Уведомление Роскомнадзора об обработке персональных данных: нужно ли малому бизнесу

Политика на сайте есть, галочка в форме стоит, и кажется, что с персональными данными порядок. Но у закона есть ещё один пункт, о котором малый бизнес вспоминает реже всего: уведомление Роскомнадзора. Многие слышали, что оно «только для крупных». Это было правдой раньше. Разберём, что сказано в законе сейчас.

Что требует статья 22

По части 1 статьи 22 закона 152-ФЗ оператор до начала обработки персональных данных уведомляет Роскомнадзор о своём намерении их обрабатывать. Ключевые слова здесь «до начала»: подавать нужно не когда спросили, а до того, как вы начали собирать данные.

Оператор — это тот, кто собирает и использует данные. Если у вашего ИП или ООО на сайте есть форма заявки, вы оператор.

Исключения почти исчезли

Раньше исключений было много, и многие малые компании под них попадали. Пункты 1–6 части 2 статьи 22 утратили силу с 01.09.2022. Остались:

• обработка исключительно без средств автоматизации (пункт 8);
• особые случаи, такие как государственные системы безопасности и транспортная безопасность.

Обратите внимание на слова «исключительно без средств автоматизации». Сайт с формой, почтой, CRM или таблицей, в которую попадают заявки, — это автоматизированная обработка. Значит, уведомление нужно. Если ваши данные лежат только на бумаге, ситуация другая, но для бизнеса с сайтом она нетипична.

Мы не юристы и не Роскомнадзор, поэтому если вы не уверены, подпадаете ли вы под исключение, лучше уточнить у специалиста, а не полагаться на общее впечатление.

Отдельное уведомление: трансграничная передача

Есть ещё один случай. По части 3 статьи 12 оператор обязан до начала трансграничной передачи персональных данных уведомить Роскомнадзор, и это уведомление отдельное от уведомления по статье 22.

Когда на сайте стоит иностранный сервис, который получает данные посетителей (например, аналитика, капча или шрифты с зарубежных серверов), речь может идти именно о трансграничной передаче. Подробно мы разбирали это в статье Google Analytics, reCAPTCHA и шрифты Google. Если вы заменили такие сервисы на российские, по ним этот вопрос отпадает.

Сколько стоит неподача

Суммы — по КоАП РФ, ст. 13.11 в редакции от 04.08.2026.

Для ИП и ООО диапазон одинаковый: в части 10 ИП отвечают как юридические лица. Но это рамки из закона, а не обещание штрафа. Есть риск, что могут оштрафовать, если вы обрабатываете данные и не подали уведомление; решает это уполномоченный орган или суд. Отдельной части статьи 13.11 за неуведомление о трансграничной передаче нет, и мы не говорим, что штраф за это будет.

Остальные суммы по теме читайте в статье штрафы за сайт без политики.

Как проверить, подано ли уведомление

Реестр операторов персональных данных ведёт Роскомнадзор. Адрес реестра: pd.rkn.gov.ru. Порядок такой:

1. Откройте реестр операторов (адрес выше).
2. Найдите себя по названию ИП или ООО или по ИНН.
3. Если запись есть, проверьте, что данные совпадают с вашими: название, адрес, цели обработки.
4. Если записи нет, а сайт с формой работает, есть смысл заняться уведомлением.

Возможно, что уведомление когда-то подавал прежний директор или подрядчик: спросите у них. Если вы меняли адрес, название или цели обработки, сверьте, что сведения в реестре актуальны.

Частые вопросы

У меня маленький бизнес, меня не заметят. Это не аргумент ни за, ни против. Закон не делит операторов по размеру: после 01.09.2022 исключения для бизнеса почти исчезли. Мы не говорим, что проверка придёт. Мы говорим, что обязанность есть, а штраф по части 10 предусмотрен.

Мы только принимаем заявки и отвечаем на них. Это тоже обработка персональных данных: вы получаете, храните и используете имя и телефон. Если это происходит на сайте или в программе, это автоматизированная обработка.

Заявки приходят на почту, а больше мы ничего не делаем. Сбор данных формой на сайте и отправка письма на почту остаются автоматизированной обработкой.

Подрядчик сказал, что всё сделано. Проверьте, что именно: политика, согласие, уведомление. Подрядчик может сделать сайт, но оператором данных остаётесь вы.

Мы уже подавали давно. Тогда сверьте, актуальны ли сведения в реестре: менялись ли адрес, цели и сервисы.

Что нужно для уведомления

Мы не будем пересказывать форму Роскомнадзора, чтобы не ошибиться в деталях: заполнять её нужно по актуальной инструкции на сайте ведомства. Но заранее соберите то, что почти наверняка потребуется:

• реквизиты вашего ИП или ООО (см. реквизиты на сайте);
• список данных, которые вы собираете: имя, телефон, почта и другие, если они есть;
• цели: например, связь с клиентом по заявке;
• список сервисов и людей, у кого эти данные хранятся;
• ссылка на политику и текст согласия.

Все перечисленное пригодится и для самой политики. Поэтому начинайте с неё: соберите её в генераторе политики, а потом перенесите сведения в уведомление.

Порядок действий

1. Проверьте, есть ли вы в реестре операторов.
2. Если нет, подготовьте политику и согласие.
3. Заполните уведомление по инструкции Роскомнадзора. Если не уверены, попросите помочь юриста или бухгалтера.
4. Проверьте, нет ли на сайте иностранных сервисов, которые могут требовать отдельного уведомления по статье 12.
5. Запишите в рабочий календарь: при смене данных, сервисов или целей сверяйте сведения.

Быстро посмотреть, как сайт выглядит с точки зрения закона, можно в бесплатной проверке. Она покажет, чего не хватает по политике, согласию, cookie и иностранным сервисам. Про согласие в форме: как оформить.

Если некогда разбираться

Уведомление — юридическая процедура, и её лучше доверить себе по инструкции или юристу. А посмотреть, что на сайте собирается и какие сервисы подключены, можно на бесплатном разборе сайта в KALSIN: с этим списком проще идти к юристу.

Это разбор для владельцев бизнеса, а не юридическая консультация.