Уведомление в Роскомнадзор об обработке персональных данных: как

Каждый день вы оставляете свои персональные данные: код из SMS, номер карты, паспортные данные. Мошенники охотятся за ними, но закон защищает вас — если вы не передавали коды посторонним, банк обязан возместить списание (ФЗ-161, ст. 9). А чтобы ваша компания не попала под штраф, нужно вовремя подать уведомление в Роскомнадзор об обработке персональных данных. Без этого документа вы рискуете получить до 75 000 ₽ штрафа. Разберёмся, как заполнить форму, какие сроки и что будет, если опоздать.

Что такое уведомление Роскомнадзора и кому его подавать

Уведомление в Роскомнадзор — это официальный документ, который оператор персональных данных (компания, ИП или госорган) обязан направить в уполномоченный орган до начала обработки личной информации граждан. Фактически это заявление о намерении: вы сообщаете государству, какие данные, как и для каких целей будете собирать, хранить и использовать. Без этого уведомления обработка персональных данных в России считается незаконной, даже если у вас есть письменное согласие субъекта.

Подавать уведомление должны все операторы, за исключением случаев, прямо указанных в законе. Кто именно попадает под обязательство: любые юридические лица и индивидуальные предприниматели, которые обрабатывают персональные данные граждан (Ф.И.О., паспортные данные, номера телефонов, адреса, сведения о доходах и т.д.). Неважно, работаете ли вы с клиентами, сотрудниками или контрагентами — если вы фиксируете их данные в любой форме (бумажной или электронной), вы оператор. Исключение — случаи, когда обработка происходит исключительно для личных и семейных нужд (например, вы ведёте записную книжку родственников), но в коммерческой деятельности таких ситуаций практически не бывает.

Важный нюанс: обязанность подать уведомление возникает до начала обработки, а не после. Если вы уже собираете данные, а уведомление не подали — это нарушение. При этом само уведомление не требует предварительного одобрения Роскомнадзора: вы просто информируете ведомство, и с момента регистрации уведомления в реестре операторов вы получаете право законно обрабатывать данные. Однако если в уведомлении указаны недостоверные сведения или оно не подано вовсе, оператору грозит административная ответственность.

Когда нужно уведомлять Роскомнадзор: обязательные случаи

Закон устанавливает чёткий перечень ситуаций, при которых подача уведомления обязательна. это любой сбор персональных данных, не подпадающий под исключения. К обязательным случаям относятся: обработка данных сотрудников (кадровый учёт, начисление зарплаты, оформление больничных), работа с клиентами (заключение договоров, выдача кредитов, оказание услуг), ведение баз данных для маркетинга (рассылки, аналитика поведения пользователей), а также обработка биометрических данных (отпечатки пальцев, изображения лица, голос).

Отдельно стоят случаи, когда уведомление не требуется. Закон освобождает от подачи операторов, которые обрабатывают данные исключительно: для трудовых отношений (внутренний кадровый учёт без передачи третьим лицам), для заключения договора с субъектом (если данные не передаются дальше), для статистических или научных целей при условии обезличивания, а также для однократного пропуска на территорию (например, гостевой визит). Но здесь важно понимать: если вы выходите за рамки этих исключений — например, передаёте данные сотрудников в страховую компанию или публикуете их на сайте — уведомление становится обязательным.

Особое внимание — для операторов, работающих с биометрией. С 1 сентября 2024 года обработка биометрических персональных данных (изображение лица, голос) без уведомления Роскомнадзора и без включения в реестр аккредитованных операторов запрещена. Исключение — только для госорганов и случаев, прямо указанных в законе. Если вы используете камеры видеонаблюдения с функцией распознавания лиц или голосовые помощники для идентификации клиентов, уведомление подавать обязательно, иначе — блокировка деятельности и крупные штрафы.

Какие сведения включаются в уведомление (полный перечень)

Форма уведомления утверждена приказом Роскомнадзора №94 и содержит обязательный перечень сведений, которые оператор должен указать. Пропуск хотя бы одного пункта может стать причиной отказа в регистрации или возврата документа на доработку. Полный перечень включает: полное и сокращённое наименование оператора (для юрлиц — ИНН, ОГРН, для ИП — ОГРНИП), адрес местонахождения и почтовый адрес, контактные данные (телефон, e-mail), а также сведения о лице, ответственном за обработку персональных данных (Ф.И.О., должность, контакты).

Далее указываются: цель обработки персональных данных (например, «кадровый учёт», «заключение и исполнение договоров», «маркетинговые рассылки»), правовое основание обработки (ссылка на конкретные статьи законов — Трудовой кодекс, Гражданский кодекс, закон о персональных данных), перечень обрабатываемых данных (Ф.И.О., паспорт, адрес, телефон, e-mail, СНИЛС, ИНН, биометрия и т.д.), категории субъектов (сотрудники, клиенты, контрагенты, посетители сайта), а также сроки обработки и хранения данных. Если данные передаются третьим лицам (например, в банк-эквайер, в страховую компанию, в бухгалтерскую аутсорсинговую фирму), нужно указать всех получателей.

