Подать уведомление в Роскомнадзор можно самостоятельно. Специалистом по персональным данным для этого быть не обязательно, и читать закон от корки до корки тоже. Подача бесплатная, госпошлины нет.
Подвох в другом. Самые сложные поля формы не заполнить, если не понимаешь, как в бизнесе на самом деле движется информация о клиентах и работниках. Цели, данные, основания, сервисы, меры защиты: все это придется выяснить. Поэтому пойдем по шагам. Сначала заполним уведомление, потом разберем проблемы, которые обычно всплывают прямо во время работы с формой.
В итоге вы не только попадете в реестр операторов, но и поймете, что еще стоит исправить, чтобы не получить штраф.
Материал актуален на 12 октября 2026 года. Перед отправкой проверьте действующую форму на официальном портале Роскомнадзора.
Что такое уведомление и кому оно нужно
Уведомление это не просьба разрешить бизнесу работать. Это официальное сообщение Роскомнадзору о том, кто обрабатывает персональные данные, зачем и как. По нему сведения об операторе вносят в публичный реестр.
Уведомить Роскомнадзор нужно до начала обработки. Исключения есть, но после 1 сентября 2022 года их осталось очень мало. Для обычного бизнеса реально работает одно: данные обрабатываются исключительно без средств автоматизации, то есть только на бумаге. Полный список приведен в части 2 статьи 22 Закона № 152-ФЗ.
Почти любой современный бизнес пользуется сайтом, почтой, компьютером, CRM, облачной таблицей или мессенджером. Значит, исключение не подходит, и уведомление понадобится, если вы:
- принимаете заявки через сайт, соцсети или мессенджеры;
- храните телефоны и email клиентов;
- ведете клиентскую базу;
- заключаете договоры с физическими лицами;
- обрабатываете данные работников или соискателей;
- ведете видеонаблюдение или записываете звонки;
- отправляете рассылки;
- передаете данные в CRM, службу доставки, бухгалтерию или другим подрядчикам.
Подать уведомление должен сам оператор: организация, ИП, самозанятый. Небольшой размер бизнеса от этой обязанности не освобождает. Если не уверены, считаетесь ли вы оператором, начните со статьи кто является оператором персональных данных.
Что подготовить перед заполнением
Форму пока не открывайте. Сначала возьмите один обычный процесс, например заявку с сайта, и проследите путь данных.
Человек оставил имя и телефон. Куда они попали? На корпоративную почту, в CRM, в Telegram менеджера или сразу в несколько мест? Кто видит заявку? Сколько она хранится? Телефон используют только для ответа или еще и для рекламы?
Запишите ответы в небольшую таблицу:
| Что выяснить | Пример для заявки с сайта |
|---|---|
| Зачем нужны данные | Ответить на обращение и связаться с человеком |
| Чьи это данные | Посетитель сайта, который отправил форму |
| Что собирается | Имя, телефон, email, текст сообщения |
| Куда поступает | Почта и CRM |
| Кто получает доступ | Менеджер и руководитель |
| На каком основании | Согласие или действия до заключения договора, зависит от ситуации |
| Где хранится | Сервер сайта, почтовый сервис, CRM |
| Когда удаляется | После достижения цели или в установленный срок |
То же самое сделайте для клиентов, работников, соискателей, подписчиков рассылки и других групп людей. Юридическим языком писать пока не нужно. На этом этапе важнее честно описать факты.
Как заполнить уведомление
1. Сведения об операторе
Укажите название организации, ИНН, ОГРН и адрес. ИП и физическому лицу понадобятся ФИО и идентификаторы, которые предусмотрены формой.
Сверьте реквизиты с ЕГРЮЛ или ЕГРИП. Тут обычно все просто, главное не ошибиться в цифрах и указать актуальный адрес.
2. Цели обработки
Цель объясняет, зачем вам данные человека. Формулировки «ведение деятельности» или «работа с клиентами» слишком широкие: из них непонятно, зачем компании телефон, паспорт или резюме.
