Уведомление Роскомнадзора о начале обработки персональных данных
Входим в ведущие рейтинги и объединения страны:
Кратко: Уведомление об обработке персональных данных — обязательное сообщение оператора в Роскомнадзор о том, какие персональные данные, о ком, зачем и как он обрабатывает. Его подают все компании, ИП и граждане, которые обрабатывают персональные данные на компьютере или в онлайн-сервисах; исключения перечислены в ч. 2 ст. 22 Закона № 152-ФЗ. Подать уведомление нужно до начала обработки — через портал pd.rkn.gov.ru, Госуслуги или на бумаге. За неподачу организации грозит штраф от 100 000 до 300 000 ₽ (ч. 10 ст. 13.11 КоАП РФ). Об изменении сведений нужно сообщить до 15-го числа следующего месяца.
Материал подготовил Морозов Никита Алексеевич, эксперт по защите персональных данных (DPO), старший юрист. Опыт работы с персональными данными с 2020 года.
Дата публикации: 05.08.2022
Дата обновления: 20.10.2026
Дата обновления: 20.10.2026
Структура страницы
Уведомление в РКН: ключевые факты
Вопрос | Ответ | Нормативное обоснование |
Кто подаёт? | Любой оператор персональных данных: организация, ИП, гражданин, госорган | ч. 1 ст. 22 152-ФЗ |
Когда? | До начала обработки персональных данных | ч. 1 ст. 22 152-ФЗ |
Кто не подаёт? | Обработка только в ГИС для защиты безопасности государства и общественного порядка; для обеспечения транспортной безопасности; обработка без средств автоматизации (только на бумаге) | ч. 2 ст. 22 152-ФЗ |
Какая форма? | Уведомление о намерении осуществлять обработку персональных данных | Приказ РКН от 28.10.2022 № 180 |
Куда подавать? | Территориальное управление РКН по месту нахождения; для Москвы — Управление РКН по ЦФО | — |
Способы подачи | Портал pd.rkn.gov.ru с УКЭП, Госуслуги, на бумаге (почтой или лично) | — |
Госпошлина | Не взимается | — |
Срок внесения сведений | В течение 30 дней с даты получения уведомления | ч. 4 ст. 22 152-ФЗ |
Изменение сведений | Не позднее 15-го числа месяца, следующего за месяцем изменений | ч. 7 ст. 22 152-ФЗ |
Прекращение обработки | В течение 10 рабочих дней с даты прекращения | ч. 7 ст. 22 152-ФЗ |
Штраф за неподачу | Граждане — 5–10 тыс. руб.; должностные лица — 30–50 тыс. руб.; организации — 100–300 тыс. руб. | ч. 10 ст. 13.11 КоАП РФ |
Подача уведомления в Роскомнадзор под ключ: стоимость и что входит
Подготовка и подача уведомления о намерении осуществлять обработку персональных данных стоит 50 000 руб. Уведомление подаём в течение 3 рабочих дней после получения информации от вас. Роскомнадзор вносит компанию в реестр операторов персональных данных в течение 30 дней с даты получения уведомления (ч. 4 ст. 22 Закона № 152-ФЗ) — мы контролируем этот срок и сообщаем вам номер записи.
- Стоимость под ключ50 000 руб.
- Подготовка и подача3 рабочих дняс момента получения информации
- Включение в реестрдо 30 днейсрок Роскомнадзора по закону
- Госпошлина0 руб.Роскомнадзор не взимает
Что входит в стоимость
- Анализ процессов: какие персональные данные, о ком и зачем обрабатывает компания, в каких системах они хранятся.
- Определение целей, категорий данных, правовых оснований и мест нахождения баз данных — в том числе арендованных серверов и облачных сервисов.
- Заполнение формы уведомления (Приказ Роскомнадзора № 180) и сверка сведений с политикой обработки персональных данных.
- Подача уведомления через портал Роскомнадзора и контроль включения компании в реестр операторов.
- Ответы на запросы Роскомнадзора по поданному уведомлению.
