Нужно ли сайту подавать уведомление в Роскомнадзор и что будет, если этого не сделать

Разбираем, кто обязан регистрироваться как оператор персональных данных, как проверить себя в реестре и какой штраф грозит за отсутствие уведомления.

В чём вопрос

Владелец интернет-магазина или сайта с формой заявки часто узнаёт про «уведомление в Роскомнадзор» случайно — от юриста, из требования банка при открытии эквайринга или уже после проверки. Возникает путаница: нужно ли это вообще, если на сайте всего лишь форма обратной связи, и что будет, если уведомление не подать. Разбираемся, кто обязан регистрироваться как оператор персональных данных и какой штраф грозит за игнорирование этой обязанности.

Что требует закон

По ст. 22 152-ФЗ «О персональных данных» оператор обязан уведомить Роскомнадзор о своём намерении обрабатывать персональные данные до начала такой обработки. На практике это касается почти любого сайта, который собирает имя, телефон, email или адрес через форму заказа, заявки, подписки или личный кабинет, — даже если данные обрабатываются один раз в день вручную менеджером.

Пункт 2 ст. 22 закона называет исключения, но они узкие и почти никогда не относятся к коммерческому сайту: обработка данных, включённых в государственные информационные системы для целей безопасности и правопорядка; обработка исключительно без средств автоматизации (по правилам ПП РФ № 687 — то есть без компьютеров и баз данных вообще, что для сайта нереалистично); и обработка в сфере транспортной безопасности. Формы на сайте, CRM, почтовые рассылки под эти исключения не подпадают.

Уведомление подаётся по форме из приказа Роскомнадзора № 180 — через личный кабинет на pd.rkn.gov.ru или на бумаге. В нём указываются наименование и адрес оператора, цель обработки, категории данных и субъектов, правовое основание, а также сведения о трансграничной передаче, если она есть. Закон не фиксирует конкретное число дней до открытия сайта — требование одно: подать уведомление до фактического начала обработки. После подачи у Роскомнадзора есть 30 дней на внесение оператора в реестр.

Как проверить у себя

Три шага, которые владелец сайта выполняет сам, без юриста:

1. Откройте реестр операторов на pd.rkn.gov.ru и найдите свою компанию или ИП по ИНН. Если записи нет — уведомление либо не подавалось, либо подавалось на другое юрлицо.

2. Пересчитайте точки сбора данных на сайте: форма заказа, форма обратной связи, подписка на рассылку, регистрация личного кабинета, онлайн-чат, cookie-счётчики с идентификацией посетителя. Каждая из них — основание для обработки ПДн.

3. Сверьте, совпадает ли юрлицо в форме уведомления (если оно подавалось) с текущим юрлицом сайта. При смене ИП на ООО, смене названия или реорганизации старое уведомление не действует — нужно новое.

Как исправить

Если уведомления нет или оно устарело:

— зарегистрируйтесь в личном кабинете на pd.rkn.gov.ru и заполните форму по приказу № 180: цели обработки формулируйте конкретно («обработка заказов интернет-магазина», а не общей фразой);

— укажите весь перечень собираемых данных и всех подрядчиков, которым они передаются, — хостинг, CRM, сервис рассылок, платёжный агрегатор (это тоже требование ст. 22, отдельно от договоров поручения с этими подрядчиками);

— после внесения в реестр сверьте, что политика конфиденциальности на сайте и формулировка целей в уведомлении не противоречат друг другу — при проверке Роскомнадзор сопоставляет эти документы;

— при прекращении обработки (закрытии сайта, смене модели без сбора данных) подайте отдельное уведомление о прекращении — иначе оператор формально остаётся в реестре с обязательствами.

Чем грозит бездействие

С 30 мая 2025 года действуют поправки в ст. 13.11 КоАП РФ, внесённые федеральным законом от 30.11.2024 № 420-ФЗ: неподача уведомления об обработке персональных данных или подача его с опозданием (закон приравнивает просрочку к неподаче) влечёт штраф от 100 000 до 300 000 рублей для юридических лиц и индивидуальных предпринимателей, от 30 000 до 50 000 рублей — для должностных лиц, от 5 000 до 10 000 рублей — для физлиц и самозанятых. Это отдельное нарушение: оно фиксируется даже если с самими данными клиентов ничего не случилось и никакой утечки не было — достаточно факта отсутствия регистрации в реестре на момент проверки.

Бесплатная проверка на auditportal.ru за несколько минут показывает, зарегистрирован ли сайт как оператор персональных данных, какие формы и счётчики требуют этого статуса и что именно нужно исправить в конкретном случае — без общих формулировок «в целом соблюдайте закон».

Материал носит информационный характер и не является юридической консультацией. Суммы и нормы приведены на дату публикации; законодательство меняется — сверяйтесь с действующей редакцией.