Уведомление в Роскомнадзор для сайта: кому нужно подавать и какой штраф за его отсутствие

Если на сайте есть форма, владелец — оператор персональных данных: что требует статья 22 152-ФЗ и сколько стоит неуведомление по ч. 10 ст. 13.11 КоАП.

В чём вопрос

Владелец сайта с формой заявки, подпиской или личным кабинетом собирает персональные данные: имя, телефон, e-mail. Это обработка персональных данных, а значит, он — оператор. Чаще всего вопрос звучит так: «Нужно ли подавать уведомление в Роскомнадзор и что будет, если этого не сделать?» Короткий ответ: да, нужно, и с 30 мая 2025 года штраф за его отсутствие вырос в десять раз.

Что требует закон

Часть 1 статьи 22 Федерального закона № 152-ФЗ обязывает оператора уведомить Роскомнадзор о намерении обрабатывать персональные данные до начала обработки. Исключения перечислены в части 2 той же статьи. Среди них — обработка без использования средств автоматизации и обработка в рамках отдельных государственных систем. Форма на сайте — это автоматизированная обработка, поэтому исключение к ней не применяется. Тексты актов — в разделе 152-ФЗ.

Уведомление подаётся по форме, утверждённой Приказом Роскомнадзора № 180 (текст приказа), через портал персональных данных pd.rkn.gov.ru. В нём указывают:

— сведения об операторе (наименование, ИНН, адрес);
— цели обработки, категории данных и категории субъектов;
— правовое основание обработки;
— действия с данными и способы обработки;
— меры по защите данных;
— ответственного за обработку;
— сведения о трансграничной передаче;
— место нахождения базы данных граждан РФ.

Если сведения изменились, оператор уведомляет Роскомнадзор не позднее 15-го числа месяца, следующего за месяцем изменения (ч. 7 ст. 22). О прекращении обработки сообщают в течение 10 рабочих дней по форме 3 того же приказа.

Как проверить у себя

1. Откройте публичный реестр операторов на pd.rkn.gov.ru и найдите себя по ИНН. Если записи нет, уведомление не подавалось.
2. Проверьте, что сведения в записи совпадают с реальностью: цели, категории данных, перечень сервисов и подрядчиков, адрес размещения базы.
3. Составьте список всех форм на сайте: заявка, обратный звонок, подписка, регистрация, оформление заказа, чат. Для каждой определите, какие данные собираются и зачем.
4. Перечислите внешние сервисы, куда эти данные попадают: CRM, e-mail-рассылки, колл-трекинг, хостинг.
5. Узнайте, где физически находится база. Первичная запись, систематизация и хранение данных граждан РФ должны идти в базах на территории РФ (ч. 5 ст. 18 152-ФЗ).

Как исправить

1. Если записи в реестре нет — подайте уведомление через pd.rkn.gov.ru. Для этого нужна подтверждённая учётная запись на Госуслугах, а для юридического лица — усиленная электронная подпись.
2. Заполните цели и категории данных по списку из шагов проверки. Не указывайте лишнее и не оставляйте пропусков.
3. Если запись есть, но данные устарели, подайте уведомление об изменении сведений по форме 2.
4. Закрепите в политике обработки персональных данных те же цели и категории, что указаны в уведомлении. Расхождения Роскомнадзор видит при проверке.
5. Заведите в организации календарь: при смене подрядчика, хостинга или целей обработки до 15-го числа следующего месяца подавайте изменения.

Чем грозит бездействие

Неуведомление Роскомнадзора о начале обработки наказывается по части 10 статьи 13.11 КоАП РФ (КоАП). По данным нашей базы, санкции такие:

— юридическое лицо: от 100 000 до 300 000 рублей;
— индивидуальный предприниматель: по нашей базе, как для юридического лица — от 100 000 до 300 000 рублей;
— должностное лицо: от 30 000 до 50 000 рублей;
— гражданин: от 5 000 до 10 000 рублей.

До 30 мая 2025 года за то же нарушение штраф для юрлица составлял в разы меньше. Сроки давности и точную квалификацию в конкретном случае лучше уточнять в действующей редакции статьи.

Отдельно: непредставление сведений по запросу Роскомнадзора, например при проверке, наказывается по статье 19.7 КоАП. Для юридических лиц это от 3 000 до 5 000 рублей, для должностных лиц — от 300 до 500 рублей. Сумма небольшая, но это отдельное нарушение сверх основного.

Сайт без уведомления нередко нарушает и другие нормы: нет политики, нет согласий, база за рубежом. Их штрафы суммируются по разным частям статьи 13.11.

Бесплатная проверка на auditportal.ru покажет эти пункты на конкретном сайте: наличие политики, формы сбора данных, внешние сервисы и признаки передачи данных за рубеж. Так вы увидите, что нужно описать в уведомлении, ещё до его подачи.

Материал носит информационный характер и не является юридической консультацией. Суммы и нормы приведены на дату публикации; законодательство меняется — сверяйтесь с действующей редакцией.