У бизнеса цели обычно такие:
- обработка обращений и заявок потенциальных клиентов;
- заключение и исполнение договоров, оформление и доставка заказов;
- консультирование клиентов, рассмотрение претензий и возвратов;
- ведение бухгалтерского и налогового учета;
- отправка рекламных сообщений и программы лояльности;
- поиск и подбор работников;
- кадровый учет и выплата зарплаты;
- взаимодействие с контрагентами и их представителями;
- анализ посещаемости и улучшение работы сайта;
- обеспечение безопасности, видеонаблюдение, пропускной режим.
Каждую цель описывайте отдельно. В форме все остальные сведения, от категорий людей до сроков, тоже заполняются по каждой цели. Как формулировать цели без общих фраз, мы разобрали в отдельной статье.
3. Люди, данные и правовое основание
Для каждой цели укажите, чьи данные вы обрабатываете: клиентов, посетителей сайта, работников, соискателей, представителей контрагентов, подписчиков.
Потом перечислите сами данные. Паспорт, адрес или сведения о здоровье «на всякий случай» не добавляйте. Но и одними именем и телефоном не ограничивайтесь, если вместе с ними хранятся email, текст обращения, запись разговора или история заказов.
Дальше основание. Для каждой цели выберите то, которое к ней действительно подходит: согласие, договор, обязанность по закону или другое. Данные клиента нужны для исполнения договора, данные работника для обязанностей работодателя, email для рекламы обрабатывается по согласию получателя. Длинный список законов из чужого образца сюда переносить не нужно.
Согласие нужно не для любой обработки. Иногда данные законно используются для заключения или исполнения договора без него. Поэтому универсальная галочка под каждой формой задачу не решает: основание выбирают под реальный процесс.
4. Что происходит с данными
Перечислите действия с данными: сбор, запись, хранение, использование, передача, обновление, удаление и другие, которые действительно выполняются.
Заявка с сайта автоматически попадает в CRM, менеджер звонит клиенту, добавляет комментарий и меняет статус сделки. Это уже не только сбор, но и хранение, использование, обновление, а иногда и передача подрядчику.
Затем выберите способ обработки: автоматизированный, неавтоматизированный или смешанный. Обычно подходит смешанный, ведь в обработке участвуют и люди, и сайт, почта, CRM. Если у вас онлайн-сервис и обработка идет без участия человека, выбирайте автоматизированный.
5. Сервисы, базы и передача данных
Проверьте, где физически находятся базы с данными. Ответ «в России» только потому, что компания российская, не годится. Посмотрите условия хостинга, CRM, корпоративной почты, облачных хранилищ и сервисов рассылок. В уведомлении указывают адрес центра обработки данных, где хранится база с данными граждан России.
Отдельно проверьте, уходят ли данные за границу. Иностранная система аналитики, виджет, облачная CRM, почтовый сервис или сервис рассылок могут отправлять данные получателю за рубежом. Одного иностранного названия для вывода мало. Нужно выяснить, какие сведения сервис получает на самом деле, где находится получатель и кому именно идут данные.
Если без такого сервиса можно обойтись, проще убрать передачу: заменить инструмент или поменять настройки. Если нельзя и данные действительно уходят иностранному получателю, до начала передачи в Роскомнадзор направляют отдельное уведомление о трансграничной передаче. Обычное уведомление его не заменяет и автоматически не включает.
6. Меры защиты, ответственный и сроки
В форме описывают меры, которые действительно работают в компании. Например:
- назначен ответственный за организацию обработки;
- утверждены политика и внутренние документы;
- доступ работников разграничен;
- у каждого своя учетная запись и пароль;
- настроены резервное копирование и обновление программ;
- есть порядок ответов на запросы людей;
- определено, что делать при утечке.
Фразу «приняты все необходимые меры» лучше не писать, если правил внутри компании пока нет. Роскомнадзор вправе запросить подтверждающие документы, а общая фраза их не заменит.
Дату начала обработки укажите фактическую. Если бизнес уже давно работает с данными, будущую дату придумывать не нужно. Для прекращения обработки укажите понятное условие или срок, связанный с целью.
7. Подписание и отправка
Откройте официальную форму Роскомнадзора, перенесите подготовленные сведения и выберите способ отправки, который предлагает портал.
Закон разрешает подать уведомление на бумаге или в электронном виде. Подписывает его уполномоченное лицо. Бумажный вариант направляют в территориальное управление Роскомнадзора.
