Уведомление Роскомнадзора об обработке персональных данных

# Уведомление Роскомнадзора об обработке персональных данных: что подготовить до заполнения

Редакция SGI24. Сверено с официальными формами и нормами на 11 августа 2026 года. Материал не заменяет правовую оценку конкретного оператора. [О бюро](/company).

Главная ошибка при заполнении уведомления Роскомнадзора — открыть форму и придумывать ответы по ходу. Уведомление описывает реальную обработку персональных данных в организации. Если процессы не разобраны, в реестре появляются общие цели, пропущенные категории людей и неверные сведения о системах.

Сначала нужно понять, какие данные организация получает, зачем, где хранит и кому передаёт. После этого форма заполняется гораздо спокойнее.

Подготовить уведомление Роскомнадзора

В форме укажите вид организации, сайт и текущий статус уведомления. До подготовки текста нужно подтвердить цели, системы и получателей данных; без этих фактов готового ответа быть не может.

Кому нужно подавать уведомление

Статья 22 Федерального закона № 152-ФЗ устанавливает общее правило: оператор до начала обработки персональных данных уведомляет уполномоченный орган. Закон сохраняет ограниченный перечень исключений, в том числе обработку исключительно без использования средств автоматизации и отдельные специальные случаи.

После изменений 2022 года прежние широкие исключения для кадровых и договорных данных утратили силу. Поэтому организации нельзя опираться на старую статью из интернета, где написано, что сотрудники или клиенты автоматически освобождают её от уведомления.

Оператором может быть организация, ИП, государственный или муниципальный орган, а также физическое лицо, которое определяет цели и состав обработки. Наличие сайта не единственный критерий. Даже небольшая компания обычно работает с данными сотрудников, клиентов, подрядчиков и посетителей сайта.

Решение о подаче принимают по фактическим процессам и действующей редакции закона. Если есть сомнение в применимости исключения, его следует проверить отдельно, а не ставить отметку по памяти.

Уведомление не заменяет документы и защиту

Внесение в реестр не означает, что организация выполнила все требования. Роскомнадзор получает описание обработки, но оператор по-прежнему обязан:

• определить правовые основания и цели;
• утвердить политику и локальные акты;
• назначить ответственного в предусмотренных случаях;
• ограничить доступ сотрудников;
• обеспечить безопасность информационных систем;
• организовать работу с обращениями субъектов;
• установить сроки хранения и уничтожения;
• контролировать подрядчиков;
• выполнять требования к локализации и трансграничной передаче.

Если сайт фактически отправляет заявки в иностранный сервис, а уведомление говорит об отсутствии трансграничной передачи, запись в реестре только фиксирует расхождение.

Какие формы утверждены

Приказ Роскомнадзора № 180 от 28 октября 2022 года утвердил три формы:

1. Уведомление о намерении осуществлять обработку персональных данных.
2. Уведомление об изменении ранее представленных сведений.
3. Уведомление о прекращении обработки персональных данных.

Первая форма нужна при начале обработки. Вторая — когда факты изменились: появились новые цели, категории субъектов, способы, системы или другие сведения. Третья используется при прекращении обработки.

Не отправляйте новое первичное уведомление только потому, что нашли ошибку в действующей карточке. Сначала проверьте запись в реестре и выберите подходящий вид сообщения.

Что собрать перед заполнением

1. Сведения об операторе

Подготовьте точное наименование, адрес и регистрационные данные. Они должны совпадать с действующими сведениями организации или ИП.

Если у компании несколько сайтов, филиалов или брендов, оператор всё равно определяется по тому, кто устанавливает цели и организует обработку. Название проекта не заменяет юридическое лицо.

2. Дату начала обработки

Это не обязательно дата подачи формы и не дата регистрации домена. Нужно определить, когда оператор фактически начал обрабатывать персональные данные.

Для давно работающей организации этот вопрос требует проверки документов и систем. Не подставляйте сегодняшнюю дату только для удобства.

