Реестр операторов персональных данных: как проверить и найти себя

Каждый раз, когда бизнес получает номер телефона клиента, подписывает договор с сотрудником или собирает заявки через форму на сайте, он становится оператором персональных данных. По закону ФЗ-152 этого статуса недостаточно — нужно официально заявить о себе в Роскомнадзор. Многие компании узнают об этом требовании только после первой проверки или блокировки сайта.

Реестр операторов персональных данных — это не просто формальность, а инструмент защиты бизнеса. Если вы в реестре, вы работаете легально и можете доказать это в любой момент. Если вас там нет — вы нарушаете закон, даже если обрабатываете всего один номер телефона. Разница между этими ситуациями — одно уведомление, которое подается онлайн.

вы найдете чек-лист для проверки своей обязанности, пошаговый алгоритм подачи уведомления и разбор последствий для тех, кто решил работать без регистрации.

Что такое реестр операторов персональных данных и зачем он нужен

Реестр операторов, осуществляющих обработку персональных данных, — это государственный перечень, который ведёт Роскомнадзор на основании уведомлений от компаний и индивидуальных предпринимателей. Попадание в реестр — не формальность, а публичное подтверждение того, что организация легально работает с личными данными граждан: собирает, хранит, передаёт или удаляет их. Для потребителя наличие компании в реестре — один из маркеров добросовестности: если фирма не уведомила регулятора, её действия с вашими паспортными данными, телефоном или адресом формально находятся вне правового поля.

Зачем реестр нужен бизнесу? Во-первых, это исполнение требований закона о персональных данных: подача уведомления обязательна до начала обработки. Во-вторых, запись в реестре защищает оператора от претензий Роскомнадзора и снижает риски при проверках. В-третьих, реестр — инструмент для контрагентов и клиентов: например, банк или страховая компания перед заключением договора может проверить, заявлена ли у вас обработка данных, и если нет — отказать в сотрудничестве или запросить объяснения. Для граждан реестр полезен при подозрении на утечку: можно убедиться, что организация, которая собирает ваши данные, вообще имеет на это право.

Важно понимать разницу: реестр операторов — не то же самое, что реестр финансовых организаций Банка России. Лицензию банка, страховщика, брокера или МФО проверяют на сайте cbr.ru в разделе «Реестры». Если компании нет в реестре ЦБ, она работает нелегально, и передавать ей деньги нельзя. Реестр Роскомнадзора подтверждает лишь факт уведомления об обработке данных, но не даёт лицензию на финансовую деятельность. Эти два перечня дополняют друг друга: первый отвечает на вопрос «законно ли вы обрабатываете персональные данные», второй — «имеете ли вы право оказывать финансовые услуги».

Кто обязан подать уведомление в Роскомнадзор: чек-лист для бизнеса

По закону о персональных данных, уведомление об обработке подаёт практически любой оператор — организация или индивидуальный предприниматель, который собирает и обрабатывает персональные данные граждан. Исключений немного, и они перечислены в законе: например, если обработка происходит без использования средств автоматизации (только бумажные картотеки) и данные не передаются третьим лицам, или если оператор — государственный орган, который обрабатывает данные в рамках своих полномочий. Но на практике большинство компаний — от интернет-магазина с формой заказа до клиники с электронными картами пациентов — обязаны уведомить Роскомнадзор.

Проверьте себя по чек-листу. Уведомление нужно подать, если вы:

• собираете данные клиентов через сайт (формы обратной связи, личные кабинеты, онлайн-оплату);
• ведёте базу сотрудников с паспортными данными, адресами, СНИЛС;
• используете камеры видеонаблюдения с записью и хранением видео;
• передаёте данные третьим лицам — например, в банк для зарплатного проекта, в страховую, в службу доставки;
• обрабатываете данные через операторов связи, хостинг-провайдеров или облачные сервисы с хранением на серверах в России;
• используете cookie-файлы и метрику для аналитики поведения посетителей сайта.

Отдельный случай — микрофинансовые организации. МФО обязана состоять в государственном реестре ЦБ РФ, и это условие её легальной работы. Но параллельно МФО, как и любой оператор, уведомляет Роскомнадзор об обработке персональных данных. Проверить МФО можно в справочнике финансовых организаций на сайте Банка России — выдача займов вне реестра незаконна. Если вы работаете в финансовой сфере, проверьте оба реестра: и ЦБ, и Роскомнадзора.

