Уведомление об обработке персональных данных - документ, который оператор обязан направить в Роскомнадзор до того, как начинает собирать имена, телефоны и адреса посетителей сайта, клиентов и сотрудников. До 2025 года многие компании годами работали без него, ссылаясь на исключения из статьи 22 закона 152-ФЗ, и проверки эту практику особо не тревожили. После поправок 420-ФЗ, вступивших в силу 30 мая 2025 года, список освобождений на практике почти не работает: подать уведомление в Роскомнадзор приходится и интернет-магазину с формой заказа, и стоматологии с записью на прием, и ИП с единственным сотрудником в штате. Дальше по порядку: кто обязан подать уведомление в 2026 году, какие исключения формально остались, что входит в саму подачу и что делать, если уведомления до сих пор нет.
Кто обязан подавать уведомление об обработке персональных данных
Общее правило звучит просто: любой оператор, который начинает обработку персональных данных, обязан до ее начала направить в Роскомнадзор уведомление, если его случай не попадает под исключения из части 2 статьи 22 закона о персональных данных. Оператором закон признает любую компанию, ИП или организацию, которая сама определяет цели и способы обработки: принимает заказы через форму на сайте, ведет базу клиентов в CRM, платит зарплату сотрудникам, записывает пациентов на прием, хранит резюме соискателей на вакансию. Размер компании, оборот и организационно-правовая форма для этой обязанности значения не имеют - важен только факт того, что данные собираются и где-то хранятся.
Кому нужно подавать уведомление об обработке ПДн, решает не оборот и не отрасль, а сам факт сбора данных. Небольшая частная школа с журналом учеников, автосервис с базой клиентов и номерами машин, репетитор, который берет телефон ученика в переписке в мессенджере, - у каждого из них есть персональные данные, и обязанность подать уведомление возникает одинаково, вне зависимости от того, сколько человек работает в компании и есть ли вообще юридическое лицо. Разница только в том, подпадает конкретная ситуация под одно из узких исключений или нет, а таких ситуаций на практике меньше, чем принято думать.
Отдельно стоит развести два похожих, но разных понятия: оператор и обработчик. Оператором закон называет того, кто определяет цель обработки - интернет-магазин, который решил собирать телефоны для доставки. Обработчиком становится подрядчик, которому оператор поручил техническую работу с данными - хостинг, службу рассылок, разработчика сайта. Уведомление в Роскомнадзор подает именно оператор, а не подрядчик, даже если технически данные хранятся на сервере третьей компании. Передача данных на аутсорс не снимает с оператора обязанность подать уведомление и не переносит ее на подрядчика: договор с айти-компанией регулирует отношения сторон, но перед Роскомнадзором отвечает тот, кто собрал данные первым.
Что считается началом обработки
Обработка начинается не в момент, когда кто-то в компании вспомнил про закон, а в момент первого сбора данных - когда клиент оставил заявку через форму на сайте или отдел кадров завел личное дело нового сотрудника. Уведомление формально нужно подавать до начала обработки, но если данные уже собираются, а уведомления нет, закон не освобождает от обязанности задним числом: подать нужно как можно быстрее, а не ждать удобного момента или следующей проверки Роскомнадзора. Отсрочка не снижает риск, а только продлевает период, в течение которого компания работает без регистрации в реестре операторов персональных данных.
Как обязанность выглядит в разных нишах
На бумаге правило одно для всех, но у каждой ниши свой набор данных и свои поводы усомниться, распространяется ли обязанность именно на нее. Таблица ниже - не исчерпывающий список, а ориентир для похожих случаев.
