Уведомление в Роскомнадзор об обработке персональных данных: кто обязан и как подать

Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных — то есть Роскомнадзор — о своём намерении осуществлять такую обработку (ч. 1 ст. 22 152-ФЗ). Это отдельная процедура от 152-ФЗ о персональных данных в целом и от получения согласия субъекта на обработку — уведомление адресовано регулятору, а не человеку, чьи данные обрабатываются.

Федеральный закон от 14.07.2022 № 266-ФЗ изменил статью 22 и вступил в силу с 1 сентября 2022 года. До реформы в части 2 статьи 22 действовало девять оснований не подавать уведомление — в том числе обработка данных сотрудников по трудовому договору, данных стороны по гражданско-правовому договору, общедоступных данных. Эти основания утратили силу. Действующими остались только три пункта:

Практический вывод: для подавляющего большинства коммерческих операторов — сайтов и интернет-сервисов, работодателей в части автоматизированной обработки кадровых данных, CRM и маркетинговых систем, служб поддержки клиентов — уведомление в Роскомнадзор обязательно. Освобождение сохраняется у узкого круга: госорганов с профильными государственными информационными системами, организаций, которые ведут учёт исключительно на бумаге, и субъектов транспортной безопасности в этой части их деятельности.

Формулировка «уведомление теперь обязательно для всех без исключений», которая встречается в части обзоров, неточна — исключения есть, просто их стало намного меньше и они узкие.

• Первичное уведомление — до начала обработки персональных данных. Закон не задаёт число дней «заранее», критерий один: уведомление должно быть подано раньше, чем оператор начнёт фактически обрабатывать данные.
• Уведомление об изменении ранее поданных сведений — не позднее 15-го числа месяца, следующего за месяцем, в котором изменения возникли номер части статьи уточняется.
• Уведомление о прекращении обработки — в течение 10 рабочих дней с даты прекращения номер части статьи уточняется.
• Внесение сведений в реестр — Роскомнадзор вносит данные из уведомления в реестр операторов в течение 30 дней с момента поступления уведомления.
• Исключение из реестра — после получения уведомления о прекращении обработки Роскомнадзор исключает запись об операторе в течение 30 дней оценка.

Портал персональных данных Роскомнадзора (pd.rkn.gov.ru) предусматривает три канала подачи уведомления:

Для каждой ситуации на портале действует своя форма — все три утверждены приказом Роскомнадзора от 28.10.2022 № 180 «Об утверждении форм уведомлений о намерении осуществлять обработку персональных данных, об изменении сведений… о прекращении обработки персональных данных» (зарегистрирован Минюстом 15.12.2022 № 71532, вступил в силу 26.12.2022):

1. Форма первичного уведомления — о намерении осуществлять обработку ПДн.
2. Форма уведомления об изменении сведений, ранее поданных в первичном уведомлении.
3. Форма уведомления о прекращении обработки персональных данных.

Порядок действий для оператора, который подаёт уведомление впервые:

1. Проверить, не подпадает ли обработка под одно из трёх исключений ч. 2 ст. 22. Если нет — уведомление обязательно.
2. Собрать сведения по чек-листу из следующего раздела заранее: форма не хранит черновик долго, а часть полей требует точных формулировок.
3. Выбрать канал: УКЭП, если она уже есть у организации, ЕСИА — если нет, либо бумажный вариант при недоступности электронной подачи.
4. Заполнить форму первичного уведомления на pd.rkn.gov.ru или подать её на бумаге в территориальный орган.
5. Дождаться внесения сведений в реестр операторов (до 30 дней) и сохранить номер записи как подтверждение факта уведомления.

Формы уведомлений устанавливает Роскомнадзор. Изменение сведений и прекращение обработки по той же организации подаются позже через отдельные формы того же приказа, а не повторной подачей первичной.

Часть 3 статьи 22 152-ФЗ перечисляла 10 пунктов сведений; после 266-ФЗ пункты 3–6 утратили силу. Действующий состав сведений — 10 позиций:

↔ таблицу можно прокрутить вбок

Что стоит подготовить заранее, до захода на портал:

• название и адрес организации (или ФИО ИП);
• список целей обработки ПДн — под каждую цель отдельно;
• категории ПДн и категории субъектов по каждой цели;
• правовое основание по каждой цели — согласие, договор или норма закона (см. согласие на обработку персональных данных);
• перечень действий и способы обработки — сбор, хранение, передача, автоматизированная или неавтоматизированная;
• меры защиты, включая наличие и название СКЗИ, если применяются — с учётом требуемого уровня защищённости персональных данных;
• ФИО и контакты ответственного за организацию обработки ПДн;
• дату начала обработки и срок или условие её прекращения;
• да/нет по трансграничной передаче — и куда, если да;
• место нахождения базы данных с ПДн граждан РФ;
• данные обработчиков-подрядчиков, если обработка передана по договору.

