Уведомление об обработке персональных данных обязаны подавать почти все организации и предприниматели — включая тех, кто обрабатывает только данные своих работников. Исключений осталось мало, а с 30 мая 2025 года штраф для юридического лица за работу без уведомления составляет 100 000 – 300 000 ₽ (для должностного лица — 30 000 – 50 000 ₽).
При этом уведомление — самая дешёвая из всех обязанностей оператора: подача бесплатна, занимает часы, и её результат виден в открытом реестре. Ниже — как проверить своё положение и что делать дальше.
Кто обязан подать
Обязанность возникает у любого, кто обрабатывает персональные данные — то есть любую информацию, относящуюся к определённому человеку. Практически это означает: у вас есть работники, исполнители по договорам ГПХ, клиенты-физические лица или форма обратной связи на сайте — вы оператор.
Частое заблуждение: «у нас только сотрудники, значит, уведомление не нужно». Освобождение для обработки данных работников из закона убрано. Сегодня отсутствие уведомления при наличии хотя бы одного трудового договора — нарушение.
Второе заблуждение: «мы маленькие, до нас не дойдут». Основной канал контроля здесь не плановые проверки — они для малого бизнеса в основном под мораторием — а автоматический мониторинг: сканирование доменных зон .ru, .рф и .su на формы сбора данных без чекбокса согласия и без ссылки на политику обработки. Сайт с формой заявки виден снаружи и проверяется без визита.
Как проверить себя в реестре
Реестр операторов персональных данных открыт: pd.rkn.gov.ru → «Реестр операторов» → поиск по ИНН. Электронная подпись для просмотра не нужна.
Что стоит посмотреть в найденной карточке:
- Дата включения в реестр — с какого момента вы числитесь оператором.
- Цели обработки. Если в уведомлении указан только кадровый учёт, а вы уже собираете заявки с сайта и ведёте клиентов, сведения устарели.
- Адрес оператора и адрес места обработки. Переезд или смена юридического адреса — повод для изменения сведений.
- Сведения о сайте, через который собираются данные. Домен, появившийся после подачи уведомления, в карточке не появится сам.
- Место нахождения базы данных. Данные граждан России записываются и хранятся на серверах в России — это отдельное требование, и в уведомлении оно отражается.
Если записи в реестре нет — уведомление не подавалось или не прошло. Подать его можно через тот же портал, для отправки понадобится электронная подпись; альтернатива — подача на бумаге в территориальное управление Роскомнадзора.
Если сведения изменились
Это ситуация, в которую попадают почти все растущие компании: уведомление подавали несколько лет назад под кадровый учёт, а потом появился сайт, форма заявки, счётчик статистики и облачный сервер.
Срок установлен частью 7 статьи 22 закона № 152-ФЗ: сообщить об изменениях нужно не позднее 15-го числа месяца, следующего за месяцем, в котором изменения произошли. Подаётся информационное письмо об изменении сведений — не новое уведомление.
Типичные события, требующие такого письма:
- запустили сайт, где собираются данные (форма заявки, обратный звонок, подписка);
- начали обрабатывать новую категорию субъектов — например, добавились клиенты-физические лица;
- сменился адрес компании, ответственное лицо или руководитель;
- изменилось место размещения базы данных — переехали к другому хостинг-провайдеру;
- появился обработчик, которому вы поручаете обработку.
Что должно существовать помимо уведомления
Уведомление — это заявление о себе. Оно не заменяет документов, которые вправе проверить, не выходя из кабинета:
- Политика обработки персональных данных, опубликованная на сайте по прямой ссылке. Это прямая обязанность по части 2 статьи 18.1 закона № 152-ФЗ и первое, что смотрит проверяющий.
- Форма на сайте с отдельным чекбоксом согласия — непроставленным по умолчанию — и ссылкой на политику рядом.
- Приказ о назначении лица, ответственного за организацию обработки персональных данных.
- Перечень обрабатываемых данных: какие поля, с какой целью, сколько хранятся.
- Правила обработки и порядок ответа на обращения субъектов.
- Журнал учёта обращений субъектов персональных данных.
- Акт определения уровня защищённости информационной системы.
Первые три — минимум, без которого уведомление превращается в приглашение к проверке: вы заявили о себе как об операторе, а подтвердить исполнение обязанностей нечем.
Порядок действий на ближайшую неделю
- Проверьте себя в реестре по ИНН — 10 минут.
- Если записи нет — готовьте уведомление. Данные для него: цели обработки, категории данных и субъектов, перечень действий, дата начала обработки, место нахождения базы.
- Если запись есть — сверьте её содержание с тем, что происходит в компании сейчас. Расхождения фиксируйте списком.
- Откройте свой сайт как посетитель: есть ли ссылка на политику, есть ли отдельный чекбокс согласия, не проставлен ли он заранее.
- При расхождениях — информационное письмо об изменении сведений, срок считайте от месяца, в котором изменение произошло.
Про суммы
Стоимость бездействия здесь несоразмерна стоимости действия. Подача уведомления бесплатна; штраф за его отсутствие для юридического лица начинается со 100 000 ₽. Отдельно стоит держать в голове, что ответственность за утечку персональных данных с 2025 года измеряется миллионами, а при повторном нарушении — процентом от выручки. Порядок в документах — не формальность, а способ не оказаться в этой шкале.
Материал носит информационный характер и отражает состояние законодательства на дату публикации. Состав документов и содержание уведомления зависят от того, какие данные и с какой целью обрабатывает конкретная компания.