С 30 мая 2025 года в России вступили в силу новые правила, регулирующие уведомление о начале обработки персональных данных в Роскомнадзор.
Нарушения порядка уведомления теперь влекут за собой значительные штрафы, а также могут стать причиной административных и уголовных последствий.

Кто обязан подавать уведомление?

• Организации‑операторы (юридические лица, ИП, автономные некоммерческие организации), которые собирают, хранят, используют или передают персональные данные.
• Индивидуальные предприниматели, ведущие учет клиентов, сотрудников, контрагентов.
• Любой оператор ПДн, который планирует начинать новую деятельность по обработке данных (например, запуск нового сервиса, внедрение CRM‑системы).

Если обработка данных производится в рамках уже зарегистрированного проекта, но меняются цели, категории данных или способы их обработки – также требуется новое уведомление.

Правовая база

1. Федеральный закон № 152‑ФЗ «О персональных данных» (в редакции от 30 мая 2025 г.).
2. Федеральный закон № 59‑ФЗ «Об исполнительном производстве» (в части ответственности за нарушение требований по защите ПДн).
3. Изменения в КоАП РФ, вступившие в силу 30 мая 2025 г., усиливающие ответственность за несвоевременное уведомление.
4. Отраслевые стандарты, предлагаемые Роскомнадзором в качестве альтернативы отдельным согласиям (например, стандарты для банков, телеком‑операторов, ИТ‑компаний).

Сроки подачи уведомления

Согласно текущему законодательству, уведомление должно быть подано не позднее 30 дней со дня начала обработки персональных данных. В случае изменения условий обработки (категории данных, цели, способы) – новое уведомление подаётся в течение 30 дней с момента изменения.

Что входит в уведомление?

Форма уведомления (размещённая на официальном портале rkn.gov.ru) состоит из нескольких обязательных полей:

• Наименование и реквизиты оператора (ИНН, ОГРН, юридический адрес, контактные данные).
• Цели обработки персональных данных (например, выполнение договора, маркетинг, аналитика).
• Категории собираемых данных (ФИО, паспортные данные, контакты, биометрия и т.д.).
• Субъекты персональных данных (клиенты, сотрудники, контрагенты, пользователи сайта).
• Сроки хранения данных (с указанием конкретных дат или критериев окончания хранения).
• Места и способы хранения (серверы в РФ, облачные сервисы, бумажные архивы).
• Трансграничная передача (если данные передаются за пределы РФ – указать страны‑получатели и меры защиты).
• Меры по обеспечению безопасности (шифрование, контроль доступа, аудит).
• Контактное лицо для взаимодействия с Роскомнадзором (ФИО, должность, телефон, e‑mail).

Пошаговый алгоритм подачи уведомления

1. Подготовка информации. Сформируйте список всех пунктов, указанных в разделе 4. При необходимости привлеките юриста или специалиста по ИБ.
2. Регистрация на портале Роскомнадзора. Если у вас ещё нет учётной записи, зайдите на rkn.gov.ru, выберите «Регистрация» и пройдите проверку личности (по СНИЛС/ЭП).
3. Заполнение формы. В личном кабинете выберите «Уведомление об обработке персональных данных», заполните все обязательные поля, приложите скан‑копии документов (свидетельство о регистрации, договоры, политика конфиденциальности).
4. Проверка и подтверждение. Система проверит корректность заполнения. При ошибках появятся подсказки – исправьте их.
5. Отправка заявления. Нажмите «Отправить». После отправки вы получите регистрационный номер уведомления и подтверждение на e‑mail.
6. Получение подтверждения от Роскомнадзора. В течение 5‑10 рабочих дней оператор получит уведомление о регистрации заявления. При необходимости будет запрошена дополнительная информация.
7. Хранение подтверждения. Сохраните копию подтверждения (PDF) и регистрируйте его в системе внутреннего контроля.