Роскомнадзор ведёт реестр операторов, осуществляющих обработку персональных данных. Сведения из реестра, за исключением сведений о средствах обеспечения безопасности ПДн, являются общедоступными — то есть любой может проверить, зарегистрирован ли оператор. По данным счётчика на портале pd.rkn.gov.ru, в реестре числится более 2,6 млн операторов (проверено на 08.07.2026; счётчик обновляется ежедневно) оценка.

На портале есть раздел «Реестр» с поисковой формой — по названию организации, ИНН и дополнительным параметрам, включая дату включения. В карточке оператора видны дата включения в реестр, территория деятельности, дата начала и (если указана) дата окончания обработки.

Формально закон не называет включение в реестр «разрешением» на обработку — обязанность обрабатывать данные законно возникает у оператора независимо от факта уведомления. На практике же номер записи в реестре используется как подтверждение факта уведомления при проверках, в договорах с контрагентами и в тендерной документации, где нередко запрашивают номер оператора в реестре ПДн оценка/деловая практика.

Если ранее поданные сведения меняются — например, появилась новая цель обработки, изменился ответственный или адрес организации, — оператор подаёт уведомление об изменении не позднее 15-го числа месяца, следующего за месяцем, в котором изменения возникли. На портале для этого действует отдельная форма (Приложение № 2 к приказу Роскомнадзора № 180).

Если обработка прекращается полностью, оператор обязан уведомить об этом Роскомнадзор в течение 10 рабочих дней с даты прекращения — тоже через отдельную форму (Приложение № 3 к тому же приказу). После получения такого уведомления Роскомнадзор исключает запись об операторе из реестра оценка срока.

Уведомление по статье 22 и уведомление об инциденте по статье 21 152-ФЗ — два разных документа с разным поводом, разными сроками и разной адресной аудиторией внутри самого оператора. Путаница между ними — частая ошибка: «мы же уведомили РКН при регистрации» не освобождает от отдельного, срочного уведомления при утечке.

↔ таблицу можно прокрутить вбок

Подробный разбор сроков, штрафов и порядка действий при утечке — на странице штрафы за утечку персональных данных; здесь важно зафиксировать главное: это не альтернативные, а обязательные и независимые друг от друга процедуры.

Приказ Роскомнадзора от 14.11.2022 № 187 «Об утверждении Порядка и условий взаимодействия Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций с операторами в рамках ведения реестра учёта инцидентов в области персональных данных» регулирует не подачу уведомления об обработке ПДн, а порядок ведения реестра учёта инцидентов, связанных с неправомерной или случайной передачей (утечкой) персональных данных, — того самого реестра, куда попадают сведения об утечках по статье 21 152-ФЗ. Приказ зарегистрирован Минюстом России 28.12.2022 № 71851 и вступил в силу 1 марта 2023 года — это отдельный документ от приказа № 180, разобранного выше: они близки по дате (обе нормы изданы осенью 2022 года), но регулируют разные процедуры факт.

Приказ Роскомнадзора от 28.10.2022 № 180 — это формы уведомления об обработке ПДн по статье 22 152-ФЗ, разобранные в разделе «Как подать: способы и формы» выше: намерение обрабатывать, изменение сведений, прекращение обработки. Приказ Роскомнадзора № 187 от 14.11.2022 — другой документ и по дате, и по предмету: он устанавливает порядок, по которому оператор подаёт в Роскомнадзор два уведомления при утечке — первичное, в течение 24 часов с момента выявления инцидента оператором, и дополнительное, о результатах внутреннего расследования, в течение 72 часов (раздел «Не путать с уведомлением об утечке» выше подробно разбирает сами сроки по ст.

21 152-ФЗ; приказ № 187 — подзаконный акт, который технически реализует эту процедуру и порядок ведения реестра таких инцидентов) факт. Разница в номере — всего 7 пунктов, но по функции документы не пересекаются: один определяет, как оператору заявить о себе при начале обработки, второй — как устроен государственный учёт уже случившихся инцидентов.

За невыполнение или несвоевременное выполнение обязанности по уведомлению уполномоченного органа о намерении обрабатывать персональные данные предусмотрен отдельный состав по ст. 13.11 КоАП РФ: штраф 5 000–10 000 ₽ для граждан, 30 000–50 000 ₽ для должностных лиц и 100 000–300 000 ₽ для юридических лиц.

Это отдельный и заметно более мягкий состав, чем ответственность за саму утечку персональных данных — полный разбор штрафов по ст. 13.11 КоАП, включая составы за утечки, собран на странице штрафы за утечку персональных данных.