- Передача вам номера уведомления и ключа — они понадобятся для внесения изменений.
Что понадобится от вас
- Реквизиты компании или ИП и данные ответственного за обработку персональных данных.
- Чьи данные вы обрабатываете: сотрудники, соискатели, клиенты, посетители сайта, контрагенты.
- Какие сервисы используете: CRM, 1С, формы и аналитика на сайте, рассылки, мессенджеры.
- Где хранятся данные: собственный сервер, хостинг или облако — и в какой стране.
Список вопросов пришлём сами — заполнение анкеты обычно занимает около часа.
Уже подали уведомление? Поможем внести изменения в уведомление РКН, если сменились адрес, ответственный, цели или сервисы, а при передаче данных за рубеж — подготовим уведомление о трансграничной передаче персональных данных.
Уведомление в Роскомнадзор: общая характеристика
Одна из основных обязанностей оператора (любой компании или ИП, которые работают с персональными данными) – это подача в Роскомнадзор уведомления о начале обработки ПДн. Есть и другие обязанности, например, разработка политики обработки ПДн и сбор согласий на обработку ПДн, однако нужно учитывать, что при любой проверке Роскомнадзор первым делом смотрит поданное уведомление.
Уведомление – это документ по форме, утверждённой приказом РКН от 28.10.2022 № 180, который направляется в Роскомнадзор юридическим лицом, индивидуальным предпринимателем или физическим лицом (например, самозанятым, обрабатывающим сведения о своих клиентах). В документе отражаются категории информации, способы ее использования, а также местонахождение электронной базы (при автоматизированном обработке персональных данных). Информация в уведомлении должна соответствовать указанной в документах по персональным данным оператора.
Кто обязан подавать уведомление и в какой срок
По общему правилу подать уведомление должен любой оператор (от физического лица до государственного органа), за исключением случаев, перечисленных в ч. 2 ст. 22 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».
1
Во-первых, организация не обязана уведомлять Роскомнадзор, если она осуществляет обработку ПДн, находящихся в специализированных государственных информационных системах, которые были созданы для защиты граждан и Российской Федерации. Например, сотрудники МВД, ФСБ, следствия и других ведомств обрабатывают ПДн без согласия и без уведомления Роскомнадзора
2
Во-вторых, обработка персональных данных осуществляется для обеспечения безопасности на транспорте граждан, организаций и государства. Например, сотрудники ФТС, пограничники и сотрудники транспортной полиции МВД, а также в некоторых случаях работники РЖД осуществляют работу с ПДн без уведомления Роскомнадзора
3
В-третьих, обработка персональных данных ведётся без использования средств автоматизации. Если первые два пункта больше относятся к государственным органам и связанным с ними юридическим лицам, то этот пункт касается широкого круга организаций. Компания вправе не уведомлять РКН, если она работает исключительно с бумажными документами и не осуществляет автоматизированную обработку ПДн
Подводя итог: уведомление обязан подать практически любой оператор — от гражданина (кроме обработки только для личных и семейных нужд) до компании с тысячами сотрудников.
Возникает вопрос срока подачи сведений в РКН. Обязанность подать уведомление в Роскомнадзор существует уже практически 20 лет, однако особое внимание на нее стали обращать только недавно. Связано это с тем, что, с 30 мая 2025 года Кодекс об административных правонарушениях предусматривает штрафы за отсутствие отправленного уведомления или недостоверную информацию в таком документе.
В случае, если компания несколько лет ведёт свою деятельность и осуществляет обработку персональных данных, но не направила соответствующее уведомление в РКН, то рекомендуется все же исправить это нарушение. В противном случае организация с высокой долей вероятности будет привлечена к ответственности.