| Ниша | Какие данные делают компанию оператором | Особенность |
|---|---|---|
| Интернет-магазин | Имя, телефон, адрес доставки в форме заказа | Уведомление нужно, даже если на сайте нет личного кабинета покупателя и заказ оформляется одной формой |
| Медицинская клиника или стоматология | ФИО, диагноз, история приема - специальная категория данных о здоровье | Требования жестче, чем для обычных данных, само уведомление обязательно почти без исключений |
| Частная школа или детский сад | Данные ребенка и одного из родителей, электронный дневник, медкарта | Согласие оформляет родитель, а не ребенок, но на обязанность подать уведомление это не влияет |
| Кадровое агентство или сайт вакансий | Резюме соискателей, включая тех, кого в итоге не наняли | Данные часто хранятся дольше, чем кажется, и срок хранения тоже стоит отразить во внутренних документах |
| Риэлтор или агентство недвижимости | Паспортные данные для сделки, телефон для показа квартиры | Работает одновременно со своими клиентами и с данными третьих лиц - статус оператора не теряется ни в одном из случаев |
| Самозанятый мастер: парикмахер, репетитор, фотограф | Телефон и имя клиента в переписке для записи на услугу | Небольшой масштаб бизнеса и отсутствие сайта от обязанности не освобождают |
| Фитнес-клуб или студия групповых занятий | ФИО, телефон, иногда данные о здоровье в анкете перед первой тренировкой | Анкета с вопросами о здоровье превращает часть данных в специальную категорию, а не в обычные контакты |
| Маркетинговое или рекламное агентство | Базы клиентов заказчика, которые агентство обрабатывает по договору подряда | Агентство обычно выступает обработчиком, а не оператором, но это стоит прямо прописать в договоре с заказчиком |
Что изменилось после 420-ФЗ и с какой даты
Закон 420-ФЗ от 30 ноября 2024 года чаще вспоминают в связи с оборотными штрафами и уголовной ответственностью по статье 272.1 УК РФ - эти нормы заработали с 30 мая 2025 года и касаются в первую очередь утечек данных. Но вместе с ужесточением ответственности изменилась и практика применения статьи 22 о самом уведомлении: исключения, на которые годами ссылались работодатели, обрабатывающие данные только своих сотрудников, перестали защищать бизнес так широко, как раньше. Формулировки закона остались прежними, но подход к их проверке стал строже, и разница ощутима уже на первой проверке РКН.
Подробно, что именно поменялось в размерах штрафов и как это выглядит на конкретных цифрах, разбирает материал про новые штрафы Роскомнадзора с 30 мая 2025 года. Для темы уведомления важнее другое следствие этих поправок: раз ответственность выросла в разы, а исключения на практике сузились, отсутствие уведомления перестало быть формальностью, которую можно откладывать на потом до лучших времен. Регистрация в реестре операторов стоит недорого по времени и усилиям, а цена вопроса при проверке - нет.
Полный список исключений, которые еще действуют
Часть 2 статьи 22 закона 152-ФЗ перечисляет ситуации, когда уведомление подавать не нужно. Формально список не менялся годами, но применяют его в 2026 году гораздо строже, чем несколько лет назад. Таблица ниже показывает, что из перечня реально снимает обязанность подавать уведомление, а что осталось рабочим только на бумаге и не выдерживает проверки.
