Уведомление в Роскомнадзор: кто обязан подать и что будет, если не подали

Уведомление в Роскомнадзор оператор персональных данных обязан подать до начала обработки — и с 30 мая 2025 года за его отсутствие есть отдельный штраф: от 100 до 300 тысяч рублей для юридических лиц и от 30 до 50 тысяч для должностных. Раньше неподача проходила по общей статье о непредставлении сведений и стоила копейки, поэтому на неё массово закрывали глаза. Сейчас это самостоятельный состав в части 10 статьи 13.11 КоАП РФ, и цена вопроса выросла на порядок.

При этом большинство владельцев сайтов уверены, что их это не касается: базы клиентов нет, картотеки нет, «мы же просто принимаем заявки». Проблема в том, что именно приём заявок и делает бизнес оператором. Ниже — кто по закону обязан подавать уведомление, какие исключения реально остались, что писать в форме, как подать через портал Роскомнадзора, как проверить себя в реестре и что делать, если срок давно прошёл. Если параллельно нужно привести сайт в порядок целиком, есть сопровождение и продвижение сайта — служебные страницы и формы в такую работу входят.

Кто обязан подать и откуда берётся обязанность

Норма — часть 1 статьи 22 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»: оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своём намерении осуществлять обработку, за исключением случаев, предусмотренных частью 2 той же статьи.

Кто такой оператор, определено в статье 3 закона: государственный или муниципальный орган, юридическое либо физическое лицо, которое самостоятельно или совместно с другими организует и (или) осуществляет обработку персональных данных, а также определяет цели обработки, состав обрабатываемых данных и действия, совершаемые с ними. Никакого порога по обороту, численности или количеству записей в определении нет.

Обратите внимание на слова «до начала обработки». Уведомление по своей природе — предварительное. Если вы принимаете заявки третий год, срок вы уже нарушили, и подача сейчас не отменяет прошлого. Но она прекращает длящееся нарушение, и это всегда лучше, чем продолжать его ещё год.

Почему обычная форма заявки делает вас оператором

Посмотрите на то, что происходит, когда посетитель нажимает «Отправить». Вы заранее решили, какие поля будут в форме, — определили состав данных. Вы решили, зачем они вам, — определили цель. Данные записываются в базу сайта, уходят на почту, падают в систему учёта, менеджер по ним звонит — это действия с персональными данными. Всё, что нужно для статуса оператора по статье 3, состоялось.

Тот же результат дают вещи, которые владельцы обычно не считают «сбором данных»: подписка на рассылку, форма записи на приём, онлайн-консультант, где спрашивают имя и телефон, форма отзыва с контактами, анкета для расчёта, квиз с полем «куда прислать результат». Это всё сбор.

И отдельная категория, про которую вспоминают в последнюю очередь, — данные собственных работников. Даже у ИП без сайта, у которого есть хотя бы один сотрудник, идёт обработка персональных данных: трудовой договор, паспортные данные, СНИЛС, сведения для отчётности. То есть вопрос «нужно ли мне уведомление» почти всегда упирается не в наличие формы, а в наличие деятельности вообще.

Когда уведомление не нужно — и когда нужно

До сентября 2022 года список исключений в части 2 статьи 22 был длинным, и под него подпадало большинство небольших компаний: данные работников, данные контрагентов по договору, данные, полученные с согласия и не передаваемые третьим лицам. Именно оттуда растут советы «вам не надо, вы попадаете под исключение». Этих исключений больше нет.

В действующей редакции части 2 статьи 22 осталось три случая: обработка персональных данных, включённых в государственные информационные системы, созданные в целях защиты безопасности государства и общественного порядка (пункт 7); обработка, осуществляемая исключительно без использования средств автоматизации (пункт 8); обработка персональных данных в сфере транспортной безопасности (пункт 9).

Для обычного бизнеса реально применим только пункт 8 — обработка без средств автоматизации. Но как только данные попадают в компьютер, в таблицу, в почту или в систему учёта, автоматизация есть. Бумажный журнал записи у администратора в салоне — это без автоматизации. Тот же журнал в электронной таблице — уже с ней.

