📬 ФЗ-152 · Уведомление РКН

Надо ли уведомлять Роскомнадзор об обработке персональных данных? 7 исключений, которые знают не все

Кто обязан подавать уведомление по ст. 22 ФЗ-152, кто освобождён — и что будет, если проигнорировать требование.
⏱ 6 минут на чтение 📅 Актуально в 2025–2026 г. ⚖️ Источник: ФЗ №152-ФЗ, ст. 22
Многие владельцы бизнеса уверены: «Я маленькая компания, мне не нужно никуда сообщать». Это одно из самых дорогих заблуждений в сфере ФЗ-152. Штраф за работу без уведомления — до 300 000 ₽. При этом реальных исключений меньше, чем принято думать. Давайте разберём всё по закону.

Что говорит статья 22 ФЗ-152: общее правило за 1 минуту

Статья 22 закона «О персональных данных» устанавливает базовое правило: оператор обязан уведомить Роскомнадзор до начала обработки персональных данных. Не после запуска сайта, не через год — а до.

⚖️ Статья 22, ч. 1 ФЗ-152: «Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своём намерении осуществлять обработку персональных данных».

Уведомление подаётся однократно — при первом начале обработки. После этого оператор вносится в реестр операторов персональных данных, который ведёт Роскомнадзор и который является публичным. Если вы меняете цели, состав данных или место их хранения — подаётся уточнение в течение 10 дней.

Важный нюанс: уведомление — это не разрешение и не лицензия. Это просто информирование государства о том, что вы начинаете обрабатывать данные. РКН вносит вас в реестр — и всё. Но без этого шага вы формально нарушаете закон.

Офис, документы, регистрация, бизнес-процессы
Уведомление РКН подаётся до начала обработки ПДн — не после запуска сайта или открытия бизнеса. Это обязанность, а не рекомендация.

Кто ОБЯЗАН уведомлять РКН: простой тест из 3 вопросов

Прежде чем разбирать исключения, выясним: нужно ли вам уведомление вообще? Ответьте на три вопроса:

?
1. Вы собираете или обрабатываете данные физических лиц (имя, телефон, email, адрес)?
Нет → уведомление не нужно. Да → переходите к вопросу 2.
?
2. Обработка ведётся с помощью компьютеров, CRM, сайтов, баз данных (то есть «автоматизированно»)?
Нет, только бумага → возможно, попадаете под исключение. Да → переходите к вопросу 3.
?
3. Применяется ли к вам одно из 7 исключений по ч. 2 ст. 22 ФЗ-152?
Да, одно из исключений подходит → уведомление не нужно. Нет → уведомляйте РКН до начала обработки.
💡 Главный вывод: Большинство компаний, ИП и владельцев сайтов, использующих компьютеры для работы с данными клиентов, обязаны уведомлять РКН. Исключения узкие и конкретные — см. следующий раздел.

7 исключений из ст. 22 ФЗ-152: когда уведомление не нужно

Часть 2 статьи 22 перечисляет случаи, когда оператор освобождается от обязанности уведомлять РКН. Разберём каждый с примером из практики.

Исключение Что это значит на практике Применимо для
1. Только для трудовых отношений Данные сотрудников обрабатываются исключительно в рамках ТК РФ (зарплата, приказы, трудовые книжки). Если вы ведёте данные в CRM или передаёте третьим лицам — исключение не работает. Работодатель без CRM
2. Данные из общедоступных источников Только данные из специально созданных публичных справочников (ст. 8 ФЗ-152), в которые сами субъекты внесли сведения с согласием на их публикацию. Справочные сервисы
3. ФИО, должность, рабочий телефон Только эти три поля — исключительно для установления контакта по профессиональной деятельности. Любые дополнительные данные снимают исключение. B2B-контакты
4. Единоразовый пропуск в здание Имя посетителя записывается на бумаге для прохода — без создания постоянной базы данных и без автоматизированной обработки. Бумажный журнал посетителей
5. Гостайна Данные, составляющие государственную тайну, регулируются отдельными законами и исключены из сферы ФЗ-152. Спецорганизации
6. Без средств автоматизации Данные обрабатываются только вручную, на бумаге, без ввода в компьютерные системы. На практике встречается крайне редко — любая Excel-таблица уже делает обработку «автоматизированной». Только бумажный архив
7. Транспортная безопасность Данные, обрабатываемые в целях обеспечения безопасности транспортной инфраструктуры согласно профильному законодательству. Транспортные операторы
🔥 Острый момент

Исключение «без средств автоматизации» на бумаге выглядит привлекательно: веду записи в блокноте — и уведомлять не нужно. Но Роскомнадзор при проверке смотрит шире: если данные из блокнота потом переносятся в Excel — это уже автоматизированная обработка. Многие думали, что под исключение попадают, и получали штрафы. Вы используете это исключение? Расскажите в комментариях.

👇 Поделитесь своим опытом — это важно для других читателей
Бумажные записи, блокнот и ручка на столе
«Обработка без автоматизации» — единственная ситуация, когда бумажный блокнот освобождает от уведомления. Но стоит перенести данные в компьютер — и исключение перестаёт работать.

