Нужно ли подавать уведомление в Роскомнадзор

Четыре вопроса — и ответ по частям 1 и 2 статьи 22 Федерального закона от 27.07.2006 № 152-ФЗ со ссылкой на пункт, по которому он получен. Без регистрации.

Что изменилось с 1 сентября 2022 года

До этой даты часть 2 статьи 22 перечисляла девять оснований не уведомлять, и первые шесть покрывали почти всех: данные работников, данные по договору с субъектом, общедоступные данные, только фамилия-имя-отчество, пропускной режим, обработка без средств автоматизации по трудовому законодательству. Пункты 1-6 утратили силу с 01.09.2022 — Федеральный закон от 14.07.2022 № 266-ФЗ.

Отсюда самое частое заблуждение темы: «у нас только кадры, мы не уведомляем». Это было верно до сентября 2022 года и неверно сейчас. Уведомление подаётся до начала обработки (ч. 1 ст. 22), а обработка у кадровой службы началась давно.

Три исключения, которые остались

Слово «исключительно» в п. 8 решает всё: бумажный журнал посетителей рядом с 1С не освобождает. И освобождение касается только уведомления — политика, меры защиты и ответы субъектам остаются.

Что указывают в уведомлении

Состав сведений задан ч. 3 ст. 22: наименование (Ф.И.О.) и адрес оператора; цель обработки; описание мер, предусмотренных статьями 18.1 и 19, в том числе сведения о наличии криптосредств и их наименования; Ф.И.О. и контакты ответственного за организацию обработки; дата начала обработки; срок или условие её прекращения; сведения о трансграничной передаче; сведения о месте нахождения баз данных. Сведения должны оставаться достоверными: при изменении любого из них направляется информационное письмо.

Уведомление — это не формальность на один лист: в нём оператор описывает меры защиты, то есть заявляет государству то, что должно быть выполнено на деле. Отсюда обычный порядок работы: сначала документы и меры, затем уведомление, а не наоборот.

Как подать

Формы уведомлений устанавливает сам Роскомнадзор (ч. 8 ст. 22), и заполняют их одним из двух способов: через электронную форму на портале персональных данных либо документом на бумаге в территориальный орган по месту нахождения оператора. Электронный документ подписывается уполномоченным лицом; бумажный — тоже, и подписывает его руководитель или лицо, действующее по доверенности.

Подача бесплатна. Часть 5 статьи 22 прямо говорит, что расходы в связи с рассмотрением уведомления и внесением сведений в реестр не возлагаются на оператора. Предложения «оформим уведомление за 5 000 рублей» продают заполнение формы, а не государственную услугу — пошлины здесь нет.

После подачи Роскомнадзор в течение 30 дней вносит сведения в реестр операторов (ч. 4). Если сведения окажутся неполными или недостоверными, он вправе потребовать их уточнения до внесения (ч. 6) — это не отказ, а запрос, и отвечать на него нужно.

Что заполняют по каждой цели отдельно

Самая недооценённая часть — 3.1. Сведения уведомления указываются для каждой цели обработки, а не одним списком на всю организацию. По каждой цели называются:

• категории персональных данных;
• категории субъектов, чьи данные обрабатываются;
• правовое основание обработки;
• перечень действий с персональными данными;
• способы обработки.

Отсюда обычная ошибка: цели пишут широко «на всякий случай» — и получают уведомление, которое обещает больше, чем происходит на деле. Сведения реестра общедоступны (ч. 4), кроме сведений о средствах обеспечения безопасности, — то есть заявленные цели прочтут и клиенты, и проверяющие, и придётся либо подтверждать их документами, либо объяснять расхождение.

Сроки, о которых забывают чаще всего

Срок по изменениям устроен непривычно: он привязан не к дате изменения, а к следующему месяцу. Сменили ответственного 20 марта — сообщить нужно не позднее 15 апреля.

Частые случаи

Обработка уже идёт, а уведомление не подано

Срок нарушен — его не восстановить, но продолжающееся нарушение тяжелее разового. Уведомление подают как есть, указывая действительную дату начала обработки: недостоверная дата — это уже недостоверные сведения (ч. 6), то есть второе нарушение поверх первого.

Индивидуальный предприниматель

Обязанность у оператора, а оператором признаётся и физическое лицо, организующее обработку. Исключения части 2 для предпринимателя те же три. При этом обязанность назначить ответственного за организацию обработки (ст. 22.1) закон возлагает только на юридическое лицо — предприниматель исполняет её лично либо назначает ответственного по своему решению, и в уведомлении указывает себя.

Сайт с формой обратной связи

Форма, собирающая имя и телефон, — обработка с использованием средств автоматизации, а значит исключение п. 8 не работает. То же с рассылкой, записью на приём и корзиной интернет-магазина.