Далее следует рассмотреть ситуацию, если предприниматель только начинает свою деятельность или собирается ее начать. В этом случае необходимо подать уведомление о начале обработки ПДн до начала фактического использования ПДн. Эта норма легко исполнима для индивидуальных предпринимателей и физических лиц, но создает сложности для юридических лиц, которые с момента своего создания обрабатывают сведения о своих учредителях и руководителях. Как следствие, юридическим лицам рекомендуется подавать уведомление в течение десяти рабочих дней с момента государственной регистрации. Этот срок – оптимальный и разумный, и его соблюдение позволяет оспорить решение РКН о привлечении компании к ответственности, если она не подала сведения сразу же после регистрации
Какой штраф за неподачу уведомления в Роскомнадзор
За неподачу уведомления или его подачу после начала обработки штрафуют по ч. 10 ст. 13.11 КоАП РФ. Эта норма действует с 30 мая 2025 года; раньше такое нарушение квалифицировали по ст. 19.7 КоАП со штрафом 3–5 тыс. руб.
Опоздание наказывается так же, как неподача: если в уведомлении дата начала обработки раньше даты подачи, это уже нарушение. Для малого и среднего бизнеса суд может снизить штраф до половины минимального размера, а при первом нарушении — заменить его предупреждением. Поэтому если компания уже обрабатывает данные без уведомления, подать его нужно сразу.
Оператор обработки персональных данных | Штраф по ч. 10 ст. 13.11 КоАП |
Граждане, в том числе самозанятые | 5 000–10 000 руб. |
Должностные лица (директор, ответственный за обработку) | 30 000–50 000 руб. |
Организации | 100 000–300 000 руб. |
Опоздание наказывается так же, как неподача: если в уведомлении дата начала обработки раньше даты подачи, это уже нарушение. Для малого и среднего бизнеса суд может снизить штраф до половины минимального размера, а при первом нарушении — заменить его предупреждением. Поэтому если компания уже обрабатывает данные без уведомления, подать его нужно сразу.
Как Роскомнадзор проверяет операторов в 2026 году
Плановые проверки по персональным данным до 2030 года проводятся только у операторов высокого и чрезвычайно высокого риска. Высокий риск, в частности, присваивают тем, кто обрабатывает специальные категории или биометрические данные и уже привлекался к ответственности (ПП РФ от 29.06.2021 № 1046).
Остальных операторов проверяют внепланово: по жалобам граждан, после утечек и если сведения в уведомлении не совпадают с тем, как компания на самом деле работает с данными. Первое, что Роскомнадзор смотрит при любой проверке, — уведомление: подано ли оно и совпадают ли цели, категории данных и место хранения баз с реальными процессами.
Остальных операторов проверяют внепланово: по жалобам граждан, после утечек и если сведения в уведомлении не совпадают с тем, как компания на самом деле работает с данными. Первое, что Роскомнадзор смотрит при любой проверке, — уведомление: подано ли оно и совпадают ли цели, категории данных и место хранения баз с реальными процессами.
Как заполнить уведомление: что указать?
В первую очередь заполняются сведения об операторе: тип, регион, реквизиты и адрес. Особое внимание следует обратить на заполнение адреса путём его выбора в специальном меню.
На втором этапе заполняется информация о работе с ПДн, а именно: цели, категории ПД, основания и способы обработки. Важно: сведения вносятся для каждой цели отдельно.
Для юридических лиц, как основной категории операторов ПД, можно указать следующие цели, которые чаще всего указывают организации:
-
Ведение кадрового и бухгалтерского учёта - Обеспечение соблюдения трудового законодательства
- Обеспечение соблюдения налогового законодательства
- Обеспечение соблюдения пенсионного законодательства
- Подготовка, заключение гражданско-правового договора
- Осуществление воинского учёта
При заполнении этого раздела важно точно указать цели, категории данных и основания обработки: при проверке Роскомнадзор сверяет их с фактическими процессами. Если руководитель на начальном этапе не до конца понимает, какие сведения необходимо указать, следует обратиться к профильному юристу по ПДн за помощью в составлении такого документа.