Заполненная форма еще не означает, что уведомление подано. Сохраните копию документа, подтверждение отправки и номер обращения.
Роскомнадзор вносит сведения в реестр в течение 30 дней с даты получения уведомления. После этого найдите компанию в реестре операторов и проверьте запись.
Если процессы изменятся, сведения обновляют информационным письмом не позднее 15-го числа месяца, следующего за месяцем изменений. Если обработка прекращается полностью, Роскомнадзор уведомляют в течение десяти рабочих дней.
Чек-лист перед отправкой
- Все цели обработки перечислены отдельно.
- Для каждой цели указаны люди, данные и основание.
- Учтены сайт, почта, CRM, таблицы, мессенджеры и подрядчики.
- Проверены место нахождения баз и трансграничная передача.
- Указаны только меры защиты, которые реально действуют.
- Назначен ответственный, его контакты проверены.
- Указана фактическая дата начала обработки.
- Документ подписан и отправлен.
- Копия и подтверждение подачи сохранены.
- После внесения сведений проверена запись в реестре.
Почему вопросов оказалось больше, чем ожидалось
Задача выглядела простой: открыть форму и отправить. А в процессе пришлось выяснить, зачем бизнес собирает каждое поле, куда уходят заявки, у кого есть доступ, какие подрядчики участвуют, на каком основании хранятся данные, когда их нужно удалять и чем компания может подтвердить меры защиты.
По сути это небольшой аудит процессов. И если на половину вопросов уверенного ответа нет, дело не в сложной форме Роскомнадзора. Просто в бизнесе пока нет единой системы работы с персональными данными.
Уведомление описывает эту систему снаружи. А внутри должны быть документы и реальные правила, которые подтверждают каждую формулировку.
| Что вы указываете в уведомлении | Чем это подтверждается |
|---|---|
| Цели и состав данных | Карта процессов и политика обработки данных |
| Правовое основание | Согласие, договор или норма закона |
| Доступ работников | Приказы, регламенты, правила доступа |
| Передача сервисам и подрядчикам | Договоры и поручения на обработку |
| Сроки хранения и удаления | Внутренний порядок и акты уничтожения |
| Меры безопасности | Настройки доступа, инструкции, организационные меры |
Отсюда главный вывод. Подать уведомление полезный первый шаг, но всю работу по 152-ФЗ он не заменяет.
На практике мы часто видим одну и ту же картину. Компания приходит только за уведомлением, а при разборе выясняется, что данные получает иностранный сервис, рассылка идет без нужного согласия, а документы описывают совсем не те процессы, что происходят на сайте. Удачной формулировкой для реестра это не исправить. Сначала придется устранить сами несоответствия.
Какие штрафы возможны
Штраф зависит от конкретного нарушения, а не от общего впечатления «документы есть или нет». Поэтому складывать все максимальные суммы в одну страшную цифру неправильно.
Для бизнеса особенно важны такие составы:
| Нарушение | Самозанятый без статуса ИП | ИП | Юридическое лицо |
|---|---|---|---|
| Уведомление не подано или подано с опозданием | От 5 000 до 10 000 рублей | От 100 000 до 300 000 рублей | От 100 000 до 300 000 рублей |
| Данные обрабатываются без законного основания или не для заявленной цели | От 10 000 до 15 000 рублей | От 50 000 до 100 000 рублей | От 150 000 до 300 000 рублей |
| Нет письменного согласия там, где закон требует именно письменную форму, или оно составлено с нарушениями | От 10 000 до 15 000 рублей | От 100 000 до 300 000 рублей | От 300 000 до 700 000 рублей |
| На сайте нет доступной политики обработки персональных данных | От 1 500 до 3 000 рублей | От 10 000 до 20 000 рублей | От 30 000 до 60 000 рублей |
Суммы установлены статьей 13.11 КоАП РФ. По части 10 этой статьи ИП отвечают как юридические лица, по остальным составам из таблицы как должностные лица, по общему правилу статьи 2.4 КоАП РФ. Суммы сверены с редакцией КоАП 12 октября 2026 года.