| Исключение из части 2 статьи 22 | Работает ли на практике в 2026 году |
|---|---|
| Обработка данных сотрудников велась исключительно в рамках трудовых отношений, без передачи третьим лицам | Формально да, но почти невозможна: зарплата идет через банк, кадровый ЭДО и бухгалтерия на аутсорсе - это уже передача данных, и исключение перестает действовать |
| ПДн получены в связи с заключением договора с самим субъектом и не передаются третьим лицам | Да, если данные действительно нигде не всплывают - ни в рассылке, ни у курьерской службы, ни в облачной CRM с внешним хостингом |
| ПДн относятся к членам общественного или религиозного объединения и обрабатываются для уставной деятельности | Да, но узкая ситуация - подходит НКО и приходам, не подходит коммерческим компаниям |
| ПДн сделаны общедоступными самим субъектом | Да, но доказывать это должен оператор, а не субъект данных |
| Обрабатываются только фамилия, имя и отчество | Да, но стоит добавить телефон или email в ту же форму - исключение сразу перестает действовать |
| ПДн нужны для разового пропуска на территорию оператора | Узкий случай - бюро пропусков, разовые визиты подрядчиков и проверяющих |
| Обработка ведется без средств автоматизации | Практически не работает: как только данные попадают в компьютер, 1С или облачную CRM, это уже автоматизированная обработка по закону |
Отдельно стоит сказать про исключение «без средств автоматизации» - оно чаще всего вводит владельцев бизнеса в заблуждение. Роскомнадзор и суды трактуют автоматизированную обработку широко: как только данные вводятся в компьютер, хранятся в файле Excel, попадают в 1С или CRM, обработка перестает быть ручной в смысле закона, даже если никакой аналитики или рассылок на этих данных никто не запускает. Бумажный журнал в сейфе без единого компьютера рядом - редкость для современного бизнеса, поэтому и это исключение на практике подходит единицам.
Из семи пунктов таблицы устойчиво работают на практике два, максимум три, и ни один не подходит компании, которая просто много лет «всегда так делала» и ни разу не проверяла, под какое именно исключение подпадает ее ситуация.
Нужно ли подавать уведомление работодателю с одним сотрудником
Короткий ответ - да, почти всегда. Пока в компании были только штатные сотрудники, а зарплата выдавалась наличными из кассы без участия банка, исключение по трудовым отношениям формально работало: данные не покидали периметр компании. Но такая схема сегодня почти не встречается ни в рознице, ни в услугах, ни в небольшом производстве. Зарплатный проект в банке, бухгалтерия на аутсорсе, кадровый электронный документооборот, курьер, который довозит трудовую книжку до дома сотрудника, - в каждом из этих случаев данные уходят к третьей стороне, и исключение из части 2 статьи 22 перестает применяться в том виде, в каком его когда-то читали бухгалтеры и кадровики.
Пример: ИП нанял одного продавца в розничную точку и платит зарплату переводом на карту через банк-эквайер. У банка уже есть ФИО, номер счета и сумма выплаты сотрудника - формально это передача персональных данных третьему лицу. Тот же ИП обязан подать уведомление, даже если больше никаких данных не собирает: ни клиентской базы, ни форм на сайте, ни подрядчиков с личными данными, только один сотрудник в штате.
Даже с одним сотрудником в штате разумно исходить из того, что уведомление нужно, и заодно проверить остальные кадровые документы - согласия, положение об обработке, сроки хранения личных дел. Что именно обязан делать работодатель с персональными данными сотрудников помимо самого уведомления, разобрано в материале про персональные данные сотрудников.
Нужно ли подавать уведомление ИП и самозанятому
Закон не делает разницы между ИП и юридическим лицом: индивидуальный предприниматель признается оператором персональных данных на общих основаниях, если сам определяет, какие данные и зачем собирает. Форма заявки на сайте, база клиентов в Excel, сохраненные телефоны заказчиков в переписке - это уже обработка персональных данных, и вопрос об уведомлении встает точно так же, как у компании со штатом в двадцать человек. Организационно-правовая форма на эту обязанность не влияет, влияет только факт сбора и хранения данных.
Отдельная ситуация - самозанятые и ИП без сотрудников, которые работают только с юридическими лицами и не собирают данные о физических лицах напрямую. Если контрагент - другая компания, а не человек, персональных данных в обычном понимании закона может не возникать вовсе. Но как только среди клиентов появляется хотя бы один человек, чей телефон, email или адрес доставки записан для оказания услуги, самозанятый или ИП снова становится оператором - и уже не важно, разово это было или на регулярной основе. Разобраться, что из требований 152-ФЗ применимо к индивидуальному предпринимателю, а что нет, проще по отдельному материалу про персональные данные для ИП.
