Российской Федерации об административных правонарушениях»: ст. 2; карточка закона в системе «Гарант» с датами опубликования и вступления в силу.
4. Роскомнадзор, портал персональных данных: электронные формы заявлений, форма уведомления, реестр операторов, поиск по реестру; официальный сайт: обязанности оператора.