3. Цели обработки

Цель отвечает на вопрос «зачем». Она должна быть конкретной и соответствовать деятельности.

Примеры возможных направлений:

• ведение трудовых отношений;
• подбор сотрудников;
• заключение и исполнение договоров с клиентами;
• обработка обращений с сайта;
• оказание образовательных услуг;
• оказание медицинской помощи;
• проведение мероприятия и регистрация участников;
• расчёты и бухгалтерский учёт;
• направление рекламы при наличии подходящего основания.

Формулировка «осуществление деятельности» слишком широка. Она не объясняет состав данных и не помогает разделить процессы.

4. Категории субъектов

Для каждой цели перечисляются люди, чьи данные обрабатываются. Это могут быть:

• работники и бывшие работники;
• соискатели;
• клиенты и представители клиентов;
• посетители сайта;
• пациенты;
• учащиеся, родители и законные представители;
• участники мероприятия и спикеры;
• подрядчики и их представители;
• получатели рекламных сообщений.

Типовой пробел — указать только сотрудников, хотя сайт давно принимает заявки клиентов.

5. Категории и перечень данных

Состав привязывается к каждой цели и категории субъектов. Не копируйте максимальный перечень из шаблона.

Проверьте:

• контактные сведения;
• идентификационные и договорные данные;
• кадровые и расчётные сведения;
• данные об образовании;
• специальные категории, включая сведения о здоровье;
• биометрические данные, если они действительно обрабатываются как биометрические;
• технические сведения сайта и информационных систем.

Закон требует, чтобы объём соответствовал цели и не был избыточным. Если организация не собирает паспортные данные посетителей сайта, не нужно добавлять их «на будущее».

6. Правовые основания

Для каждой цели определяется основание: закон, договор, согласие или другое применимое условие. Сам Федеральный закон № 152-ФЗ регулирует обработку, но не служит универсальным основанием для любой цели.

Основания нужно сопоставить с процессом. Например, исполнение договора и отправка рекламной рассылки — разные действия. Одно не даёт автоматического права на другое.

7. Действия и способы обработки

Укажите, что организация делает с данными: собирает, записывает, систематизирует, хранит, уточняет, использует, передаёт, обезличивает, блокирует, удаляет или уничтожает.

Отдельно описывается способ: автоматизированный, без автоматизации или смешанный. Работа в таблице, CRM, почте и облачной системе относится к использованию средств вычислительной техники.

8. Информационные системы и местонахождение баз

Составьте перечень фактических систем:

• сайт и его сервер;
• CRM;
• 1С;
• медицинская или образовательная система;
• кадровая и бухгалтерская программа;
• корпоративная почта;
• телефония;
• сервис рассылок;
• облачные диски и резервные копии;
• мобильные приложения и личные кабинеты.

Для интернет-сбора особенно важна первичная база. Российский домен не подтверждает российское хранение. Нужно знать, куда форма отправляет данные первым запросом и где они записываются.

9. Подрядчики и поручения

Хостинг, CRM, сервис рассылок, колл-центр, бухгалтерия и техническая поддержка могут обрабатывать данные по поручению оператора. Зафиксируйте юридические лица, договоры, состав операций и меры защиты.

Не каждый поставщик становится самостоятельной целью в уведомлении, но его роль должна быть разобрана. Иначе организация не сможет честно описать передачу и безопасность.

10. Трансграничная передача

Проверьте договоры и сетевые запросы сайта и систем. Иностранная аналитика, облако, служба поддержки, почта или искусственный интеллект могут получать сведения.

Уведомление о трансграничной передаче регулируется отдельно статьёй 12 № 152-ФЗ. Отметка в общем уведомлении не заменяет предусмотренную законом процедуру.

11. Меры защиты

Форма требует описать меры по статьям 18.1 и 19 закона. Общая фраза «данные защищены» не помогает.