Что указать в уведомлении: 9 обязательных полей

Форма уведомления заполняется на сайте pd.rkn.gov.ru в личном кабинете. Вот что потребуется указать по ст. 22 ч. 3 ФЗ-152:

🏢
Сведения об операторе
Полное наименование, ИНН, ОГРН, адрес, контактный email ответственного за ПДн.
🎯
Цели обработки
Конкретный перечень: «обработка заказов», «рассылка новостей», «ведение кадрового учёта» — не «любые законные цели».
📋
Категории ПДн
Имя, email, телефон, адрес, IP и т. д. — перечень всего, что реально обрабатывается.
👥
Категории субъектов
Клиенты, сотрудники, пользователи сайта, партнёры — кого именно касаются данные.
⚖️
Правовые основания
Согласие субъекта, договор, закон — основание для каждой категории обработки.
🖥️
Место хранения данных
Страна и физический адрес серверов. Для данных россиян — обязательно Россия.
🔒
Меры защиты
HTTPS, шифрование, разграничение доступа, антивирус — перечень технических мер.
🤝
Передача третьим лицам
Наименование получателей данных и цели передачи. Для зарубежных — страна получателя.
✅ Совет: Перед заполнением подготовьте текст Политики конфиденциальности — в ней уже должны быть все эти сведения. Уведомление фактически дублирует ключевые пункты политики.

Как подать уведомление в РКН: пошаговая инструкция за 45 минут

Шаг 1. Подготовьте данные об операторе и обработке
Реквизиты компании или ИП, перечень целей и категорий ПДн, адрес хостинга, список подрядчиков, которым передаёте данные. Лучше выписать в таблицу заранее.
~10 минут
Шаг 2. Зайдите на pd.rkn.gov.ru
Раздел «Операторы персональных данных» → «Подача уведомления». Авторизация через Госуслуги (ЕСИА) — самый быстрый способ. Юрлица и ИП могут также подать через личный кабинет с КЭП.
~5 минут
Шаг 3. Заполните электронную форму
9 разделов из предыдущего блока. Будьте конкретны в целях — размытые формулировки возвращают на доработку. Сохраняйте черновик в процессе заполнения.
~25 минут
Шаг 4. Подпишите и отправьте
Электронная подача — через Госуслуги или КЭП. Бумажная — распечатать, подписать, отправить в территориальное управление РКН. Электронный способ значительно быстрее.
~5 минут
Шаг 5. Дождитесь внесения в реестр
Срок — до 30 дней. На практике электронные заявки обрабатываются быстрее — обычно 5–14 рабочих дней. Проверьте своё появление в публичном реестре на сайте РКН и сохраните скриншот.
Шаг 6. Уведомляйте об изменениях
Изменили цели, добавили категорию данных, сменили хостинг — подайте уточнение в течение 10 дней после изменения (ст. 22 ч. 7 ФЗ-152).
Онлайн форма на ноутбуке, регистрация данных
Подача уведомления на pd.rkn.gov.ru занимает около 45 минут. Авторизация через Госуслуги — самый быстрый путь. Бумажная подача через почту работает, но дольше.

Какой штраф за работу без уведомления в 2024–2025 году

Санкции за нарушение порядка уведомления назначаются по результатам плановых и внеплановых проверок РКН. С 2023 года проверки участились.

📋
Не подали уведомление до начала обработки
КоАП РФ ст. 13.11 ч. 1. Нарушение самого факта уведомления — административная ответственность оператора.
ИП — до 100 000 ₽ / Юрлицо — до 300 000 ₽
✏️
Не уведомили об изменениях в течение 10 дней
Смена хостинга, целей, состава данных — каждое изменение требует обновления уведомления. Пропуск срока — отдельное нарушение.
до 100 000 ₽
📵
Предоставили недостоверные сведения в уведомлении
Если в реальности обрабатываете больше данных или для других целей, чем указано — это уже не просто опечатка, а введение в заблуждение регулятора.
до 300 000 ₽ + предписание
🔁
Повторное нарушение
При повторном выявлении того же нарушения суммы удваиваются. Возможно административное приостановление деятельности.
до 500 000 ₽
⚠️ Реальный кейс: В 2023 году РКН оштрафовал несколько небольших интернет-магазинов за отсутствие в реестре операторов. Поводом стали жалобы пользователей на обработку email без согласия — при проверке выяснилось, что компании не уведомляли РКН вообще. Совокупные штрафы составили от 60 000 до 150 000 ₽ на каждую компанию.

📋 Три действия, которые стоит сделать сегодня

Проверьте, есть ли ваша компания в реестре операторов на pd.rkn.gov.ru. Если нет — подайте уведомление. Если уже есть — убедитесь, что сведения в реестре совпадают с реальной практикой обработки данных.

→ Читайте в серии: «Как составить политику конфиденциальности», «Кто такой оператор ПДн», «Нужно ли согласие на обработку данных».

💬 Вопросы к вам — ответьте в комментариях