Реестр операторов персональных данных: как проверить организацию и что содержит запись

Реестр операторов, осуществляющих обработку персональных данных, ведёт уполномоченный орган по защите прав субъектов персональных данных — Роскомнадзор. Обязанность вести реестр закреплена в пункте 3 части 5 статьи 23 152-ФЗ «О персональных данных» — это отдельная норма от статьи 22, которая описывает уже саму процедуру уведомления об обработке персональных данных.

Связь между ними прямая: содержание записи в реестре — это, по сути, сведения из уведомления, которое оператор подал по статье 22.

Ключевая для практики норма — об общедоступности. Закон прямо устанавливает: сведения, содержащиеся в реестре операторов, за исключением сведений о средствах обеспечения безопасности персональных данных при их обработке, являются общедоступными. Из этого следует главное практическое свойство реестра — его можно открыть и посмотреть без регистрации и без запроса к оператору напрямую.

По данным счётчика на портале pd.rkn.gov.ru, в реестре операторов персональных данных зарегистрировано порядка 2,6 млн организаций и предпринимателей (на 08.07.2026) оценка, живые данные регулятора. Число меняется ежедневно — новые уведомления добавляют записи, исключения из реестра их убирают, поэтому конкретную цифру правильнее воспринимать как порядок величины на момент проверки, а не как постоянный показатель.

Проверка организации в реестре — публичная функция портала pd.rkn.gov.ru, раздел «Реестр» (operators-registry/operators-list/). Форма поиска предлагает два основных поля: ИНН организации — самый надёжный способ найти конкретную запись, и наименование организации — если ИНН под рукой нет, можно ввести полное или неполное название. Как дополнительный, необязательный параметр можно уточнить дату включения в реестр.

Пошагово проверка выглядит так:

1. Откройте раздел «Реестр» на pd.rkn.gov.ru (operators-registry/operators-list/).
2. Введите ИНН организации — это самый точный способ отсечь однофамильцев среди юрлиц.
3. Если ИНН неизвестен, введите наименование организации; при необходимости сузьте поиск по дате включения в реестр.
4. В списке результатов посмотрите наименование, ИНН и регистрационный номер — этого достаточно, чтобы понять, есть ли организация в реестре в принципе.
5. Откройте карточку конкретной записи, чтобы увидеть более полный состав сведений — цели обработки, территорию, трансграничную передачу и другие поля из следующего раздела.

Технически закон и портал не разделяют «проверку себя» и «проверку контрагента» — это один и тот же публичный поиск, доступный любому пользователю без авторизации. Для комплаенс-проверки контрагента наличие записи в реестре, дата включения и заявленные в ней сведения о трансграничной передаче и категориях обрабатываемых данных можно использовать как один из сигналов due diligence перед заключением договора, связанного с обработкой персональных данных оценка, деловая практика.

В списке результатов поиска видны краткие сведения — наименование, ИНН, регистрационный номер. При переходе в карточку конкретного оператора состав сведений заметно шире и в целом соответствует пунктам части 3 и части 3.1 статьи 22 152-ФЗ, то есть тому же перечню, что оператор указывает в уведомлении:

↔ таблицу можно прокрутить вбок

Не у каждой записи заполнены все перечисленные поля — часть операторов указывает сведения по минимуму, допустимому законом, а часть значений в конкретной карточке может быть помечена как отсутствующая. Разбор того, какие именно сведения оператор обязан указать при подаче, — на странице уведомление в Роскомнадзор об обработке ПДн.

Запись в реестре не появляется сама по себе — она возникает как результат подачи оператором уведомления об обработке персональных данных в Роскомнадзор по части 1 статьи 22 152-ФЗ. Полный порядок — способы подачи, три формы (первичное уведомление, об изменении, о прекращении) и чек-лист сведений — разобран отдельно на странице уведомление в Роскомнадзор об обработке ПДн; здесь достаточно короткого резюме.

После поступления уведомления Роскомнадзор вносит сведения в реестр операторов в течение 30 дней — это статутный максимум, гарантированный законом. Фактический срок может быть короче, но ориентироваться при планировании стоит именно на 30-дневный максимум, а не на непроверенные наблюдения о более быстрых сроках.

Уведомлять обязан не каждый оператор без исключения. В части 2 статьи 22 152-ФЗ после реформы 266-ФЗ сохранились три узких основания освобождения от уведомления — обработка в профильных государственных информационных системах по гособезопасности, обработка исключительно без средств автоматизации и обработка в целях транспортной безопасности. Организации, подпадающие под одно из этих оснований, законно не будут числиться в реестре — подробный разбор исключений на странице об уведомлении.

Если ранее поданные сведения меняются — новая цель обработки, другой ответственный, смена адреса, — оператор обязан уведомить Роскомнадзор об изменении не позднее 15-го числа месяца, следующего за месяцем, в котором такие изменения возникли. Запись в реестре при этом не редактируется автоматически по факту, скажем, смены юридического адреса в ЕГРЮЛ — нужно отдельное уведомление об изменении сведений.

Исключение из реестра при прекращении обработки персональных данных проходит в два этапа:

1. Оператор уведомляет Роскомнадзор о прекращении обработки в течение 10 рабочих дней с даты прекращения.
2. Роскомнадзор рассматривает уведомление и исключает сведения об операторе из реестра оценка срока.

Отсутствие организации в публичном реестре не стоит автоматически трактовать как «раз не нашли — нарушитель». На практике это может означать одно из как минимум трёх разных состояний:

За невыполнение или несвоевременное выполнение обязанности по уведомлению предусмотрен отдельный состав по статье 13.11 КоАП РФ — подробный разбор сумм штрафов, включая составы за саму утечку персональных данных, собран на странице штрафы за утечку персональных данных.

При комплаенс-проверке контрагента, который по роду деятельности явно обрабатывает персональные данные — есть сайт с формами, CRM, работа с клиентами-физлицами, — а записи в реестре нет и явного исключения не видно, разумный шаг — задать контрагенту прямой вопрос о статусе уведомления, а не сразу считать это доказанным нарушением: три сценария выше показывают, что однозначного вывода из одного факта отсутствия в реестре не сделать оценка, деловая практика.