Единого штрафа за отсутствие внутреннего комплекта документов нет. Но оператор обязан принять документы и меры по статье 18.1 Закона № 152-ФЗ, а по запросу Роскомнадзора подтвердить, что они есть. Если документов нет, обычно находятся и конкретные нарушения: нет основания обработки, нет порядка удаления, не обеспечена защита.
Мониторинг сайтов
Под внимание Роскомнадзора попадают не только крупные компании. Нарушение могут найти и у небольшого ООО, ИП или самозанятого. Поводом становится жалоба клиента, обращение конкурента или результат автоматического мониторинга сайта.
Роскомнадзор вправе наблюдать за соблюдением требований в интернете без взаимодействия с компанией. Для этого используется автоматизированная система мониторинга, которая анализирует открытые страницы сайтов и передает инспекторам сведения о возможных нарушениях. Нет политики на странице с формой, нет компании в реестре: такие вещи видны снаружи без всякого запроса.
Порядок контроля установлен постановлением Правительства № 1046 и Федеральным законом № 248-ФЗ. Главное, что стоит из этого вынести: отсутствие плановой выездной проверки не означает отсутствия контроля.
Когда полезен профильный юрист
Закон не требует, чтобы уведомление заполнял юрист. Если процессы простые и понятные, предприниматель справится сам по этой инструкции.
Но шаблон или генератор работает только с теми ответами, которые вы ему дали. Он не заметит, что заявки дублируются в личный Telegram менеджера, иностранный сервис подключен через виджет, у бывшего сотрудника остался доступ к CRM, а согласие и политика называют разные цели.
Юрист по персональным данным начинает не с замены названия компании в шаблоне. Сначала он:
- Разбирается, какие данные реально получает бизнес.
- Строит карту их движения между сайтом, сотрудниками и сервисами.
- Определяет подходящие основания обработки.
- Проверяет формы, согласия, договоры и подрядчиков.
- Готовит документы, которые согласованы между собой.
- Помогает внедрить правила, которые можно подтвердить по запросу.
В итоге уведомление, политика, согласия и внутренние документы не спорят друг с другом и описывают то, что в бизнесе происходит на самом деле.
| До разбора процессов | После наведения порядка |
|---|---|
| Цели скопированы из образца и не объясняют реальную обработку | Для каждого процесса определены свои цели, данные и основания |
| Уведомление, политика и согласия противоречат друг другу | Уведомление, сайт и документы описывают одни и те же процессы |
| Непонятно, какие сервисы получают данные и где они хранятся | Есть понятная схема движения данных и передачи подрядчикам |
| Доступ работников и сроки удаления держатся на привычке | Установлены правила доступа, хранения, удаления и ответов на запросы |
Помощь специалиста особенно пригодится, если у вас несколько сайтов, есть работники, CRM, рассылки, видеонаблюдение, иностранные сервисы, специальные категории данных или старое уведомление, в котором вы не уверены.
Частые вопросы
Сколько стоит подать уведомление?
Нисколько. Госпошлины за уведомление нет, подать его можно самостоятельно.
У нас несколько сайтов. Нужно несколько уведомлений?
Нет, уведомление подает оператор, и в нем описывают всю его обработку. Но цели, данные и сервисы всех сайтов должны быть в нем учтены.
Мы давно работаем, а уведомление не подавали. Что делать?
Подать его сейчас, указав фактическую дату начала обработки. Это лучше, чем ждать, пока нарушение найдут. И параллельно проверить остальные требования: политику, согласия, локализацию.
В реестре есть старая запись с неактуальными данными. Подавать новое уведомление?
Нет. Направьте информационное письмо о внесении изменений в сведения реестра. Новое уведомление подают, только если записи нет вообще.
Что делать дальше
Если бизнес устроен просто и на все вопросы вы ответили уверенно, подавайте уведомление по этой инструкции.
Если при заполнении приходилось угадывать цели, основания, места хранения или меры защиты, не прячьте пробелы за общими фразами. Сначала разберитесь с процессами, потом приведите в соответствие уведомление, сайт и документы.
Тогда у вас будет и запись в реестре Роскомнадзора, и понятная система, с которой можно спокойно работать, подключать новые сервисы и отвечать на запросы клиентов и регулятора.