Уведомление в Роскомнадзор об обработке персональных данных в 2026 году: кто обязан подавать

В 2026 году компании и ИП продолжают работать по правилу статьи 22 Закона о персональных данных: до начала любой новой обработки, не подпадающей под исключения, требуется уведомление в Роскомнадзор. От этого зависят законность маркетинга и клиентских сервисов, корректность кадровых процедур, репутационные риски и вероятность проверок. Отсутствие записи в публичном реестре операторов персональных данных часто становится первым сигналом для надзорного органа, а нарушение требований учитывается при назначении штрафов по статье 13.11 КоАП РФ.

Кому необходимо уведомление в Роскомнадзор: границы обязанности и практические примеры

Закон исходит из общего правила: оператор, который планирует систематически собирать и хранить сведения о физических лицах, подает уведомление в Роскомнадзор до запуска такой обработки. Оператором будет и интернет-магазин с формой заказа, и сервис записи на услуги, и компания, ведущая CRM с историей покупок и коммуникаций, и владелец системы видеонаблюдения, если по записи можно идентифицировать посетителя.

Чем осмысленнее и шире цели, чем разнообразнее источники и категории персональных данных, тем очевиднее обязанность направить уведомление в Роскомнадзор. Сомнение обычно возникает у бизнеса, который уже обрабатывает данные работников и контрагентов для исполнения договоров. Здесь многое зависит от целей, состава данных и наличия законных оснований, но маркетинг и профилирование клиентов без точного правового обоснования редко укладываются в исключения.

• Сайт с формой обратной связи или подпиской, где данные идут в CRM, почти всегда подразумевает уведомление в Роскомнадзор.
• Видеонаблюдение с записью и хранением, особенно при распознавании лиц, также ведет к уведомлению в Роскомнадзор.
• Оцифровка анкет клиентов и построение сегментов для рассылок требуют уведомление в Роскомнадзор.
• Обработка резюме кандидатов в кадровом резерве вне рамок конкретного трудового договора нередко нуждается в уведомлении в Роскомнадзор.

Компании, которые системно выстраивают работу с данными, стараются оценивать не только юридические формулы, но и практику регулятора. Для бизнеса это не вопрос формы: неверный выбор модели влечет риск предписаний, блокирования отдельных процессов и затрат на экстренное приведение документооборота к требованиям. В таких проектах помогает комплексное сопровождение юридических услуг для бизнеса, чтобы увязать цели обработки, договоры и ИТ-процессы.

Когда допускается освобождение от уведомления и где грань безопасного применения

Часть 2 статьи 22 Закона о персональных данных перечисляет ситуации, когда оператор вправе не направлять уведомление. Освобождение от уведомления возможно, например, когда обработка ограничена трудовыми отношениями с работниками при соблюдении требований трудового законодательства, когда обрабатываются данные для исполнения договора, стороной или выгодоприобретателем по которому является сам гражданин, когда используются сведения, сделанные самим субъектом общедоступными по его воле.

Проблемы начинаются там, где реальные бизнес-цели выходят за пределы исключения. Если к кадровому учету добавляется база соискателей «на перспективу», если к исполнению договора добавляется маркетинг и расширенная аналитика, если общедоступные данные объединяются в профили и дополняются из иных источников, безопасная зона исключений быстро заканчивается. В этих случаях уместно уведомление в Роскомнадзор и корректная настройка правовых оснований обработки.

Ситуация	Нужно ли уведомление	Комментарий
Кадровый учет работников по ТК РФ	Часто нет	При ограничении целями трудовых отношений возможно освобождение от уведомления (ч. 2 ст. 22), но расширенные кадровые сервисы и резерв кандидатов могут потребовать уведомления.
Исполнение договора с клиентом	Зависит от целей	Для узкого исполнения договора возможно освобождение; маркетинг, профилирование, дополнительные сервисы — повод подать уведомление в Роскомнадзор.
Рассылки и CRM-аналитика	Да, как правило	Цели выходят за пределы исключений, требуется уведомление и корректные согласия либо иные законные основания.
Видеонаблюдение с записью	Чаще да	Запись позволяет идентифицировать лицо, применяется режим персональных данных и уведомление в Роскомнадзор обычно необходимо.

На практике попытка «втиснуть» новые проекты в освобождение от уведомления приводит к спорам и предписаниям. Если спор затягивается, регулятор может квалифицировать нарушения по статье 13.11 КоАП РФ, а саму обработку — приостановить до устранения нарушений.

Правовые основания: что говорит статья 22 Закона о персональных данных

Статья 22 Федерального закона «О персональных данных» определяет, что уведомление подается до начала обработки и должно включать ключевые сведения об операторе, целях и правовых основаниях, категориях данных и субъектов, используемых информационных системах и мерах по обеспечению безопасности. При изменении этих сведений они подлежат актуализации. Результат — внесение записи в реестр операторов персональных данных.

Отдельные вопросы сопряжены с трансграничной передачей (статья 12 Закона) и с локализацией баз (статья 18.1), поэтому при планировании передачи данных за рубеж важно сверить цели и режимы с уведомлением в Роскомнадзор. Если уведомление отражает устаревшие цели, а фактическая обработка расширилась, надзорный орган расценивает это как нарушение не только процедурного характера.

Контроль за соблюдением осуществляется по правилам государственного контроля, установленным Федеральным законом № 248-ФЗ. В рамках профилактических мероприятий Роскомнадзор запрашивает документы, сопоставляет цели, правовые основания и текущее описание процессов. Наличие корректной записи и согласованной правовой модели значительно снижает риски претензий.

