Как подать уведомление в Роскомнадзор об обработке персональных данных

Уведомление в Роскомнадзор — это разовое сообщение «мы обрабатываем персональные данные», после которого компанию вносят в реестр операторов. Обязанность существует давно, но до 2025 года за молчание штрафовали символически, и о ней мало кто знал. С 30 мая 2025 года штраф для юрлиц и ИП — 100–300 тысяч рублей, и это одно из самых простых нарушений для проверяющего: реестр открыт, сверка автоматическая.

Кто обязан подавать

• Компании и ИП с сайтом, где есть форма заявки, заказа или обратной связи
• Все, у кого есть сотрудники: кадровый учёт — это тоже обработка персональных данных
• Интернет-магазины, сервисы с личными кабинетами и рассылками
• Самозанятые, если собирают данные клиентов

Исключений почти не осталось: раньше можно было не уведомлять, если данные обрабатываются «только в рамках трудовых отношений» или «только для исполнения договора», но эти основания отменены. Проще исходить из того, что уведомление нужно всем.

Что указывается в уведомлении

• Наименование, ИНН и контакты оператора
• Цели обработки: приём заявок с сайта, кадровый учёт, исполнение договоров
• Категории данных (ФИО, телефон, e-mail) и категории субъектов (посетители сайта, сотрудники, клиенты)
• Правовые основания: 152-ФЗ, Трудовой кодекс, договор, согласие субъекта
• Меры защиты данных и ответственный за организацию обработки
• Местонахождение баз данных — по требованию о локализации серверы с данными россиян должны находиться в России

Как подать

Основной способ — электронная форма на портале персональных данных Роскомнадзора (pd.rkn.gov.ru): заполняете, отправляете, при наличии электронной подписи — подписываете сразу, без неё — распечатываете и досылаете бумажный экземпляр в своё территориальное управление. Подача бесплатна. Через несколько недель компания появляется в открытом реестре операторов — это и есть подтверждение.

Что дальше

Уведомление — не разовая галочка навсегда: если изменились цели обработки, адрес или ответственный, изменения сообщают до 15-го числа следующего месяца, а о прекращении обработки — в течение десяти рабочих дней. Плюс держите в актуальном состоянии политику конфиденциальности на сайте: проверяющий сверяет её с тем, что написано в реестре.

Это самый дешёвый пункт комплаенса: вечер на заполнение формы против штрафа в сотни тысяч и внимания регулятора ко всему остальному.