Подготовьте факты:

• назначение ответственного;
• локальные акты;
• модель доступа;
• учёт пользователей;
• резервное копирование;
• защита каналов;
• антивирусная защита и обновления;
• журналирование;
• порядок реагирования на инциденты;
• обучение сотрудников;
• контроль подрядчиков;
• правила уничтожения.

Указывать конкретные средства нужно в том объёме, который требует форма и закон. Не приписывайте организации несуществующую систему защиты.

Как связать цели, людей и данные

Удобно сделать рабочую матрицу до заполнения формы:

Одна строка в уведомлении должна опираться на такую связку. Если данные невозможно привязать к цели, возможно, организация собирает лишнее.

Как подать уведомление

Статья 22 допускает бумажный документ или электронную форму, подписанную уполномоченным лицом. Актуальные способы подачи и технические требования следует проверять на официальном портале Роскомнадзора перед отправкой.

Практический порядок:

1. Подготовить карту обработки и подтверждающие сведения.
2. Проверить действующую карточку оператора, если она уже есть.
3. Выбрать первичную форму или уведомление об изменениях.
4. Заполнить каждую цель отдельно.
5. Сверить формулировки с политикой и локальными актами.
6. Подписать и направить установленным способом.
7. Сохранить подтверждение подачи.
8. После внесения сведений проверить карточку реестра.

Роскомнадзор вносит сведения в реестр в установленный законом срок. Отправка формы и появление корректной карточки — два разных контрольных события.

Когда нужно уведомлять об изменениях

Закон обязывает сообщать об изменении сведений не позднее 15-го числа месяца, следующего за месяцем, в котором они изменились. Поэтому у организации должен быть внутренний процесс пересмотра.

Поводы для проверки:

• запущен новый сайт или мобильное приложение;
• добавлена CRM или сервис рассылок;
• появилась новая категория клиентов;
• начали собирать сведения о здоровье или другие специальные категории;
• изменился адрес базы;
• появился иностранный сервис;
• добавилась рекламная цель;
• поменялось ответственное лицо;
• организация прекратила отдельный вид обработки.

Не каждое обновление программы меняет уведомление. Важно, изменились ли сведения, которые оператор обязан раскрыть.

Типовые ошибки

Одна цель на всю организацию

«Ведение деятельности» скрывает различия между кадрами, клиентами, сайтом и рекламой.

Данные перечислены общим списком

Непонятно, какие сведения относятся к конкретной цели и субъекту.

Сведения скопированы у другой компании

В форме появляются медицинские данные у строительной компании или паспортные сведения у простой формы обратной связи.

Забыты посетители сайта

Организация описала договоры и сотрудников, но не учла формы, аналитику и технические журналы.

Указано отсутствие передачи без проверки сервисов

Фактический маршрут формы и внешних скриптов никто не смотрел.

Документы противоречат реестру

Политика говорит об одной цели и сроке, уведомление — о других, а CRM хранит данные бессрочно.

Сначала карта процессов, потом уведомление

Мы не начинаем с переноса шаблонных фраз в форму. Сначала разбираем сайт, формы, CRM, 1С, почту, подрядчиков и внутренние процессы. Затем собираем матрицу целей, субъектов, данных, оснований и систем.

По этой матрице можно подготовить уведомление, публичную политику и локальные документы без взаимных противоречий. Если обнаружены технические расхождения, отдельно фиксируем доработки сайта и маршрутов данных.

Результат — заполнение, основанное на проверяемых фактах конкретного оператора.

Подготовить уведомление Роскомнадзора

Материал носит информационный характер. Перед подачей нужно проверить действующую редакцию формы, закона и фактические процессы оператора.

Связанные материалы

• Персональные данные на сайте
• Документы по персональным данным в 2026 году
• Проверка сайта по 152-ФЗ

Источники

• Статья 22 Федерального закона № 152-ФЗ: уведомление об обработке персональных данных
• Приказ Роскомнадзора № 180: формы уведомлений
• Федеральный закон № 152-ФЗ в официальной системе правовой информации
• Роскомнадзор: сведения для юридических лиц и операторов