Уведомление в Роскомнадзор: кому, когда и как подавать — полный гайд
Коротко
Зачем вообще уведомлять Роскомнадзор
Уведомление — это регистрация в реестре операторов персональных данных. РКН ведёт этот реестр и делает его общедоступным. Каждый может зайти на pd.rkn.gov.ru и проверить, состоит ли ваша компания в реестре — включая ваших клиентов, партнёров и конкурентов.
Ответственность по ч. 10 ст. 13.11 КоАП РФ: штраф для юрлиц — до 300 000 ₽. Плюс предписание РКН об устранении. При неисполнении предписания — блокировка сайта через суд. И да, штраф и блокировка могут применяться одновременно.
Кто обязан подавать уведомление: чек-лист
Проверьте себя по списку. Если хотя бы один пункт про вас — уведомление обязательно.
| Ситуация | Статус |
|---|---|
| На сайте есть форма обратной связи (даже просто «заказать звонок») | Обязан |
| Интернет-магазин или SaaS-сервис с регистрацией пользователей | Обязан |
| Telegram-бот, собирающий контакты или заявки | Обязан |
| CRM-система с данными клиентов | Обязан |
| Мобильное приложение с авторизацией | Обязан |
| Вы используете иностранные сервисы (Telegram, Zoom, Google Forms) | Обязан — отменяет почти все исключения |
| Данные хранятся или обрабатываются за пределами РФ | Обязан — плюс отдельная обязанность по локализации |
Когда уведомление НЕ требуется: разбор исключений
Федеральным законом № 266-ФЗ от 14.07.2022 пункты 1-6 части 2 статьи 22 утратили силу. Раньше можно было не уведомлять, если данные обрабатываются по трудовому договору или это только ФИО — теперь НЕТ.
Сегодня не уведомлять РКН можно только в трёх случаях:
- Без средств автоматизации (п. 8 ч. 2 ст. 22) — вы ведёте исключительно бумажный учёт. Никакого сайта, CRM, Excel-таблиц на компьютере.
- Государственные информационные системы для безопасности (п. 7 ч. 2 ст. 22).
- Транспортная безопасность (п. 9 ч. 2 ст. 22).
Для владельца обычного сайта с формой обратной связи — ни одно из исключений не работает. Уведомление обязательно.
Что писать в уведомлении: состав полей
Форма на pd.rkn.gov.ru содержит следующие обязательные поля (ч. 3 ст. 22):
| Поле | Что указывать |
|---|---|
| Оператор | Наименование юрлица / ФИО ИП, адрес |
| Цели обработки | Для чего собираете данные: «обработка заявок с сайта», «рассылка новостей», «исполнение договора» |
| Категории ПДн | ФИО, телефон, email, адрес, IP, cookie — для каждой цели свой перечень |
| Категории субъектов | Клиенты, посетители сайта, подписчики рассылки |
| Правовое основание | Ст. 6 152-ФЗ: согласие субъекта, исполнение договора, закон |
| Действия с ПДн | Сбор, запись, хранение, передача, удаление |
| Меры защиты | Организационные + технические (шифрование, разграничение доступа) |
| Ответственный за ПДн | ФИО, телефон, email сотрудника |
| Дата начала обработки | Фактическая дата начала сбора ПДн |
| Трансграничная передача | Да/нет, в какие страны |
| База данных | Местонахождение сервера (РФ или иная страна) |
Самое сложное — правильно заполнить поле «Цели обработки». Если написать «для всего» — вернут. Если пропустить одну из целей — нарушение. Для типового сайта обычно 2-3 цели: обработка заявок, рассылка, аналитика. Для интернет-магазина — добавляется доставка и оплата.
Как подать: пошаговая инструкция
Соберите информацию
Подготовьте данные по всем полям выше. Пройдитесь по сайту, CRM, ботам — выпишите все точки сбора ПДн. Пропущенная точка = риск претензии РКН.
Заполните форму на pd.rkn.gov.ru
Перейдите на pd.rkn.gov.ru → «Подать уведомление». Электронная форма, подписывается УКЭП (квалифицированной электронной подписью).
Проверьте перед отправкой
Ошибка в форме = возврат без регистрации. Проверьте: все ли цели перечислены, все ли категории субъектов указаны, совпадает ли адрес с ЕГРЮЛ/ЕГРИП.
Отправьте и отслеживайте
После отправки — присваивается регистрационный номер. Срок рассмотрения — 30 дней. Отслеживайте статус в личном кабинете на pd.rkn.gov.ru.
Внесите изменения при необходимости
Если изменились цели, добавился новый сервис, сменился хостинг или юрлицо — подайте изменения в течение 10 рабочих дней (ч. 7 ст. 22). Штраф за несвоевременное изменение — до 50 000 ₽ для должностных и до 300 000 ₽ для юрлиц.
Особые случаи
Telegram-бот и 152-ФЗ
Если ваш бот собирает контакты, заявки или идентификаторы пользователей — вы должны подать уведомление как оператор ПДн. Многие владельцы ботов даже не догадываются об этом, потому что «это же просто чат-бот, а не сайт». Для закона разницы нет: сбор данных = обработка ПДн = обязанность уведомить.
Иностранные сервисы и уведомление
Используете Telegram для отправки заявок менеджеру? Zoom для видеозвонков с клиентами? Google Forms для опросов? Это трансграничная передача данных. Даже если вы подпадаете под исключение, трансграничная передача отменяет его — уведомление обязательно.
Утечка ПДн: отдельное уведомление
С 2025 года оператор обязан уведомить РКН об утечке ПДн в течение 24 часов (ч. 11 ст. 13.11 КоАП РФ). Это отдельная обязанность, не связанная с основным уведомлением о начале обработки. Штраф за неуведомление об утечке — до 3 000 000 ₽.