Если сомневаетесь, обязаны ли вы подавать уведомление, — подайте. Штраф за отсутствие уведомления меньше, чем риск блокировки деятельности или судебных исков. Лучше лишний раз уведомить регулятора, чем потом доказывать, что вы «не оператор».

Какие данные попадают в реестр и как их правильно указать

В уведомлении об обработке персональных данных вы указываете не сами данные граждан, а сведения о вашей деятельности: кто вы, какие категории данных обрабатываете, для каких целей, на каком основании и как долго храните. Роскомнадзор вносит эти сведения в реестр, и они становятся публичными. Ошибка в формулировках может привести к отказу во внесении записи или к проблемам при проверке, поэтому к заполнению стоит подойти внимательно.

Основные блоки, которые попадают в реестр:

• Сведения об операторе: наименование, ИНН, ОГРН, адрес, контактные данные. Для ИП — ФИО и паспортные данные.
• Правовое основание обработки: ссылка на закон (например, трудовой кодекс для сотрудников, закон о связи для операторов) или на договор с субъектом данных.
• Цели обработки: например, «заключение и исполнение договоров», «кадровый учёт», «маркетинговые рассылки». Цели должны быть конкретными и не противоречить закону.
• Категории обрабатываемых данных: фамилия, имя, отчество, дата рождения, адрес, телефон, email, паспортные данные, СНИЛС, данные о доходах и т.д. Перечисляйте только те, которые реально собираете.
• Категории субъектов: клиенты, сотрудники, посетители сайта, кандидаты на вакансии.
• Действия с данными: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление, уничтожение.
• Сроки обработки и хранения: обычно указывают «в течение срока действия договора» или «в течение 5 лет после прекращения трудовых отношений» — по аналогии с архивными требованиями.
• Сведения о трансграничной передаче: если передаёте данные за пределы России, это нужно указать отдельно.

Типичная ошибка — указывать максимально широкий перечень данных «на всякий случай». Это привлекает внимание регулятора и создаёт впечатление, что вы собираете больше, чем нужно. Закон требует обрабатывать только те данные, которые соответствуют заявленным целям. Если вы укажете «данные о здоровье» без медицинской лицензии, Роскомнадзор может запросить пояснения. Указывайте ровно то, что реально обрабатываете, и будьте готовы подтвердить это документами.

Пошаговая инструкция: как подать уведомление через портал РКН

Подать уведомление об обработке персональных данных можно двумя способами: на бумаге (почтой или лично в территориальный орган Роскомнадзора) или в электронном виде через портал регулятора. Электронный способ быстрее и удобнее — запись в реестре появляется в течение нескольких дней, а не недель. Разберём пошагово, как это сделать через портал РКН.

1. Подготовьте документы. Вам понадобятся: реквизиты организации (ИНН, ОГРН, адрес), сведения о целях и категориях обработки (см. предыдущий раздел), а также, если вы подаёте впервые, — документ, подтверждающий полномочия лица, подписывающего уведомление (например, приказ о назначении директора или доверенность).
2. Зарегистрируйтесь на портале РКН. Перейдите на сайт rkn.gov.ru, найдите раздел «Операторам персональных данных» и выберите «Подать уведомление об обработке персональных данных». Для входа потребуется подтверждённая учётная запись на Госуслугах (ЕСИА) — это стандартный способ аутентификации.
3. Заполните электронную форму. Система проведёт вас по шагам: сначала сведения об операторе, затем правовые основания, цели, категории данных, действия, сроки. Внимательно проверяйте каждое поле — опечатка в ИНН или адресе приведёт к отказу.
4. Приложите сканы документов. Если уведомление подписывает не руководитель, а уполномоченный сотрудник, приложите доверенность. Для ИП — копию паспорта и свидетельства о регистрации.
5. Подпишите и отправьте. Уведомление подписывается электронной подписью — либо усиленной квалифицированной (УКЭП), либо простой электронной подписью через Госуслуги. После подписания нажмите «Отправить».
6. Отслеживайте статус. В личном кабинете на портале РКН появится номер заявки. Статус «Принято» означает, что уведомление зарегистрировано; «Внесено в реестр» — что запись опубликована. Обычно весь процесс занимает от 3 до 15 рабочих дней.