Как устроен реестр операторов персональных данных и какие данные в него попадают

Публичный реестр операторов персональных данных ведет Роскомнадзор. В нем отражаются сведения из уведомления: наименование и адрес оператора, цели обработки, категории субъектов и данных, правовые основания, планируемые действия с данными, а также контакт для обращений. Информация общедоступна, и контрагенты нередко проверяют партнера по записям реестра при запуске совместных проектов.

Запись в реестре не заменяет внутренние документы оператора, но подтверждает, что выбранная модель обработки заявлена и понятна регулятору. Для бизнеса это репутационный маркер добросовестности. Если компания изменила цели или запустила новые продукты, поддержание актуальности записи важно так же, как и поддержание релевантности локальных актов. В рамках долгосрочных проектов это удобно решать через абонентское юридическое обслуживание, чтобы правовая модель и ИТ-реальность не расходились.

При прекращении обработки соответствующая запись подлежит исключению из реестра. Если оператор продолжает хранить архивы, даже пассивное хранение при возможности идентификации может считаться обработкой, и формальное исключение из реестра без реального уничтожения или обезличивания повлечет вопросы надзора.

Подача уведомления в Роскомнадзор: форма уведомления оператора, сроки и содержание

Сегодня подача уведомления РКН осуществляется через электронные сервисы уполномоченного органа. Заполняется утвержденная форма уведомления оператора, к которой в ряде случаев прикладываются описания ИСПДн, сведения о трансграничной передаче и контакты ответственного лица. Смысл прост: регулятор должен заранее понимать, какие данные, для каких целей и на каком правовом основании собирает компания. Если структура обработки меняется, обновляется и уведомление в Роскомнадзор.

Фактическое содержание уведомления должно соответствовать реальным целям и технологической цепочке. Несогласованность целей, дублирование формулировок «на всякий случай», отсутствие связи между целями и правовыми основаниями — частые причины запросов Роскомнадзора. Поэтому уведомление в Роскомнадзор готовят исходя из карты процессов, а не абстрактных шаблонов.

Что указывается в форме: обязательные сведения оператора

• Наименование и реквизиты оператора, адрес местонахождения и контакт для обращений субъектов.
• Цели обработки и правовые основания (ссылки на договоры, закон или согласие субъекта).
• Категории субъектов и перечень персональных данных, включая специальные и биометрические, если применимо.
• Действия с данными и описание информационных систем, меры защиты по статье 19 Закона.
• Сведения о трансграничной передаче и о привлечении обработчиков по поручению.

Когда для нового продукта запускается тестовый сбор данных, это уже повод оценить необходимость подать уведомление в Роскомнадзор. Если продукт отложен, но данные временно собирались, важно сопоставить фактическую обработку с правовыми основаниями и корректно завершить цикл — вплоть до уничтожения или обезличивания. Юристы также проверяют договоры с подрядчиками, которым передаются данные по поручению, чтобы описание поручений совпадало с уведомлением в Роскомнадзор и с политикой оператора.

Ответственность за отсутствие уведомления в Роскомнадзор и типичные ошибки компаний

Нарушение процедур уведомления квалифицируется по статье 13.11 КоАП РФ с риском штрафов и предписаний об устранении нарушений. При повторных или грубых нарушениях возможно ужесточение последствий, включая приостановление отдельных процессов обработки. На проверках регулятор сопоставляет заявленные цели в записи реестра с реальной ИТ-картиной и документами. Если уведомление в Роскомнадзор отсутствует или не отражает фактическую обработку, позиция компании ослабляется.

• Расширение маркетинга и аналитики без обновления уведомления в Роскомнадзор и локальных актов.
• Опора на освобождение от уведомления, хотя цели обработки выходят за пределы трудовых отношений или исполнения договора.
• Игнорирование видеонаблюдения и биометрии как источников персональных данных, особенно при распознавании лиц.
• Несогласованность договоров с обработчиками и описания обработки в уведомлении в Роскомнадзор.

Еще одна уязвимость — «универсальные» цели в стиле «оказание услуг и иные законные цели», которые не позволяют оценить правовое основание и необходимость конкретных категорий данных. На практике такие формулы вызывают запросы, и компании теряют время на экстренную перестройку описаний. Чем точнее уведомление в Роскомнадзор соотнесено с реальными целями и системами, тем устойчивее позиция при общении с регулятором.

Роль юриста: аудит процессов, доказательства добросовестности и взаимодействие с Роскомнадзором

Работа начинается с инвентаризации процессов: какие данные собираются, какие цели заявлены в интерфейсах и договорах, куда и на каких основаниях передаются сведения. Затем формируется правовая модель, где по каждому потоку определяется, требуется ли уведомление в Роскомнадзор или достаточно режима исключений, и как это соотнести с локализацией, трансграничной передачей и безопасностью данных.

Юрист готовит карту целей и правовых оснований, согласует тексты согласий и уведомлений, описывает ИСПДн и актуализирует форму уведомления оператора. Если Роскомнадзор направляет запрос, важен быстрый и точный ответ с документами, подтверждающими добросовестность. Для компаний с регулярными выпуском продуктов удобен формат кадрового аудита и смежных проверок, когда HR-процессы, ИБ-меры и запись в реестре поддерживаются в актуальном состоянии.

При спорных кейсах юрист помогает выстроить позицию и определить, какие корректировки внести в уведомление в Роскомнадзор, а какие — в реальную архитектуру обработки. Чем раньше проведен аудит и синхронизация документов, тем ниже вероятность предписаний и сбоев в бизнес-процессах.

Если вам нужна надежная команда юристов с большим практическим опытом, обращайтесь в ООО ЮК Шмелева и партнеры. Заявку можно оставить на сайте нашей юридической компании или позвонить по телефону 8 (800) 201 56 52. Отзывы о нашей работе можно посмотреть на Яндекс.Картах.