Кто обязан подавать
По статье 22 152-ФЗ оператор обязан уведомить Роскомнадзор о намерении обрабатывать персональные данные до начала обработки. С сентября 2022 года перечень исключений резко сузился: подавать уведомление должны практически все организации и индивидуальные предприниматели, которые собирают данные людей.
Признаки, по которым сайт попадает под требование:
- форма обратной связи, заявки, обратного звонка, подписки;
- регистрация и личный кабинет;
- оформление заказа с именем, телефоном, адресом доставки;
- запись на приём, бронирование, расчёт стоимости с контактами;
- сбор резюме и откликов на вакансии.
Отдельное исключение — обработка данных только своих работников по трудовому законодательству; но как только появляется форма для посетителей сайта, исключение перестаёт работать.
Сколько стоит неподача
После вступления в силу поправок 420-ФЗ от 30.11.2024 (действуют с 30 мая 2025 года) неподача уведомления стала самостоятельным составом в статье 13.11 КоАП: для должностных лиц и предпринимателей суммы измеряются десятками тысяч рублей, для организаций доходят до 300 000 ₽. Отдельно наказывается несообщение регулятору об инциденте с данными — там суммы кратно выше.
Важно понимать логику: отсутствие в реестре операторов не просто отдельный штраф. Если данные утекут, ваше отсутствие в реестре сразу показывает, что требования не соблюдались системно, — а это уже другая история с оборотными штрафами.
Как подать
Бесплатно, двумя способами: электронно через портал персональных данных Роскомнадзора (нужна подтверждённая учётная запись Госуслуг или усиленная электронная подпись) либо на бумаге в территориальное управление по месту регистрации. По электронной почте уведомление не принимают.
Форма и порядок заполнения утверждены приказом Роскомнадзора от 28.10.2022 № 180. Рассмотрение занимает до 30 дней, после чего оператор появляется в реестре.
Три места, где ошибаются чаще всего
1. «Трансграничной передачи нет». Самая дорогая ошибка. Владелец уверенно ставит «нет», а на сайте работает зарубежный счётчик, подключены внешние шрифты или встроено видео с иностранного сервиса — и данные посетителей уходят за границу при каждой загрузке страницы. Заявление, не соответствующее действительности, превращает случайное нарушение в осознанное. Перед подачей уведомления стоит проверить, какие внешние адреса запрашивает ваш сайт.
2. Цели указаны «в общем». Поправки уточнили: категорию данных, правовое основание и способы обработки нужно указывать для каждой цели отдельно. Одна строка «для обработки заявок» на все случаи жизни — повод для замечания.
3. Уведомление подали, а сайт не привели в порядок. Реестр — это заявление о намерениях. Проверяют не его, а реальность: опубликована ли политика обработки данных, как собирается согласие в формах, что происходит со счётчиками до согласия. Расхождение между уведомлением и сайтом — готовый материал для предписания.
Что сделать по порядку
- Перечислить все точки сбора данных: формы, кабинет, заказы, отклики, аналитику, рассылку, CRM.
- Проверить, какие внешние сервисы получают данные посетителей и где их серверы.
- Опубликовать политику обработки персональных данных и сделать её доступной с любой страницы.
- Привести формы в порядок: отдельная непредустановленная галочка согласия, ссылка на политику рядом.
- Подать уведомление и хранить подтверждение.
Оговорка
Материал обзорный и не является юридической консультацией. Редакции норм меняются, а обязанности конкретного оператора зависят от того, какие данные и с какой целью он обрабатывает. Проверяйте действующий текст закона и при сомнениях обращайтесь к юристу.