Что входит в уведомление и как проходит подача
Уведомление подается через личный кабинет на сайте Роскомнадзора в электронном виде, платить за саму подачу не нужно. В форме указывают полное наименование оператора и его реквизиты, правовое основание обработки, цели, категории обрабатываемых персональных данных и субъектов, категории третьих лиц, которым данные могут передаваться, дату начала обработки и меры защиты, которые оператор применяет - от парольной защиты рабочих компьютеров до антивируса и резервного копирования базы. Формулировки в графах о целях обработки и категориях данных стоит писать конкретно и по существу, а не переписывать текст закона слово в слово: инспектор потом сверяет заявленное с тем, что реально происходит на сайте и в базе клиентов.
Подавать уведомление может сам руководитель компании или ИП лично, либо сотрудник по доверенности - через личный кабинет, привязанный к организации. Отдельная электронная подпись для самой подачи не всегда обязательна, если доступ в личный кабинет уже подтвержден, но актуальные технические требования лучше уточнять непосредственно на портале в момент подачи, поскольку процедура идентификации периодически меняется. Само уведомление - разовое действие в рамках заявленных целей обработки: если компания ведет несколько разных направлений деятельности с разными целями работы с данными, стоит заранее продумать, как отразить это в форме, а не подавать документ формально, лишь бы отчитаться.
Ошибка, которую часто допускают при первой подаче, - писать цели обработки шире, чем есть на самом деле, «про запас», или наоборот включать в форму согласия на сайте сбор данных для целей, которые компания на деле не использует. Это создает расхождение между уведомлением, политикой обработки и формой согласия на сайте, а инспектор при проверке сверяет все три документа одновременно, а не по отдельности. После подачи оператор появляется в реестре операторов персональных данных на сайте Роскомнадзора - это единственный способ убедиться, что уведомление действительно приняли, а не просто отправили форму. Порядок подачи, конкретные поля формы и частые технические сложности личного кабинета подробно разобраны в пошаговой инструкции уведомление в РКН об обработке ПДн.
Частые ошибки при определении, нужно ли уведомление
Несколько распространенных заблуждений, из-за которых компании годами остаются без уведомления, хотя должны были его подать с первого дня работы.
- «У нас нет отдела кадров, значит мы не оператор» - неверно: оператором делает не наличие отдела или штатной единицы, а сам факт обработки данных хотя бы одного человека, включая руководителя как единственного сотрудника компании.
- «У нас есть согласие клиентов на обработку данных, значит уведомление не нужно» - неверно: согласие субъекта персональных данных и уведомление Роскомнадзора - две разные и независимые друг от друга обязанности, одна не заменяет другую и не освобождает от нее.
- «Мы работаем без сайта, только по телефону и в мессенджере» - неверно: способ получения данных для этой обязанности значения не имеет, важен сам факт их сбора, хранения и использования.
- «Мы уже подавали уведомление пять лет назад, этого достаточно» - не всегда: если с тех пор изменились цели обработки, появились новые подрядчики или категории данных, об этих изменениях нужно уведомить отдельно, а не полагаться на старую подачу.
- «Мы обрабатываем данные только внутри 1С, наружу ничего не уходит» - спорно: обмен с банком при выплате зарплаты, отправка отчетности в налоговую или синхронизация с облачным сервисом почти всегда означает передачу данных за пределы компании.
Что будет, если уведомление не подано, и что делать
Отсутствие уведомления - самостоятельное нарушение, за которое штрафуют отдельно от нарушений в оформлении согласий или политики конфиденциальности. Для юридического лица сумма может доходить до 300 000 рублей, для должностного лица и ИП - меньше, но тоже ощутимо для небольшого бизнеса со скромной выручкой. Подробный разбор сумм и то, как на практике считают штраф за отсутствие уведомления, - в материале штраф за отсутствие уведомления об обработке ПДн.