Отдельный блок — сведения об информационных системах: название системы, место её нахождения (адрес серверной), меры защиты данных (шифрование, антивирусы, разграничение доступа). Если обработка осуществляется без использования средств автоматизации (бумажные картотеки), это также указывается. Важно: если в процессе работы вы меняете хотя бы один из этих пунктов (например, добавляете новую цель или нового получателя данных), вы обязаны направить в Роскомнадзор уведомление об изменениях в течение 10 рабочих дней.

Пошаговая инструкция: как заполнить уведомление по форме из приказа №94

Шаг 1. Скачайте актуальную форму. Форма уведомления утверждена приказом Роскомнадзора от 28.10.2022 №94 и доступна на официальном сайте ведомства в разделе «Деятельность» → «Персональные данные» → «Формы документов». Убедитесь, что используете именно последнюю версию — старые бланки могут не принять.

Шаг 2. Заполните раздел «Сведения об операторе». Укажите полное и сокращённое наименование в точности как в ЕГРЮЛ или ЕГРИП. ИНН, ОГРН/ОГРНИП, адрес (юридический и фактический, если различаются). Если оператор — иностранная компания, потребуется указать номер регистрации в стране инкорпорации и адрес представительства в России.

Шаг 3. Укажите цель и правовое основание. Цель должна быть сформулирована конкретно: не «ведение деятельности», а «заключение и исполнение договоров оказания услуг связи» или «кадровый учёт в соответствии с Трудовым кодексом РФ». Правовое основание — ссылки на статьи законов (например, ст. 86–90 ТК РФ, ст. 152.1 ГК РФ, ст. 6 ФЗ-152). Если оснований несколько, перечислите их все.

Шаг 4. Заполните перечень данных и категории субъектов. Перечислите все категории данных, которые вы обрабатываете: Ф.И.О., паспортные данные, адрес регистрации, номер телефона, адрес электронной почты, СНИЛС, ИНН, данные о доходах, биометрические данные и т.д. Категории субъектов — сотрудники, клиенты (физические лица), контрагенты (ИП), посетители сайта, кандидаты на вакансии. Не забудьте указать, обрабатываете ли вы данные несовершеннолетних.

Шаг 5. Опишите меры защиты. Укажите, какие технические и организационные меры применяются для защиты данных: шифрование, антивирусная защита, разграничение прав доступа, журналирование, физическая охрана серверных помещений. Если обработка автоматизированная, укажите название информационной системы и её местонахождение. Если обработка смешанная (часть данных в электронном виде, часть — на бумаге), опишите оба способа.

Шаг 6. Проверьте и подпишите. Уведомление подписывается руководителем организации или уполномоченным лицом (с приложением доверенности). Для электронной подачи потребуется усиленная квалифицированная электронная подпись (УКЭП). После подписания документ готов к отправке.

Способы подачи: электронная форма на сайте Роскомнадзора, бумажное отправление

Закон предусматривает два основных способа подачи уведомления: электронный через портал Роскомнадзора и бумажный — почтовым отправлением или лично. Электронный способ — приоритетный и наиболее удобный. Для этого нужно зайти на официальный сайт Роскомнадзора (rkn.gov.ru), перейти в раздел «Персональные данные» → «Подать уведомление об обработке персональных данных», авторизоваться через ЕСИА (Госуслуги) или с помощью УКЭП, заполнить интерактивную форму и отправить. Система автоматически проверит обязательные поля и сформирует электронный документ. После отправки вы получите уведомление о регистрации в реестре операторов в течение 15 рабочих дней.

Бумажный вариант — для тех, у кого нет электронной подписи или доступа к интернету. Уведомление распечатывается на бумаге формата А4, подписывается руководителем, заверяется печатью (при её наличии) и направляется в территориальный орган Роскомнадзора по месту нахождения оператора заказным письмом с описью вложения и уведомлением о вручении. Либо можно подать лично в приёмной территориального управления. Срок рассмотрения бумажного уведомления — до 30 рабочих дней, так как документ проходит ручную проверку. Рекомендуется сделать копию с отметкой о принятии.

Важный нюанс: при подаче уведомления в электронном виде вы можете сразу отслеживать статус его обработки в личном кабинете. При бумажной подаче такой возможности нет — придётся ждать почтового ответа или звонить в ведомство. Также учтите, что если в уведомлении допущена ошибка, электронная форма часто подсвечивает проблемные поля, а бумажный вариант могут вернуть без регистрации, и придётся подавать заново. Поэтому для большинства операторов электронный способ предпочтительнее — он быстрее и надёжнее.

