Обработка персональных данных в России регулируется законом, который обязывает операторов — лиц, осуществляющих обработку персональных данных — уведомлять Роскомнадзор о начале такой деятельности. Часто это называют «регистрацией», однако с юридической точки зрения это уведомительный порядок, а не разрешительная процедура. В статье рассмотрим, когда требуется уведомление, как его подать и какие последствия могут быть за нарушение этой обязанности.

1. Понятие уведомления в реестр Роскомнадзора

Закон № 152-ФЗ «О персональных данных» не предусматривает регистрацию операторов как разрешительную процедуру. Вместо этого оператор обязан направить уведомление в Роскомнадзор до начала обработки персональных данных (ч. 1 ст. 22). По итогам рассмотрения уведомления сведения об операторе вносятся в реестр операторов, осуществляющих обработку персональных данных.

Важно понимать, что лицо считается оператором независимо от того, включено ли оно в реестр. Отсутствие уведомления не освобождает от обязанностей по закону, но создает риск административной ответственности.

1. Когда требуется направлять уведомление

Общее правило — уведомление необходимо во всех случаях обработки персональных данных, за исключением случаев, прямо перечисленных в ч. 2 ст. 22 Закона № 152-ФЗ. С 1 сентября 2022 года перечень исключений значительно сократился (Федеральный закон № 266-ФЗ от 14.07.2022). Так, теперь без уведомления можно обрабатывать:

данные, включённые в государственные информационные системы, созданные для защиты безопасности государства и общественного порядка;
данные, обрабатываемые исключительно без использования средств автоматизации (например, бумажные картотеки без поиска по алгоритму);
данные, обрабатываемые в целях транспортной безопасности.

На практике большинство организаций и индивидуальных предпринимателей обязаны направлять уведомление. Типичные случаи обязательного уведомления:

обработка данных сотрудников (кадровое делопроизводство, начисление зарплаты, передача сведений в Пенсионный фонд);
сбор данных через сайт (формы обратной связи, регистрация, подписка), а также использование аналитических сервисов («Яндекс Метрика», «Google Analytics»);
обработка данных клиентов, контрагентов, участников мероприятий;
ведение любых автоматизированных баз данных с персональными данными физических лиц.

1. Порядок подачи уведомления

Уведомление направляется в территориальный орган Роскомнадзора по месту регистрации оператора в налоговом органе. Подать уведомление можно следующими способами через Портал персональных данных (pd.rkn.gov.ru):

сформировать уведомление в электронной форме и направить на бумажном носителе;
подать электронно с использованием усиленной квалифицированной электронной подписи (УКЭП);
подать электронно через учетную запись ЕСИА (Госуслуги).

Форма уведомления утверждена приказом Роскомнадзора от 28.10.2022 № 180. В уведомлении указываются сведения об операторе, цели обработки, категории данных и субъектов, правовые основания, перечень действий, меры защиты, ответственные лица, дата начала обработки, сроки и информация о трансграничной передаче данных (ч. 3 ст. 22 Закона № 152-ФЗ).

1. Сроки подачи и рассмотрения уведомления

Закон не устанавливает предельного срока подачи уведомления, но оно должно быть направлено до начала обработки персональных данных. Если обработка уже началась без уведомления, его следует подать как можно скорее, чтобы минимизировать риски.

Роскомнадзор рассматривает уведомление в течение 30 дней с момента получения. При выявлении неполных или недостоверных сведений направляется запрос, на который оператор должен ответить в течение 30 дней. При отсутствии ответа уведомление возвращается.

Оператор обязан поддерживать сведения в актуальном состоянии: при изменении данных уведомление направляется не позднее 15-го числа месяца, следующего за месяцем изменений; при прекращении обработки — в течение 10 рабочих дней.

1. Ответственность за неподачу уведомления

Нарушение обязанности по уведомлению влечет административную ответственность по ч. 10 ст. 13.11 КоАП РФ:

для граждан — штраф от 5 000 до 10 000 рублей;
для должностных лиц — от 30 000 до 50 000 рублей;
для юридических лиц — от 100 000 до 300 000 рублей.

Судебная практика подтверждает, что отсутствие предупреждения со стороны Роскомнадзора не освобождает оператора от ответственности. Кроме того, за непредставление запрашиваемых Роскомнадзором сведений может наступить ответственность по ст. 19.7 КоАП РФ. Неподача уведомления также может учитываться как отягчающее обстоятельство при других нарушениях законодательства о персональных данных.

Итоговый ответ

Уведомление Роскомнадзора (внесение в реестр операторов) требуется практически во всех случаях обработки персональных данных, за исключением обработки в государственных информационных системах для безопасности государства, полностью неавтоматизированной обработки и данных для транспортной безопасности.

Пошаговый порядок действий:

1. Определите, являетесь ли вы оператором персональных данных (обрабатываете данные сотрудников, клиентов, посетителей сайта).
2. Проверьте, не подпадает ли ваша обработка под исключения, указанные в ч. 2 ст. 22 Закона № 152-ФЗ (в 2026 году таких исключений очень мало).
3. Заполните уведомление по форме приказа Роскомнадзора от 28.10.2022 № 180 на Портале персональных данных (pd.rkn.gov.ru) или на бумажном носителе.
4. Направьте уведомление в территориальный орган Роскомнадзора по месту регистрации (через ЕСИА, с УКЭП или почтой).
5. В течение 30 дней проверьте факт внесения в реестр.
6. Отслеживайте изменения и своевременно направляйте уведомления об изменениях (до 15-го числа следующего месяца) и о прекращении обработки (в течение 10 рабочих дней).

Отсутствие уведомления грозит штрафом для юридических лиц от 100 000 до 300 000 рублей.

Ссылки

ч. 1 ст. 22 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»
ч. 2 ст. 22 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»
ч. 3 ст. 22 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»
ч. 4 ст. 22 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»
ч. 7 ст. 22 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»
ч. 10 ст. 13.11 Кодекса Российской Федерации об административных правонарушениях
ст. 19.7 Кодекса Российской Федерации об административных правонарушениях
Информация Роскомнадзора от 01.09.2022 «Об изменениях в законодательстве о персональных данных»
Информация Роскомнадзора от 26.12.2022 «Электронные формы заявлений»
Письмо Роскомнадзора от 19.08.2022 № 08-75348 «О результатах рассмотрения обращения»
Письмо Минцифры России от 28.08.2020 № ЛБ-С-074-24059 «О методических рекомендациях»
Приказ Роскомнадзора от 28.10.2022 № 180 «Об утверждении форм уведомлений»
Решение Арбитражного суда г. Москвы от 04.02.2026 по делу № А40-342666/2025
Постановление Второго кассационного суда общей юрисдикции от 07.10.2022 по делу № 16-7329/2022
Постановление Хасынского районного суда Магаданской области от 01.07.2025 по делу № 5-169/2025