Ситуация на сайте и в бизнесе	Нужно ли уведомление	Что подать
Есть форма заявки, заявки падают на почту и в систему учёта	Да — обработка с использованием средств автоматизации	Уведомление о намерении осуществлять обработку персональных данных
Форм нет, но есть сотрудники и кадровый учёт в программе	Да — обработка данных работников автоматизирована	То же уведомление, с указанием кадровых целей обработки
Сайт-визитка без форм, записи клиентов ведутся в бумажном журнале	Скорее нет — подпадает под п. 8 ч. 2 ст. 22	Ничего, но проверьте, что нигде нет электронных списков клиентов
Есть подписка на рассылку или онлайн-консультант с контактами	Да — это сбор персональных данных	Уведомление, где среди целей указана рассылка
Уведомление подано, но сменился адрес, ответственный или появились новые цели	Нужно сообщить об изменениях	Уведомление об изменении сведений
Деятельность прекращена, данные уничтожены	Нужно сообщить о прекращении	Уведомление о прекращении обработки персональных данных

Что указывают в уведомлении

Состав сведений задан частью 3 статьи 22. Туда входят наименование и адрес оператора, цель обработки, сведения о мерах по обеспечению безопасности и об используемых средствах криптографической защиты, сведения об ответственном за организацию обработки и его контакты, дата начала обработки, срок или условие прекращения обработки, сведения о трансграничной передаче, сведения о месте нахождения базы данных, содержащей персональные данные граждан России, и другие пункты того же перечня.

Формы утверждены приказом Роскомнадзора от 28.10.2022 № 180. Их три: уведомление о намерении осуществлять обработку персональных данных, уведомление об изменении сведений, содержащихся в ранее поданном уведомлении, и уведомление о прекращении обработки персональных данных.

Практический момент, на котором чаще всего спотыкаются: категорию персональных данных, правовое основание и способы обработки нужно указывать применительно к каждой цели, а не одной строкой на всё уведомление. То есть «приём и обработка заявок», «рассылка новостей», «кадровый учёт», «исполнение договоров» описываются отдельными блоками со своим составом данных и своим основанием. Заполнение «в общих чертах» приводит к возврату уведомления на доработку.

Перед заполнением стоит собрать фактуру: список всех форм на сайте с перечнем полей, список систем, где данные оказываются (почта, система учёта, таблицы, сервис рассылок), и сведения о том, где физически находятся базы. Это ровно та инвентаризация, с которой начинается любая нормальная проверка сайта: что собирается, куда уходит и зачем. Похожий подход к быстрой диагностике я описывал в материале о том, что я проверяю в чужом сайте за 30 секунд.

Как подать и как потом сообщать об изменениях

Подать уведомление можно двумя способами: в электронном виде через портал персональных данных Роскомнадзора или на бумаге в территориальный орган по месту регистрации. Электронный документ подписывается квалифицированной электронной подписью.

Шаг	Что делаете	На что обратить внимание
1	Собираете фактуру: формы, поля, цели, системы хранения, ответственный за обработку	Ответственного нужно назначить приказом до подачи, а не после
2	Открываете портал персональных данных, раздел с электронными формами заявлений	Форма соответствует приложению № 1 к приказу № 180
3	Заполняете сведения по каждой цели обработки отдельно	Категории данных, основание и способы указываются для каждой цели
4	Подписываете квалифицированной электронной подписью и отправляете	Без подписи уведомление подаётся только на бумаге в территориальный орган
5	Проверяете статус через сервис проверки состояния уведомления	Уведомление могут вернуть на доработку — следите за статусом, а не ждите письма
6	После включения находите себя в реестре операторов	Сохраните номер записи и дату: это доказательство исполнения обязанности
7	Заводите напоминание на случай изменений	Смена адреса, ответственного, целей или систем — повод подать уведомление об изменении

Сроки по изменениям заданы частью 7 статьи 22: об изменении сведений, содержащихся в уведомлении, оператор обязан сообщить не позднее 15-го числа месяца, следующего за месяцем, в котором такие изменения возникли. О прекращении обработки сообщается в течение десяти рабочих дней с даты прекращения.

