Уведомление в Роскомнадзор для сайта: кому нужно, как проверить и какой штраф за его отсутствие
С 30 мая 2025 года неподача уведомления оператора обходится юрлицу и ИП в 100–300 тысяч рублей.
В чём вопрос
Владелец сайта с формой заявки или регистрацией часто не знает, что он — оператор персональных данных, а значит, обязан уведомить Роскомнадзор о начале обработки. Вопрос «что будет, если не подать уведомление в РКН» упирается в конкретную норму КоАП, которая с 30 мая 2025 года стала заметно строже.
Что требует закон
Статья 22 Федерального закона № 152-ФЗ обязывает оператора уведомить уполномоченный орган (Роскомнадзор) о намерении обрабатывать персональные данные — до начала обработки. Форма уведомления утверждена приказом РКН № 180 от 28 октября 2022 года; тем же приказом определены формы уведомлений об изменении сведений и о прекращении обработки.
Об изменении сведений оператор сообщает не позднее 15-го числа месяца, следующего за месяцем, в котором изменение произошло. О прекращении обработки — в течение десяти рабочих дней. Исключения перечислены в части 2 статьи 22: например, обработка данных только в рамках трудовых отношений или данных, полученных в связи с заключением договора с субъектом, если они не передаются третьим лицам без согласия и используются только для исполнения договора. Полный перечень и актуальную редакцию смотрите в разделе о 152-ФЗ.
Сайт, который собирает имена, телефоны и e-mail через формы обратной связи, подписку или личный кабинет, как правило, под эти исключения не подпадает: данные собираются не только для исполнения договора, а для связи, рассылок, аналитики. Если сомневаетесь, считайте, что уведомление нужно.
Как проверить у себя
1. Составьте список всех мест, где сайт собирает данные: формы, чат, обратный звонок, регистрация, оформление заказа, подписка.
2. Проверьте, есть ли ваша организация или ИП в реестре операторов на сайте pd.rkn.gov.ru (поиск по ИНН или наименованию).
3. Сверьте сведения в реестре с реальностью: цели обработки, категории данных, список подрядчиков, страны, куда передаются данные, адреса баз данных.
4. Убедитесь, что после последней смены CRM, хостинга или сервиса рассылок вы направляли уведомление об изменениях.
Как исправить
1. Если записи в реестре нет — подайте уведомление по форме из приказа № 180 через личный кабинет на портале РКН или на бумаге.
2. Укажите цели обработки, правовые основания, категории субъектов и данных, меры защиты, ответственного за организацию обработки и сведения о локализации баз данных в РФ.
3. Приведите в соответствие остальные документы: политику обработки, согласия в формах, договоры с подрядчиками. Уведомление должно совпадать с тем, что реально происходит на сайте, — расхождения видны при проверке.
4. Назначьте дату ежегодной сверки реестра с фактическими процессами и подрядчиками, а также срок подачи уведомления об изменениях.
Типичные ошибки владельцев сайтов
Первая ошибка — считать, что достаточно политики конфиденциальности на сайте. Политика и уведомление — разные обязанности: первая адресована посетителям, второе — регулятору. Вторая — подавать уведомление один раз и забывать о нём: при смене сервиса рассылок, CRM или хостинга сведения в реестре устаревают, а об изменениях нужно сообщать в установленный срок. Третья — надеяться, что небольшой сайт не заметят: обязанность не зависит от масштаба, она возникает с момента, когда вы начали собирать персональные данные с помощью автоматизированных средств.
Чем грозит бездействие
С 30 мая 2025 года часть 10 статьи 13.11 КоАП РФ предусматривает ответственность за невыполнение или несвоевременное выполнение обязанности по уведомлению РКН о намерении обрабатывать персональные данные. Штрафы: для граждан — от 5 000 до 10 000 рублей, для должностных лиц — от 30 000 до 50 000 рублей, для юридических лиц и индивидуальных предпринимателей — от 100 000 до 300 000 рублей. Сведения о размерах подтверждены публикациями buh.ru и infostart.ru; текст статьи — в разделе о КоАП. Отдельно, по части 11 той же статьи, за неуведомление РКН об утечке персональных данных юрлицам грозит штраф от 1 000 000 до 3 000 000 рублей.
Бесплатная проверка на auditportal.ru покажет на вашем сайте, какие формы собирают данные, есть ли политика и согласия и что стоит сверить с реестром операторов, — до того, как этим займётся регулятор.
Материал носит информационный характер и не является юридической консультацией. Суммы и нормы приведены на дату публикации; законодательство меняется — сверяйтесь с действующей редакцией.