Обработка поручена подрядчику

Поручение обработки по ч. 3 ст. 6 не переносит обязанность: уведомление подаёт оператор, определивший цели. Подрядчик подаёт своё — по той обработке, в которой оператором выступает он сам (как минимум по данным собственных работников). Для государственных и муниципальных систем закон требует большего: в уведомлении называются лица, имеющие доступ или обрабатывающие данные по договору (п. 10.2 ч. 3).

Оператор прекратил обработку

Направляется уведомление о прекращении — 10 рабочих дней с даты прекращения (ч. 7); сведения исключаются из реестра в течение 30 дней (ч. 4.1). Ликвидация организации, закрытие направления, переход на обработку исключительно на бумаге — все эти случаи требуют не молчания, а отдельного уведомления.

Что подготовить до подачи

Пункт 7 части 3 требует описать меры, предусмотренные статьями 18.1 и 19, — то есть то, что оператор уже сделал: политику обработки и локальные акты, назначенного ответственного, внутренний контроль, ознакомление работников, меры защиты и сведения о криптосредствах. Пункт 11 добавляет сведения об обеспечении безопасности по требованиям Правительства РФ, а это уже уровень защищённости и принятые меры. Уведомление, заполненное раньше документов, описывает намерения — и расходится с действительностью в тот момент, когда проверяющий попросит показать названное.

Отсюда обычный порядок: определить уровень защищённости, составить модель угроз и перечень мер, издать политику и приказы — и лишь затем заполнять форму. Тогда каждое утверждение уведомления подтверждается документом, а не памятью.

Чем уведомление не является

Оно не разрешение: Роскомнадзор не одобряет обработку и не проверяет её законность при внесении в реестр — он вносит заявленные сведения и вправе потребовать уточнить неполные (ч. 6). Оно не заменяет согласий субъектов, не отменяет обязанности публиковать политику и не подтверждает, что меры защиты достаточны. И оно не разовое: сведения поддерживаются в актуальном состоянии всё время, пока идёт обработка.

Состояние поданного уведомления можно проверить на портале персональных данных Роскомнадзора — там же, где ведётся реестр операторов, есть отдельная страница проверки. Появление записи в реестре и есть подтверждение того, что уведомление принято и рассмотрено.

Ответственность

С 30 мая 2025 года неуведомление выделено в самостоятельный состав административного правонарушения — штраф налагается и на должностных лиц, и на организацию. До этого дня неподанное уведомление квалифицировали как непредставление сведений в государственный орган, и цена вопроса была ниже.

Вопросы и ответы

Нужно ли подавать уведомление в Роскомнадзор, если обрабатываются только данные работников

Да. Освобождение для данных работников было в п. 1 ч. 2 ст. 22 Федерального закона № 152-ФЗ, но пункты 1-6 части 2 утратили силу с 01.09.2022 (Федеральный закон от 14.07.2022 № 266-ФЗ). Сейчас кадровый учёт в программе — обычное основание уведомить.

Какие исключения остались в части 2 статьи 22

Три: данные в государственной информационной системе, созданной в целях защиты безопасности государства и общественного порядка (п. 7); обработка исключительно без средств автоматизации (п. 8); обработка в случаях, предусмотренных законодательством о транспортной безопасности (п. 9).

Когда подавать уведомление

До начала обработки персональных данных — так сказано в ч. 1 ст. 22. Если обработка уже идёт, а уведомление не подано, его подают как можно скорее: срок нарушен, но продолжающееся нарушение тяжелее разового.

Что будет, если не подать уведомление

С 30.05.2025 неуведомление — самостоятельный состав в КоАП РФ (ст. 13.11 ч. 10): штраф налагается и на должностных лиц, и на организацию. Раньше это квалифицировали как непредставление сведений в государственный орган.

Нужно ли уведомлять индивидуальному предпринимателю

Да, если он оператор: обязанность в ч. 1 ст. 22 возложена на оператора, а им признаётся и физическое лицо, организующее обработку. Исключения части 2 для ИП те же три.

Что делать, если сведения в поданном уведомлении изменились

Направить информационное письмо об изменении сведений — состав сведений уведомления перечислен в ч. 3 ст. 22, и он должен оставаться достоверным: адрес, цели, ответственный, меры защиты, сведения о трансграничной передаче.

Что дальше

• Уведомление в Роскомнадзор — кто подаёт, как заполняется, чем грозит недостоверность сведений.
• Образец уведомления — как выглядит заполненный документ.
• Реестр операторов — где проверить, есть ли организация в реестре.
• Документы по 152-ФЗ — что должно быть готово до подачи уведомления.