В соответствии с Федеральным законом 152‑ФЗ «О персональных данных» любой оператор, который планирует обработку персональных данных, обязан уведомить об этом Роскомнадзор. Не выполнять это требование может привести к существенным штрафам (до 300 000 рублей для юридических лиц). Ниже подробно рассмотрены ситуации, когда уведомление обязательно, а также случаи, когда оно не требуется.

Общие положения закона

Согласно статье 22 152‑ФЗ оператор обязан направить уведомление до начала обработки персональных данных, за исключением перечня ситуаций, предусмотренных частью 2 той же статьи.

• Уведомление оформляется в форме Приложения N 1 к приказу Роскомнадзора от  № 180.
• Подача может быть выполнена в электронном виде через портал персональных данных (система ЕСИА).
• После получения уведомления Роскомнадзор вносит запись в реестр операторов в течение 30 дней.

Когда уведомление обязательно

Ниже перечислены типичные сценарии, при которых оператор обязан подать уведомление в Роскомнадзор.

1. Обработка персональных данных сотрудников. Любая организация, независимо от размера, обрабатывает данные своих работников (ФИО, паспортные данные, сведения о трудовой деятельности и пр.).
2. Обработка данных клиентов и контрагентов. Сбор, хранение и использование контактных данных, истории покупок, финансовой информации и т.д.
3. Обработка персональных данных через автоматизированные системы. Включает CRM, ERP, облачные сервисы, аналитические платформы и любые ИТ‑решения.
4. Обработка данных в маркетинговых и рекламных кампаниях. Сегментация аудитории, рассылка рекламных материалов, таргетинг.
5. Обработка биометрических, медицинских или иных специальных категорий данных. Поскольку такие данные требуют повышенных мер защиты, уведомление является обязательным.
6. Обработка данных в рамках аутсорсинга. Если компания передаёт часть обработки третьим лицам, она остаётся оператором и обязана уведомить Роскомнадзор.
7. Обработка данных в новых проектах, стартапах и ИТ‑компаниях. Даже если проект находится в стадии прототипа, уведомление должно быть подано до начала любой обработки.

Для всех перечисленных случаев уведомление должно быть подано до начала обработки персональных данных.

Исключения – когда уведомление НЕ требуется

Закон предусматривает три категории исключений (часть 2 статьи 22 152‑ФЗ). Если ваш случай попадает в одну из них, уведомление подавать не нужно.

• Обработка данных, включённых в государственные информационные системы, созданные для обеспечения безопасности государства и общественного порядка. Пример – данные сотрудников силовых структур, судебных органов.
• Обработка персональных данных исключительно вручную, без использования автоматизированных средств. Если все операции выполняются на бумажных носителях и нет ИТ‑поддержки.
• Обработка персональных данных, которые стали общедоступными. Информация, размещённая в открытых источниках (например, в официальных реестрах) и доступная каждому без ограничений.

Важно помнить, что даже при наличии одного из перечисленных пунктов необходимо вести внутренний реестр обработки и соблюдать правила защиты данных.

Порядок подачи уведомления

Ниже пошаговая инструкция, как правильно оформить и отправить уведомление.

1. Подготовьте сведения об операторе.
   • Полное наименование организации (для ИП – ФИО и ИНН).
   • Адрес, контактные данные, ИНН/КПП.
   • Ответственное лицо (ФИО, должность, телефон, e‑mail).
2. Сформируйте перечень обрабатываемых данных.
   • Категории субъектов (сотрудники, клиенты, поставщики и т.д.).
   • Типы персональных данных (ФИО, паспортные данные, финансовые, биометрические и пр.).
   • Цели обработки (выплата заработной платы, маркетинг, аналитика и т.д.).
3. Опишите меры обеспечения безопасности. Укажите технические и организационные меры (шифрование, ограничение доступа, журналирование).
4. Заполните форму Приложения N 1. Шаблон доступен на официальном сайте Роскомнадзора или в КонсультантПлюс.
5. Отправьте уведомление.
   • Через портал персональных данных (авторизация через ЕСИА).
   • Если выбран бумажный вариант – направьте копию в адрес Роскомнадзора (в этом случае электронная копия не требуется).
6. Получите подтверждение. После обработки в течение 30 дней в реестре появится запись о вашем операторе.

Сроки подачи уведомлений об изменениях и прекращении обработки

• Изменения сведений (добавление новых категорий данных, изменение целей, изменение ответственного лица) – подать новое уведомление до 15‑го числа месяца, следующего за месяцем, в котором произошли изменения.
• Прекращение обработки (закрытие проекта, ликвидация компании) – уведомить Роскомнадзор в течение 10 рабочих дней с момента прекращения.

Несоблюдение указанных сроков может привести к административной ответственности (штрафы, блокировка доступа к информационным системам).

Последствия несоблюдения требований

С 30 мая 2025 г. в КоАП РФ усилены санкции за нарушения в сфере персональных данных:

• Для юридических лиц – штраф до 300 000 рублей за каждый случай нарушения.
• Для индивидуальных предпринимателей – штраф до 10 000 рублей за каждый случай.
• За утечку данных – обязательное сообщение в Роскомнадзор в течение 24 часов и возможные дополнительные штрафы.

Кроме финансовых санкций, отсутствие записи в реестре может привести к отказу в заключении договоров с контрагентами и к репутационным рискам.

Полезные ресурсы и образцы

• Официальный сайт Роскомнадзора – формы, инструкции, реестр операторов.
• КонсультантПлюс – подробный разбор статьи 22 152‑ФЗ и образцы уведомлений.
• Блог GetCourse – пошаговое видео о заполнении формы уведомления.
• Шаблон «Уведомление о намерении осуществлять обработку персональных данных» (Приложение N 1) – скачайте в формате DOCX.

Уведомление в Роскомнадзор – обязательный элемент комплаенса при любой обработке персональных данных, за исключением трёх строго определённых случаев. Соблюдение процедуры подачи, своевременное обновление сведений и оперативное информирование об утечках позволяют избежать штрафов и сохранить доверие клиентов и партнёров.

Если у вас возникли вопросы по формированию уведомления или вы хотите проверить, относится ли ваш случай к исключениям, рекомендуется обратиться к специалисту по защите персональных данных или к юридическому консультанту.