Далее заполняются сведения о тех мерах и способах, которые организация применяет для защиты ПДн, а также основания, по которым работа с ПДн может быть прекращена. Как правило, операторы указывают следующие способы защиты:
- Использование организационных и технических мер безопасности обработки ПДн и определение потенциальных угроз и их нивелирование
- Принятие политики обработки ПДн и других локальных актов организации
- Назначение лица, ответственного за обработку ПДн и инструктаж сотрудников о порядке работы с такими сведениями
Как подать уведомление в Роскомнадзор
Формирование и подача уведомления происходит через специализированный электронный сервис Роскомнадзора. Перед формированием уведомления пользователю предлагается выбрать один из способов подачи:
- В бумажном виде, путём отправки почтой России документа с печатью и подписью оператора или подачи уведомления нарочно в отделение Роскомнадзора региона, где находится оператор
- С помощью портала Госуслуг: после формирования проект уведомления подписывается с помощью Единой системы идентификации и аутентификации (ЕСИА) и направляется в электронной форме в Роскомнадзор. Такой способ подачи доступен только для подтвержденных профилей физических лиц, индивидуальных предпринимателей и юридических лиц на портале Госуслуг
- Подача с помощью усиленной квалифицированной электронной подписи (УКЭП) оператора. По окончании формирования уведомления оператор подключает к устройству специальный токен, содержащий УКЭП, и подписывает документ. Для подписания с помощью УКЭП в браузере необходимо установить специализированные плагины для работы с УКЭП в таком браузере
По результатам формирования и подачи уведомления пользователю выдается цифровой ключ и номер отправленного ранее уведомления – эти сведения стоит сохранить для лёгкого внесения изменений в уведомление в будущем.
Реестр операторов: когда вносят и как проверить компанию
Роскомнадзор вносит сведения об операторе в реестр операторов персональных данных в течение 30 дней с даты получения уведомления. Реестр открыт: проверить, есть ли в нём компания, можно на портале pd.rkn.gov.ru в разделе «Реестр операторов» по ИНН или наименованию.
Если компании нет в реестре, а персональные данные она уже обрабатывает, уведомление нужно подать как можно скорее. Запись в реестре защищает не только от штрафа: часть заказчиков требует её от исполнителей при заключении договоров.
Если компании нет в реестре, а персональные данные она уже обрабатывает, уведомление нужно подать как можно скорее. Запись в реестре защищает не только от штрафа: часть заказчиков требует её от исполнителей при заключении договоров.
Когда нужно изменить уведомление или сообщить о прекращении обработки?
Недостаточно просто подать уведомление – операторы обязаны поддерживать актуальность изложенной в нем информации. Изменять неактуальные сведения (путем направления отдельного сообщения в РКН) согласно ч. 7 ст. 22 Закона №152-ФЗ, необходимо до 15 числа месяца, следующего за тем, в котором произошли изменения.
Если речь идет о молодой компании, в которой процессы использования ПДн не до конца сформированы, указанный срок соблюдается достаточно редко. В этом случае для минимизации рисков ответственности со стороны Роскомнадзора рекомендуется поддерживать в актуальном состоянии наиболее значимую информацию:
Сведения об операторе
Цели, методы, сроки, категории ПДн, используемых компанией и дата начала обработки ПДн
Описание мер по обеспечению безопасности персональных данных и соблюдению требований законодательства
Сведения о наличии или отсутствии трансграничной передачи ПДн
Сведения о лице, отвечающем за работу с ПДн и сведения о местонахождении базы данных
Если компания прекратила обработку персональных данных — например, при ликвидации, — об этом нужно сообщить в Роскомнадзор в течение 10 рабочих дней с даты прекращения. Для изменений и прекращения понадобятся номер уведомления и ключ, которые выдаются при подаче, — сохраните их.
Трансграничная передача — отдельное уведомление
Если персональные данные передаются за рубеж — иностранному партнёру, в зарубежное облако, CRM, сервис рассылок или аналитики, — нужно отдельное уведомление о намерении осуществлять трансграничную передачу. Оно отличается от уведомления об обработке тремя вещами: подаётся отдельно и до начала передачи; в нём указывают номер уже поданного уведомления об обработке; Роскомнадзор может запретить или ограничить передачу. В основном уведомлении достаточно отметить сам факт трансграничной передачи.