Если у вас нет электронной подписи, подайте уведомление на бумаге: распечатайте форму с сайта РКН, заполните, подпишите у руководителя и отправьте заказным письмом с описью вложения или принесите лично в территориальный орган. Срок рассмотрения бумажного уведомления — до 30 дней, поэтому электронный способ предпочтительнее.

Сроки внесения в реестр и что будет, если не подать уведомление

Закон отводит оператору ограниченное время на подачу уведомления: сделать это нужно до начала обработки персональных данных. На практике это означает, что уведомление подают сразу после создания компании или ИП, до того как вы начнёте собирать данные клиентов и сотрудников. Если вы уже работаете и обрабатываете данные, а уведомления нет — вы нарушаете закон с момента начала такой обработки, и это нарушение длящееся.

Роскомнадзор рассматривает уведомление и вносит сведения в реестр в течение 15 рабочих дней с момента регистрации заявки. В этот срок регулятор проверяет полноту и корректность сведений. Если всё в порядке, вы получаете уведомление о внесении записи в реестр. Если найдены ошибки — вам пришлют отказ с указанием причин, и нужно будет исправить заявление и подать повторно. Срок отсчитывается заново.

Что грозит за работу без уведомления? Ответственность наступает по статье о нарушении порядка обработки персональных данных. Для должностных лиц (директора, ИП) штраф составляет от 10 000 до 20 000 рублей, для юридических лиц — от 30 000 до 50 000 рублей. При повторном нарушении штрафы вырастают: для должностных лиц — до 50 000 рублей, для организаций — до 300 000 рублей. Кроме того, Роскомнадзор может вынести предписание об устранении нарушения, и если вы его не исполните, последует новый штраф — уже за неисполнение предписания.

Более серьёзное последствие — блокировка сайта. Если на вашем сайте собираются персональные данные, а уведомление не подано, Роскомнадзор вправе признать обработку незаконной и потребовать от хостинг-провайдера ограничить доступ к ресурсу. На практике блокировки за отсутствие уведомления случаются реже, чем за отсутствие политики обработки данных, но риск реален. Не дожидайтесь проверки — подайте уведомление сегодня, даже если ваша компания работает уже несколько лет.

Как проверить себя в реестре и исправить ошибки в заявлении

После подачи уведомления важно убедиться, что ваша запись действительно появилась в реестре и содержит корректные сведения. Проверка занимает несколько минут и помогает вовремя заметить ошибки, которые могут привести к проблемам при проверках или при обращении контрагентов.

Как проверить себя в реестре:

1. Перейдите на сайт Роскомнадзора (rkn.gov.ru) в раздел «Реестр операторов, осуществляющих обработку персональных данных».
2. В поисковой строке введите ИНН вашей организации или ИП. Можно также искать по ОГРН или наименованию.
3. Нажмите «Найти». В результатах вы увидите номер записи в реестре, дату внесения и краткие сведения об операторе.
4. Откройте карточку записи и сверьте все поля: наименование, адрес, цели обработки, категории данных. Если что-то не совпадает с реальной деятельностью — это повод для исправления.

Если вы не нашли себя в реестре, возможны три причины: уведомление ещё рассматривается (срок — до 15 рабочих дней), в заявлении была ошибка и Роскомнадзор вернул его на доработку, либо вы вообще не подавали уведомление. В первых двух случаях проверьте статус заявки в личном кабинете на портале РКН. В третьем — срочно подайте уведомление.

Если в уже внесённой записи обнаружена ошибка (например, неверно указан адрес или перечень целей), её нужно исправить. Для этого подайте в Роскомнадзор уточняющее уведомление — по той же форме, что и первичное, но с пометкой «внесение изменений». В тексте укажите, какие именно сведения изменились, и приложите подтверждающие документы. Роскомнадзор внесёт правки в реестр в течение 15 рабочих дней. Не пытайтесь скрыть ошибку — при проверке расхождение между реестром и реальной деятельностью будет расценено как нарушение.