На практике инспектор Роскомнадзора видит отсутствие оператора в реестре одним из первых пунктов проверки - до того, как дойдет до согласий, политики конфиденциальности или технической защиты сайта. Отсутствие уведомления - формальный и легко фиксируемый факт, его не нужно доказывать особыми методами, и часто именно с него начинается протокол о нарушении, даже если по остальным пунктам у компании более или менее в порядке.
Несколько частых способов подстраховаться на деле не работают. Договор с айти-подрядчиком о защите данных не снимает с компании статус оператора и не переносит на подрядчика обязанность подать уведомление - это два разных лица перед законом. Ссылка на то, что бизнес маленький и до него никто не доберется, тоже не аргумент: жалобу в Роскомнадзор может подать один недовольный клиент, и тогда проверка начнется не по графику, а по обращению. Полис страхования ответственности покрывает часть финансовых последствий инцидента, но не отменяет требование зарегистрироваться в реестре операторов до начала обработки.
Специальной процедуры подачи задним числом закон не предусматривает, но отдельного штрафа именно за позднюю подачу тоже нет - есть штраф за отсутствие уведомления на момент проверки. Практический шаг один: подать уведомление сейчас, не дожидаясь проверки или жалобы от клиента. Это не отменяет риск за прошлый период, если проверка уже назначена и идет, но останавливает нарастающий риск на будущее и убирает самый заметный формальный пробел из тех, что видны инспектору сразу и без глубокого разбора.
Порядок действий
Если после чтения статьи остались сомнения, порядок действий такой.
- Пройти пункты из раздела про частые ошибки выше и понять, оператор вы на самом деле или действительно подпадаете под одно из узких исключений.
- Если оператор - собрать данные для уведомления: полное наименование, реквизиты, цели обработки, категории субъектов и персональных данных, правовое основание, дату начала обработки, меры защиты.
- Подать уведомление через личный кабинет на сайте Роскомнадзора, не дожидаясь плановой или внеплановой проверки.
- Сверить, что формулировки в уведомлении совпадают с реальностью: компания не заявила данные шире, чем реально собирает, и не забыла указать нового подрядчика или сервис рассылок.
- Параллельно привести в порядок документы, на которые инспектор смотрит вместе с уведомлением: согласие на обработку, политику обработки персональных данных, сроки хранения.
Если помимо самого уведомления нужно привести в порядок пакет документов и форму на сайте под требования 152-ФЗ, посмотреть, чем здесь можно помочь, можно на главной странице 152fzpro.ru.
Частые вопросы
Нужно ли ИП с одним сотрудником подавать уведомление в Роскомнадзор?
Почти всегда да. Даже с одним сотрудником зарплата обычно уходит переводом через банк-эквайер, а это уже передача персональных данных третьему лицу, и исключение по трудовым отношениям без такой передачи перестает работать. Уведомление нужно подать, даже если больше никаких данных ИП не собирает.
Освобождает ли согласие клиента на обработку данных от подачи уведомления в РКН?
Нет, это две разные и независимые обязанности. Согласие субъекта на обработку его персональных данных не заменяет уведомление в Роскомнадзор о самом факте такой обработки - каждый оператор обязан подать уведомление отдельно, даже если со всеми клиентами оформлены корректные согласия на сайте.
Какие исключения из подачи уведомления реально работают в 2026 году?
Из семи исключений части 2 статьи 22 устойчиво работают два-три: данные получены по договору с самим субъектом и никуда не передаются, обработка ведется для уставной деятельности религиозного или общественного объединения о собственных членах, а также случай, когда собирают только фамилию, имя и отчество без других контактов.
Что грозит компании, если она не подала уведомление об обработке персональных данных?
Отсутствие уведомления - самостоятельное нарушение, за которое штрафуют отдельно от ошибок в согласиях или политике конфиденциальности. Для юридического лица сумма может доходить до 300 000 рублей, для ИП и должностного лица меньше, но тоже ощутимо. Инспектор обычно проверяет наличие оператора в реестре одним из первых пунктов.
