Как подать уведомление в Роскомнадзор об обработке персональных данных: инструкция для владельца сайта
Актуально на 09.11.2026. Материал носит справочный характер и не является юридической консультацией.
Оператор персональных данных обязан уведомить Роскомнадзор о намерении обрабатывать персональные данные до начала обработки (часть 1 статьи 22 Федерального закона № 152-ФЗ). Владелец сайта, который принимает заявки, заказы или подписки, — оператор персональных данных. Ниже — кому подавать, что подготовить, как отправить и что будет, если не подать.
Можно ли не подавать уведомление
Исключения перечислены в части 2 статьи 22. С 1 сентября 2022 года (Федеральный закон от 14.07.2022 № 266-ФЗ) большинство из них отменено. Например, больше не освобождает от уведомления то, что данные обрабатываются только для исполнения договора с клиентом. Из оставшихся исключений для бизнеса практически значимо одно: обработка исключительно без средств автоматизации (пункт 8 части 2). Сайт, который собирает данные через формы, под него не подходит — значит, его владелец должен быть в реестре операторов.
Как подать уведомление: по шагам
- Проверьте, нет ли вас уже в реестре. Реестр операторов открыт на портале pd.rkn.gov.ru: найдите себя по ИНН. Если запись есть, подавать нужно не новое уведомление, а уведомление об изменении сведений (см. ниже).
- Подготовьте сведения — список ниже. Для каждой цели обработки сведения указываются отдельно (часть 3.1 статьи 22): заявки с сайта, заказы, рассылка, статистика посещений — это разные цели.
- Заполните электронную форму на pd.rkn.gov.ru в разделе электронных форм заявлений: для первой подачи — уведомление о намерении осуществлять обработку персональных данных, для изменений — уведомление об изменении сведений.
- Отправьте одним из способов. Уведомление подаётся на бумаге или электронным документом и подписывается уполномоченным лицом (часть 3 статьи 22). На портале это вход через Госуслуги (ЕСИА) с подтверждённой учётной записью, подпись квалифицированной электронной подписью или распечатка формы и отправка в территориальное управление Роскомнадзора.
- Проверьте статус на портале в разделе проверки уведомлений. После внесения в реестр запись можно найти по ИНН.
Что указывается в уведомлении
Состав сведений задан частью 3 статьи 22:
- Наименование или ФИО и адрес оператора.
- Цели обработки — для каждой отдельно, с категориями данных, категориями субъектов, правовым основанием, перечнем действий и способом обработки.
- Меры по обеспечению безопасности (статьи 18.1 и 19) и сведения о наличии шифровальных (криптографических) средств и их наименования.
- Ответственный за организацию обработки: ФИО или наименование, телефон, почтовый адрес и e-mail.
- Дата начала обработки и срок или условие её прекращения.
- Есть ли трансграничная передача.
- Где находится база данных с персональными данными граждан России. Записывать и хранить их в базах данных за пределами России при сборе нельзя (часть 5 статьи 18).
Указывайте только те меры, которые вы действительно применяете.
Где взять адрес дата-центра
Электронная форма спрашивает адрес центра обработки данных, где находится база. Если сайт работает на конструкторе или арендованном сервере, этот адрес знает поддержка хостинга. Можно написать им так:
Здравствуйте! Для уведомления Роскомнадзора об обработке персональных данных (ст. 22 152-ФЗ) нужен адрес дата-центра, где физически размещены данные моего сайта [адрес сайта]. Подскажите, пожалуйста, наименование оператора ЦОД и его адрес. Спасибо!
Если сведения изменились
При изменении сведений оператор сообщает об этом в Роскомнадзор не позднее 15-го числа месяца, следующего за месяцем изменений (часть 7 статьи 22). Типичные поводы: на сайте появилась новая форма или цель (например, продажа услуг), подключили новый сервис, сменили хостинг или адрес. Если обработку прекратили — уведомить нужно в течение десяти рабочих дней.
Что будет, если не подать
Неподача или несвоевременная подача уведомления — часть 10 статьи 13.11 КоАП РФ (в редакции, действующей с 30 мая 2025 года):
- гражданам, в том числе самозанятым, — штраф от 5 000 до 10 000 рублей;
- организациям и индивидуальным предпринимателям — от 100 000 до 300 000 рублей. ИП по этой части отвечают как юридические лица (примечание 1 к статье 13.11).
Если есть зарубежные сервисы
Google Analytics, зарубежные CRM и рассылки означают трансграничную передачу. До её начала нужно отдельное уведомление о намерении осуществлять трансграничную передачу (часть 3 статьи 12), а сведения о мерах защиты получатель должен предоставить заранее (часть 5 статьи 12). Часто проще заменить такие сервисы российскими.