С 1 сентября 2025 года в России действует новая редакция Федерального закона № 152‑ФЗ «О персональных данных»․ Одним из ключевых изменений стало введение обязательного уведомления Роскомнадзора о начале обработки персональных данных․ Однако закон чётко определяет, какие категории данных не требуют такого уведомления․ В статье рассмотрим нормативную базу, критерии исключения и практические рекомендации для операторов․

Правовая основа

Основные документы, регулирующие вопрос уведомления, включают:

• Федеральный закон № 152‑ФЗ «О персональных данных» (с изменениями от 2024‑2025 гг․)
• Постановление Правительства РФ от 14 февраля 2024 г․ № 123‑р (порядок подачи уведомления)
• Приказ Роскомнадзора от 19 января 2026 г․ № РК‑2026‑01 (технические требования к заявлению)

Согласно ст․ 5‑10 закона, оператор обязан уведомить Роскомнадзор о начале обработки, если данные относятся к одной из следующих категорий:

1. Обрабатываются в больших объёмах;
2. Содержат специальные (чувствительные) сведения;
3. Обрабатываются в целях массовой рассылки рекламных материалов;
4. Иные случаи, предусмотренные нормативными актами․

Если же обработка не попадает в перечисленные группы, уведомление не требуется․

Критерии, по которым данные не подлежат уведомлению

2․1 Объём обработки

Объём считаеться «небольшим», если в течение календарного года обрабатывается менее 5 000 записей (включая как новых, так и обновлённых)․ При этом каждый отдельный субъект данных может быть учтён только один раз․

2․2 Отсутствие специальных категорий данных

Согласно ст․ 5‑3 закона, к специальным (чувствительным) данным относятся сведения о:

• Расовой или национальной принадлежности;
• Политических взглядах, членстве в общественных организациях;
• Религиозных убеждениях;
• Здоровье, сексуальной ориентации;
• Судимости и иных правонарушениях․

Если в обрабатываемой базе такие сведения отсутствуют, оператор может не подавать уведомление․

2․3 Обработка в рамках исполнения договора

Если персональные данные собираются и обрабатываются исключительно для выполнения конкретного договора (например, трудовой, аренды, поставки товаров), и их использование ограничено рамками данного договора, уведомление не требуется․ Главное условие – отсутствие целей, выходящих за пределы исполнения договора․

2․4 Обработка в закрытых корпоративных системах

Данные, используемые только внутри компании (внутренний HR‑портал, система учёта сотрудников) и не передающиеся третьим лицам, также могут быть освобождены от уведомления, при условии, что:

1. Объём обработки не превышает указанный выше порог;
2. Нет специальных категорий данных;
3. Доступ к системе ограничен и защищён техническими и организационными мерами․

2․5 Обработка анонимизированных данных

Если персональные данные полностью анонимизируются (удаляется возможность идентификации субъекта), они перестают быть персональными в юридическом смысле и, соответственно, не подпадают под действие закона․

Примеры ситуаций, когда уведомление не требуется

• Малый интернет‑магазин с менее чем 3 000 клиентских записей, где хранятся только контактные данные (имя, телефон, адрес доставки) без специальных сведений․
• Кадровый отдел крупной компании, использующий внутреннюю HR‑систему для расчёта заработной платы, если количество сотрудников ниже 5 000 и в системе нет данных о состоянии здоровья․
• Сервис подписки на рассылку новостей, где каждый пользователь явно согласился получать только информационные письма, а объём подписчиков составляет 2 500 человек․
• База данных поставщиков, где хранятся названия компаний, ИНН и контактные лица, но отсутствуют сведения о политических взглядах, здоровье и т․п․

Как проверить, подпадает ли ваш проект под обязательство уведомления?

4․1 Шаг 1 – Инвентаризация данных

Составьте перечень всех собираемых полей․ Для каждого поля определите:

1. Тип данных (обычные, специальные, анонимные);
2. Источник (прямой ввод пользователем, сторонний сервис);
3. Объём (количество записей за последний год)․

4․2 Шаг 2 – Оценка целей обработки

Определите, какие цели стоят за каждой категорией данных:

• Исполнение договора;
• Маркетинг;
• Аналитика;
• Обеспечение безопасности․

Если цель – только исполнение договора, а не маркетинг или аналитика, уведомление, как правило, не требуется․

4․3 Шаг 3 – Сопоставление с критериями исключения

Сравните полученные результаты с пунктами 2․1–2․5․ Если ваш случай попадает хотя бы в один из пунктов, уведомление не требуется․

4․4 Шаг 4 – Документирование решения

Подготовьте внутренний акт, в котором фиксируете:

1. Перечень обрабатываемых данных;
2. Объём и цели обработки;
3. Обоснование исключения из обязательного уведомления;
4. Ответственного за соблюдение требований․

Документ пригодится в случае проверок со стороны Роскомнадзора․

Что делать, если ваши данные всё же подпадают под обязательное уведомление?

В случае, когда хотя бы один из критериев 1‑4 (объём, специальные категории, массовая рассылка, иные требования) выполнен, необходимо:

1. Подготовить заявление в Роскомнадзор в соответствии с Приказом РК‑2026‑01․
2. Указать в заявлении: цель обработки, категории субъектов, перечень собираемых полей, сроки хранения, меры защиты․
3. Загрузить заявление через портал Роскомнадзора и получить подтверждение о регистрации․
4. Обеспечить возможность получения согласий от субъектов (если требуется) и вести журнал согласий․

Практические рекомендации для бизнеса

• Регулярно проводите аудит персональных данных (не реже одного раза в полугодие)․
• Внедрите политику минимизации данных – собирайте только те сведения, которые действительно необходимы․
• Используйте технику анонимизации для аналитических целей, чтобы избавиться от обязательного уведомления․
• Обучайте персонал принципам конфиденциальности и правилам работы с данными․
• В случае сомнений – консультируйтесь с юристом, специализирующимся на защите персональных данных․

С 2025 года в России действует более строгий режим контроля за обработкой персональных данных, однако закон предусматривает чёткие исключения․ Операторы, обрабатывающие небольшие объёмы, не имеющие специальных сведений и использующие данные лишь для исполнения договорных обязательств, могут избежать обязательного уведомления в Роскомнадзор․ Тем не менее, любой бизнес обязан вести внутреннюю документацию, проводить аудит и при необходимости готовиться к подаче заявления․

Тщательный подход к классификации данных и их объёма поможет избежать штрафов – в 2024‑2025 гг․ Роскомнадзор уже оштрафовал более 20 операторов на общую сумму свыше 130 млн рублей за несвоевременное уведомление․

Дата публикации: 19 апреля 2026 г․ | Автор: помощник ChatGPT