Что будет, если не подали, и как проверить себя в реестре

Ответственность установлена частью 10 статьи 13.11 КоАП РФ: невыполнение или несвоевременное выполнение оператором обязанности по уведомлению уполномоченного органа влечёт штраф на должностных лиц от 30 до 50 тысяч рублей, на юридических лиц — от 100 до 300 тысяч. По обзору КонсультантПлюс к этому составу для индивидуальных предпринимателей предусмотрены те же суммы, что и для организаций. Состав появился в кодексе вместе с остальными поправками закона от 30.11.2024 № 420-ФЗ и действует с 30 мая 2025 года.

Отдельно стоит помнить, что неподача уведомления редко приходит одна. Если его нет, обычно нет и опубликованной политики обработки данных (часть 3 статьи 13.11: от 30 до 60 тысяч рублей для юридических лиц), и корректно оформленного согласия у формы (часть 2 той же статьи: от 300 до 700 тысяч для юридических лиц). Проверка смотрит обвязку целиком, и сумма считается по совокупности составов.

Проверить себя просто: на портале персональных данных есть реестр операторов, в нём ищут по ИНН или наименованию. Три типичных результата. Вас нет вовсе — надо подавать. Вы есть, но сведения устарели — надо подавать уведомление об изменении. Вы есть с актуальными сведениями — сохраните номер записи и дату включения, это ваше подтверждение.

Ещё один практический совет: проверьте заодно, нет ли в реестре записи от вашего прежнего подрядчика или от компании, которую вы закрыли. Такие «хвосты» встречаются чаще, чем кажется, и создают расхождение между реальностью и реестром.

Когда нужен юрист и чего эта статья не решает

Описанное выше — про типовую ситуацию: сайт с формами, сотрудники, система учёта, данные внутри страны. Есть случаи, где общая логика не работает и нужен специалист по праву.

Специальные категории данных: медицина, психологическая помощь, всё, что касается здоровья, — там свой режим и другая цена ошибки. Биометрия: фотографии и записи, используемые для установления личности. Трансграничная передача: если данные уходят за границу, порядок уведомления и требования к нему отдельные. Государственные и муниципальные заказчики. Ситуации, где уже есть запрос Роскомнадзора, жалоба субъекта или начавшаяся проверка, — там нужно не читать статьи, а отвечать по существу и в срок.

И прямо: я специалист по продвижению сайтов, а не юрист. Этот материал общий, он не заменяет консультацию юриста, и спорные случаи решаются индивидуально. Все нормы приведены по состоянию на сентябрь 2026 года — законодательство о персональных данных меняется часто, поэтому перед подачей сверяйтесь с действующей редакцией 152-ФЗ, КоАП и актуальными формами Роскомнадзора. Советов «не подавать и надеяться» вы здесь не найдёте: неподача — это длящееся нарушение, которое со временем только дорожает.

Частые вопросы

Я ИП без сотрудников, на сайте одна форма. Мне точно надо?

Если форма собирает имя и телефон, а заявки попадают в почту или в любую программу — да, обработка с использованием средств автоматизации идёт, и исключения из части 2 статьи 22 к вам не применяются. Отсутствие сотрудников и небольшой объём обращений на обязанность не влияют: в определении оператора в статье 3 нет ни порога, ни оговорки про размер бизнеса.

Сколько ждать после подачи?

Конкретный срок рассмотрения зависит от полноты заполнения: уведомление могут вернуть на доработку, если сведения указаны не по каждой цели или не заполнены обязательные поля. Поэтому ориентируйтесь не на ожидание письма, а на статус через сервис проверки состояния уведомления на портале персональных данных и на появление записи в реестре операторов.