Как понять, есть ли у компании трансграничная передача, и как подготовить уведомление — на странице Уведомление о трансграничной передаче персональных данных.
Как понять, есть ли у компании трансграничная передача, и как подготовить уведомление — на странице Уведомление о трансграничной передаче персональных данных.
Источники и нормативная база
Законы
- Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 22 — обязанность подать уведомление и исключения (ч. 2), внесение в реестр операторов (ч. 4), изменение сведений и прекращение обработки (ч. 7)
- Кодекс РФ об административных правонарушениях, ч. 10 ст. 13.11 — штраф за неподачу уведомления; ст. 4.1.1 и 4.1.2 — замена штрафа предупреждением и снижение для малого и среднего бизнеса
Изменения 2024–2026 годов
- Федеральный закон от 30.11.2024 № 420-ФЗ — штрафы за неподачу уведомления по ч. 10 ст. 13.11 КоАП, действуют с 30.05.2025
Роскомнадзор
- Портал персональных данных Роскомнадзора — подача уведомления, реестр операторов, внесение изменений
- Приказ Роскомнадзора от 28.10.2022 № 180 — формы уведомлений о намерении осуществлять обработку, об изменении сведений и о прекращении обработки
Проверки
- Постановление Правительства РФ от 29.06.2021 № 1046 — федеральный государственный контроль за обработкой персональных данных, категории риска операторов
- Постановление Правительства РФ от 10.03.2022 № 336 — ограничение плановых проверок, в ред. постановления от 10.03.2023 № 372 — до 2030 года
Часто задаваемые вопросы (FAQ)
Да, если ИП и компания обрабатывает персональные данные клиентов, контрагентов или посетителей сайта на компьютере или в онлайн-сервисах. Освобождение есть только при обработке без средств автоматизации — исключительно на бумаге.
Да. Самозанятый, который ведёт базу клиентов в телефоне, мессенджере или таблице, — оператор персональных данных. Штраф для граждан за неподачу — 5–10 тыс. руб.
Да. Форма с именем и телефоном — это автоматизированная обработка персональных данных. В уведомлении такую обработку указывают как отдельную цель.
Закон требует подать уведомление до начала обработки, а юрлицо обрабатывает данные учредителей и директора с момента регистрации. Мы рекомендуем подавать в течение 10 рабочих дней после государственной регистрации.
Госпошлины нет, Роскомнадзор принимает уведомление бесплатно. Сопровождение подачи юристами "Афонин, Божор и партнеры" — 50 000 руб.: анализ процессов, заполнение, подача и контроль включения в реестр.
На портале pd.rkn.gov.ru в разделе «Реестр операторов» — по ИНН или наименованию.
Подача после начала обработки — тоже нарушение ч. 10 ст. 13.11 КоАП. Но подать нужно сразу: так нарушение не продолжается, а при первом нарушении малому бизнесу штраф могут заменить предупреждением.
Нет. Изменения вносят в уже поданное уведомление не позднее 15-го числа месяца, следующего за месяцем изменений. Понадобятся номер уведомления и ключ, полученные при подаче.
Мы в цифрах
Динамичность
< 3 час.
средний срок ответа на запрос клиента по стандартной задаче. Оперативно отвечаем на обращения и согласовываем сроки решения задач
Заслуживаем доверие
6 лет
подряд нашу фирму и специалистов отмечают рейтинги Право-300, ИД Коммерсантъ, Российская газета в числе лучших юристов
Опыт
9 лет
средний юридический стаж наших экспертов, из которых порядка пяти лет работы в нашей компании. Мы сплоченная команда энтузиастов с прочной позицией на рынке
клиенты из Forbes, RAEX
> 10
крупнейших компаний доверяют нам свои проекты, в их числе компании группы Сбера, Яндекса, Технониколь, LG, 1С и Самолет