Что делать при изменении данных: порядок обновления сведений

Реестр операторов — не статичный документ. Если у вас изменились сведения, которые вы указывали в уведомлении, вы обязаны сообщить об этом в Роскомнадзор. Закон требует уведомлять регулятора об изменениях в течение 10 рабочих дней с момента, когда они произошли. Это касается не только смены названия или адреса, но и любых существенных изменений в обработке данных.

Какие изменения нужно вносить в реестр:

• смена наименования организации, ИНН, ОГРН, адреса места нахождения;
• изменение фамилии, имени, отчества ИП;
• изменение целей обработки персональных данных;
• изменение перечня обрабатываемых категорий данных (например, вы начали собирать данные о здоровье клиентов);
• изменение категорий субъектов (например, начали обрабатывать данные несовершеннолетних);
• изменение сроков хранения данных;
• изменение способов обработки — например, вы перешли с бумажных картотек на автоматизированную систему;
• изменение сведений о трансграничной передаче данных.

Порядок действий при изменении данных:

1. Подготовьте документы, подтверждающие изменения: новую редакцию устава или выписку из ЕГРЮЛ, приказ о смене директора, новый договор с оператором связи и т.д.
2. Зайдите в личный кабинет на портале РКН, найдите свою запись в реестре и выберите опцию «Внести изменения».
3. Заполните форму с новыми сведениями, приложите сканы подтверждающих документов и подпишите электронной подписью.
4. Отправьте заявление и отслеживайте статус. Роскомнадзор внесёт изменения в течение 10 рабочих дней.

Если изменения касаются только контактных данных (телефон, email для связи с оператором), их можно обновить через личный кабинет без подачи формального уведомления — но лучше продублировать и письменным заявлением, чтобы избежать недоразумений. Несвоевременное обновление сведений в реестре — такое же нарушение, как и его отсутствие, и влечёт те же штрафы. Регулярно — хотя бы раз в год — сверяйте запись в реестре с фактической деятельностью компании.

Ответственность за работу без регистрации: штрафы и блокировки

Работа с персональными данными без уведомления Роскомнадзора — это административное правонарушение, которое влечёт не только штрафы, но и операционные риски. Разберём, что именно грозит оператору, который не внесён в реестр, и как эти риски минимизировать.

Штрафы. За первичное нарушение должностные лица и ИП платят от 10 000 до 20 000 рублей, юридические лица — от 30 000 до 50 000 рублей. При повторном нарушении в течение года суммы вырастают: для должностных лиц — до 50 000 рублей, для организаций — до 300 000 рублей. Штраф назначается за сам факт отсутствия уведомления, независимо от того, были ли утечки данных или жалобы граждан. Проверка может прийти и по плану, и по обращению клиента.

Предписания и блокировки. Помимо штрафа, Роскомнадзор выносит предписание об устранении нарушения — то есть обязывает подать уведомление в установленный срок. Если предписание не исполнено, следует новый штраф (для юрлиц — от 300 000 до 500 000 рублей) и может быть применена блокировка сайта. Механизм такой: регулятор направляет требование провайдеру хостинга ограничить доступ к ресурсу, где незаконно обрабатываются данные. Сайт перестаёт открываться до устранения нарушения. Для интернет-магазина или сервиса это означает остановку бизнеса.

Гражданские иски. Субъект данных (клиент, сотрудник) вправе потребовать через суд компенсацию морального вреда за незаконную обработку его персональных данных. Отсутствие записи в реестре — весомый аргумент в пользу истца: суд может расценить это как доказательство системного нарушения закона. Суммы компенсаций обычно невелики (5–50 тысяч рублей), но судебные издержки и репутационные потери могут быть существеннее.

Как избежать ответственности. Подайте уведомление до начала обработки данных — это исключает сам состав правонарушения. Если вы уже работаете без уведомления, подайте его немедленно: штраф за «просрочку» не назначается, если нарушение устранено до проверки. Храните копию уведомления с отметкой Роскомнадзора и номером записи в реестре — она понадобится при проверках и при заключении договоров с контрагентами, которые запрашивают подтверждение легальной обработки данных.

Информационный сервис. Не является финансовой рекомендацией. Окончательные условия уточняйте на сайте банка.