Нужна ли электронная подпись?

Для подачи через портал в виде электронного документа — да, квалифицированная. Если подписи нет, остаётся бумажный путь: заполненная форма подаётся в территориальный орган Роскомнадзора по месту регистрации. Для ИП и юридических лиц квалифицированная подпись выдаётся удостоверяющим центром ФНС России и её филиалами, и она в любом случае пригодится для отчётности.

Мы подали уведомление пять лет назад. Надо ли что-то делать?

Проверить себя в реестре и сверить, что там написано, с тем, как обстоят дела сейчас. За пять лет почти наверняка изменились цели обработки, состав собираемых данных, ответственный или адрес. По части 7 статьи 22 об изменениях нужно сообщать не позднее 15-го числа месяца, следующего за месяцем изменения, — то есть устаревшая запись сама по себе является нарушением этого срока.

Есть ли ещё требования к сайту из этой же области?

Да, и они складываются в комплект. Опубликованный документ о политике обработки персональных данных, корректное согласие у каждой формы, уведомление в Роскомнадзор, баннер о cookie там, где он нужен. Отдельным пунктом идут требования доступности для части сайтов — когда обязательна версия для слабовидящих, разобрано в отдельном материале про версию для слабовидящих на WordPress.

Поток, который не зависит от чужого кабинета

Возня с уведомлением, политикой и согласиями кажется бюрократией, пока не посмотришь на неё с другой стороны. Всё это — вещи, которые делают сайт нормальным каналом приёма клиентов: заявки сохраняются и не теряются, у вас есть законное основание перезвонить человеку через неделю, а не «как-нибудь», и перед вами не висит риск разбирательства, которое съест месяц. Где именно теряются обращения ещё до звонка, я подробно разбирал в материале про то, почему нет заказов и где теряются заявки.

Вторая сторона — устойчивость. Реклама даёт поток ровно до тех пор, пока вы платите: отключили открутку, и обращения кончились в тот же день, а ставка на аукционе и решения модерации от вас не зависят. Позиции в поиске ведут себя иначе: это накопленный актив, который продолжает приводить людей и тогда, когда бюджет на паузе. Особенно заметно это в услугах с привязкой к городу, где хорошо работает продвижение по регионам. Разумно держать оба канала и постепенно снижать долю арендованного трафика — начиная с того, что дёшево и влияет на оба сразу: порядок в формах, служебных страницах и технике сайта.

Коротко

Уведомить уполномоченный орган до начала обработки персональных данных обязан любой оператор — это часть 1 статьи 22 закона 152-ФЗ. Оператором по статье 3 становится тот, кто определяет цели обработки, независимо от размера бизнеса.

Исключений в действующей редакции части 2 статьи 22 осталось три, и для обычного бизнеса применимо только одно — обработка исключительно без использования средств автоматизации. Заявки в почте или в программе учёта под него не подпадают.

Состав сведений задан частью 3 статьи 22, формы утверждены приказом Роскомнадзора от 28.10.2022 № 180. Категории данных, основание и способы указываются по каждой цели обработки отдельно.

Подать можно через портал персональных данных с квалифицированной электронной подписью или на бумаге в территориальный орган. Об изменении сведений сообщают не позднее 15-го числа месяца, следующего за месяцем изменения, о прекращении обработки — в течение десяти рабочих дней (часть 7 статьи 22).

За неподачу или несвоевременную подачу по части 10 статьи 13.11 КоАП РФ штраф составляет от 30 до 50 тысяч рублей для должностных лиц и от 100 до 300 тысяч для юридических. Проверить себя можно в реестре операторов по ИНН.

Если хотите разобрать сайт целиком — формы, служебные страницы, техническую часть и то, как всё это влияет на заявки, — приходите на консультацию по продвижению сайта или начните с бесплатного аудита сайта: по нему сразу видно, где риск, а где потери обращений. Нормы и формы сверяйте по первоисточнику: электронные формы заявлений на портале персональных данных и статья 22 закона 152-ФЗ.