Сроки подачи и порядок внесения изменений в уведомление

Уведомление должно быть подано до начала обработки персональных данных. Это означает, что вы не можете сначала собрать данные клиентов или сотрудников, а потом отправить уведомление — сначала регистрация в реестре, потом работа с данными. На практике Роскомнадзор рекомендует подавать уведомление за 10–15 рабочих дней до предполагаемого старта обработки, чтобы успеть получить регистрационный номер. Если вы уже начали обработку без уведомления, это нарушение, и штраф может быть выписан даже при последующей подаче.

Изменения в уведомление вносятся в течение 10 рабочих дней с момента, когда они произошли. Какие изменения требуют обязательного уведомления: смена наименования оператора, адреса, руководителя или ответственного за обработку данных; добавление новых целей обработки; появление новых категорий данных или субъектов; изменение мер защиты или места хранения данных; передача данных новым третьим лицам. Если вы не уведомите Роскомнадзор об изменениях, это приравнивается к работе с недостоверными сведениями в реестре — штраф по ст. 13.11 КоАП РФ.

Для внесения изменений используется та же форма, что и для первичного уведомления, но с пометкой «Изменение сведений». В электронном виде это делается через личный кабинет на сайте Роскомнадзора — нужно выбрать соответствующую опцию и указать, какие именно поля меняются. При бумажной подаче — направить новое уведомление с указанием номера предыдущей регистрации. Обратите внимание: если вы прекращаете обработку данных (например, закрываете бизнес или передаёте данные другому оператору), нужно подать уведомление о прекращении обработки — это также обязательная процедура.

Ответственность и штрафы за неподачу уведомления: что грозит оператору

Неподача уведомления в Роскомнадзор или подача с нарушением сроков квалифицируется как административное правонарушение по статье 13.11 КоАП РФ. Штрафы различаются в зависимости от статуса нарушителя: для должностных лиц (руководитель, ответственный за обработку) — от 10 000 до 30 000 рублей; для ИП — от 20 000 до 40 000 рублей; для юридических лиц — от 30 000 до 50 000 рублей. При повторном нарушении штрафы увеличиваются: для юрлиц — до 100 000 рублей, для должностных лиц — до 50 000 рублей.

Однако штрафы — не единственная санкция. Если Роскомнадзор выявит, что оператор обрабатывает данные без уведомления, ведомство может вынести предписание об устранении нарушения с указанием срока. Если предписание не выполнено, возможна административная приостановка деятельности на срок до 90 суток (по решению суда). Для некоторых сфер (например, обработка биометрических данных) санкции жёстче — штрафы до 300 000 рублей и блокировка информационных систем.

Отдельно стоит учитывать репутационные риски. Информация о нарушениях в сфере персональных данных публикуется на сайте Роскомнадзора и может быть использована клиентами и партнёрами как основание для расторжения договоров. Кроме того, субъекты данных (граждане) вправе требовать возмещения убытков и компенсации морального вреда, если из-за неправомерной обработки их данные оказались скомпрометированы. Поэтому своевременная подача уведомления — не формальность, а базовая мера защиты бизнеса от финансовых и репутационных потерь.

Итоговый чек-лист: что проверить перед отправкой уведомления

Перед тем как отправить уведомление в Роскомнадзор, проверьте каждый пункт по следующему чек-листу. Это поможет избежать возврата документа и ускорит регистрацию в реестре операторов.

• Правильность реквизитов: наименование, ИНН, ОГРН/ОГРНИП, адрес — должны точно совпадать с данными ЕГРЮЛ/ЕГРИП. Любая опечатка — основание для отказа.
• Цель обработки: сформулирована конкретно и недвусмысленно. Не «ведение бизнеса», а «заключение и исполнение договоров поставки товаров» или «кадровый учёт».
• Правовое основание: указаны ссылки на конкретные статьи законов. Если оснований несколько — перечислены все.
• Перечень данных: включены все категории, которые вы реально обрабатываете. Если обрабатываете биометрию — обязательно указать.
• Категории субъектов: перечислены все группы (сотрудники, клиенты, контрагенты, посетители сайта, кандидаты).
• Сроки хранения: указаны конкретные сроки (например, «в течение срока действия договора + 5 лет»), а не «постоянно».
• Меры защиты: описаны реальные технические и организационные меры. Не копируйте шаблоны — укажите, что именно применяется.
• Третьи лица: если данные передаются кому-либо (банк, страховщик, IT-подрядчик), указаны все получатели.
• Подпись: для электронной подачи — УКЭП руководителя или уполномоченного лица. Для бумажной — подпись и печать (при наличии).

После отправки сохраните подтверждение: для электронной подачи — номер регистрации в реестре, для бумажной — копию с отметкой о принятии или почтовое уведомление. Регистрационный номер нужно будет указывать во всех документах, связанных с обработкой персональных данных (согласиях, договорах, политике конфиденциальности). Если вы обнаружили ошибку после отправки — подайте уведомление об изменении в течение 10 рабочих дней.

Информационный сервис. Не является финансовой рекомендацией. Окончательные условия уточняйте на сайте банка.