Часто встречающиеся ошибки и как их избежать

• Не указана точная цель обработки. Формулируйте цель конкретно, избегая общих фраз типа «для развития бизнеса».
• Отсутствие информации о сроках хранения. Указывайте конкретные даты или критерии (например, «до завершения контракта + 1 год»).
• Не указана информация о трансграничной передаче. Даже если данные хранятся в облаке за пределами РФ, это обязано быть отражено.
• Неправильный ИНН/ОГРН. Проверьте реквизиты в справочниках ФНС перед отправкой.
• Отсутствие подписи уполномоченного лица. Убедитесь, что в системе указано лицо, имеющее право подписи, и что его электронная подпись (ЭП) активна.

Штрафы и ответственность

С 30 мая 2025 года штрафы за нарушение порядка уведомления существенно возросли:

• За отсутствие уведомления – от 300 000 до 5 000 000 рублей для юридических лиц.
• За несвоевременное уведомление (превышение 30‑дневного срока) – от 150 000 до 2 500 000 рублей.
• За непредоставление запрошенных дополнительных сведений – от 200 000 до 3 000 000 рублей.
• Для ИП штрафы составляют от 50 000 до 500 000 рублей.

Кроме финансовых санкций, в случае повторных нарушений может быть наложено временное ограничение на обработку персональных данных, а также возбуждены административные дела.

Альтернативные способы согласования – отраслевые стандарты

Роскомнадзор предложил заменить отдельные согласия на обработку персональных данных отраслевыми стандартами. Это удобно для компаний, работающих в:

• Банковском секторе;
• Телекоммуникациях;
• Электронной коммерции;
• Медицинских услугах.

Для применения стандарта необходимо:

1. Подтвердить соответствие требованиям стандарта (сертификация).
2. Указать в уведомлении, что обработка осуществляется в соответствии с отраслевым стандартом № ХХ.
3. Хранить копию сертификата в архиве и предоставлять её по запросу Роскомнадзора.

Что делать после подачи уведомления?

• Регулярно проверяйте e‑mail и личный кабинет – могут потребоваться уточняющие документы.
• Обновляйте уведомление при изменении целей, категорий данных или способов их обработки.
• Ведите журнал регистрации всех уведомлений (номер, дата подачи, дата получения подтверждения).
• Проводите внутренний аудит соответствия политики обработки ПДн требованиям закона.

FAQ – часто задаваемые вопросы

Нужно ли подавать уведомление, если я обрабатываю только «общедоступные» данные?

Да. Закон не делает исключения для общедоступных данных, если они используются в коммерческих целях и хранятся в базе оператора.

Можно ли подать уведомление за один месяц до начала обработки?

Разумеется. Чем раньше – тем лучше, особенно если планируется крупный проект.

Что делать, если сайт Роскомнадзора недоступен (как это было в начале мая 2026 г.)?

Сохраняйте скриншоты ошибки, оформляйте запрос в техподдержку через форму обратной связи и отправляйте уведомление в письменной форме (по почте с подтверждением доставки). После восстановления доступа загрузите электронную копию.

Как оформить уведомление, если я использую облачный сервис за пределами РФ?

Укажите в поле «Трансграничная передача» названия стран‑получателей, тип сервиса (IaaS, SaaS), а также меры защиты (шифрование, локализация данных в РФ и т.д.). При необходимости приложите договор с поставщиком облачных услуг.

Требуется ли отдельное согласие субъектов данных, если уже есть отраслевой стандарт?

Отраслевой стандарт заменяет отдельные согласия только в том случае, если субъект данных явно согласился с применением данного стандарта (обычно через публично доступную политику конфиденциальности).

Уведомление в Роскомнадзор – обязательный и строго регламентированный процесс. Неправильное или несвоевременное оформление может привести к тяжким финансовым санкциям и репутационным потерям.
Следуйте пошаговому алгоритму, держите всю необходимую информацию под рукой и регулярно обновляйте данные в личном кабинете.
Тогда вы сможете сосредоточиться на развитии бизнеса, не опасаясь юридических последствий.

Если у вас возникли дополнительные вопросы, рекомендуется обратиться к профессиональному юристу, специализирующемуся на защите персональных данных, либо к консультанту по информационной безопасности.