Уведомление в Роскомнадзор об обработке персональных данных в 2026 году

Марк Голдин, юрист · 23 сентября 2026

Если на вашем сайте есть форма заявки, обратной связи или регистрации — вы, скорее всего, уже обязаны подать уведомление в Роскомнадзор. Разбираемся, кто именно должен это сделать, какие исключения остались в законе и как оформить уведомление без ошибок.

Что такое уведомление в Роскомнадзор

Уведомление об обработке персональных данных — это сообщение, которое оператор направляет в Роскомнадзор до того, как начинает обрабатывать персональные данные людей: клиентов, посетителей сайта, сотрудников, подрядчиков. Обязанность закреплена в статье 22 Федерального закона № 152-ФЗ «О персональных данных».

На основании поданных уведомлений Роскомнадзор ведёт реестр операторов персональных данных — публичный список компаний и предпринимателей, которые официально заявили о работе с чужими данными.

Важно понимать разницу: уведомление — это не разрешение и не лицензия. Роскомнадзор не «одобряет» вашу деятельность, а фиксирует факт, что вы обрабатываете персональные данные, и вносит запись в реестр в течение 30 дней.

Кто обязан подавать уведомление

Оператором персональных данных закон признаёт любое юридическое лицо, ИП или физическое лицо (в том числе самозанятого), которое самостоятельно определяет цели и способы обработки данных. На практике под это определение попадает почти любой бизнес:

• интернет-магазин, который собирает имя, телефон и адрес доставки в форме заказа;
• сайт услуг с формой заявки или обратного звонка;
• любая компания, у которой есть штатные сотрудники (обработка кадровых данных — тоже обработка персональных данных);
• клиника, салон, образовательный центр — с данными клиентов и пациентов;
• агентство недвижимости, юридическая или бухгалтерская фирма — с данными контрагентов.

Организационно-правовая форма значения не имеет: ИП обязаны подавать уведомление наравне с юридическими лицами.

Когда уведомление подавать не нужно

До 1 сентября 2022 года исключений было много: данные только по договору с самим человеком, только ФИО, общедоступные данные, данные работников. Эти пункты части 2 статьи 22 утратили силу, и многие статьи в интернете до сих пор пересказывают старую редакцию. Сейчас исключений три:

1. Обработка без использования средств автоматизации. Если данные ведутся только на бумаге, без баз данных, CRM и электронных таблиц, — уведомление не нужно. На практике это редкость: даже таблица Excel с контактами клиентов уже считается автоматизированной обработкой, а форма на сайте — тем более.
2. Данные в государственных информационных системах, созданных в целях защиты безопасности государства и общественного порядка.
3. Обработка в случаях, предусмотренных законодательством о транспортной безопасности.

Для бизнеса с сайтом, на котором есть форма с телефоном или email, ни одно из исключений, как правило, не подходит: уведомление нужно. Это касается и работодателей — Роскомнадзор отдельно разъяснял это в письме от 19.08.2022 № 08-75348.

Как подать уведомление: пошагово

Уведомление подаётся по форме, утверждённой приказом Роскомнадзора от 28.10.2022 № 180. Сделать это можно двумя способами.

Способ 1 — в электронном виде через портал персональных данных Роскомнадзора (pd.rkn.gov.ru). Форму заполняют на сайте и подписывают усиленной квалифицированной электронной подписью руководителя или уполномоченного лица либо подтверждают через учётную запись на Госуслугах.

Способ 2 — на бумаге. Форму заполняют на том же портале, распечатывают, подписывают и направляют в территориальное управление Роскомнадзора.

Электронный способ проще для небольшого бизнеса: не нужно ничего отправлять почтой, а если на Госуслугах есть подтверждённая учётная запись организации или ИП, не нужна и отдельная электронная подпись.

Что нужно указать в уведомлении

• наименование и адрес оператора (ИП или организации);
• цели обработки персональных данных (например: обработка заявок клиентов, ведение кадрового учёта);
• категории обрабатываемых данных и категории субъектов (клиенты, сотрудники, посетители сайта);
• правовое основание обработки;
• меры по обеспечению безопасности данных;
• сведения об ответственном за организацию обработки;
• дату начала обработки;
• где находится база данных (страна и адрес центра обработки данных);
• сведения о трансграничной передаче данных, если она осуществляется (используете ли вы зарубежные сервисы, где хранятся или через которые проходят данные).

Роскомнадзор вносит сведения в реестр в течение 30 дней с даты получения уведомления — после этого они становятся общедоступными.

Если сведения изменились

Уведомление подаётся один раз, но если что-то из указанных сведений поменялось — сменился адрес, добавились новые цели обработки, изменился ответственный, база переехала к другому хостеру — нужно направить информационное письмо об изменениях. Срок — не позднее 15-го числа месяца, следующего за тем, в котором произошли изменения.

Частая ошибка бизнеса: уведомление подано один раз при регистрации и забыто. Через несколько лет сайт, адрес или состав обрабатываемых данных меняются, а реестр остаётся со старыми сведениями — формально это тоже нарушение.

Уведомление о трансграничной передаче — отдельный документ, оно не заменяет основное и не входит в него. Подробнее — в статье о трансграничной передаче персональных данных.

Что будет, если не подать уведомление

С 30 мая 2025 года неподача уведомления — самостоятельный состав правонарушения по части 10 статьи 13.11 КоАП РФ, отдельно от других нарушений в сфере персональных данных. Для юридических лиц штраф составляет от 100 000 до 300 000 рублей, и ИП по этой части отвечают так же, как организации. Остальные суммы — на странице про штрафы за персональные данные.

За впервые совершённое нарушение, выявленное при государственном контроле, штраф при определённых условиях может быть заменён предупреждением (ст. 4.1.1 КоАП РФ). Это не автоматическое освобождение от ответственности, и оно не отменяет саму обязанность подать уведомление, но снижает финансовый риск при добросовестной ошибке, выявленной впервые. Условия и исключения — в статье о предупреждении вместо штрафа.

Как проверить, всё ли в порядке у вас

Есть ли вы в реестре операторов, можно посмотреть по ИНН на pd.rkn.gov.ru. Наша бесплатная проверка делает это сама: находит ИНН на сайте или в данных о владельце домена и сверяет его с реестром. Заодно она покажет другие пробелы в работе с персональными данными на сайте — без регистрации и скрытых платных блоков в отчёте. Полный список того, что проверить руками, — в чек-листе по 152-ФЗ.

Автор: Марк Голдин, юрист →