- Главная
- Услуги
- Сайт под 152-ФЗ
- Уведомление в Роскомнадзор
Как подать уведомление в Роскомнадзор об обработке персональных данных
По шагам для владельца сайта: что подготовить, где подать, что написать в каждом поле формы и что должно быть на сайте, когда уведомление подано.
Если сайт принимает заявки с именем, телефоном или почтой, вы — оператор персональных данных и должны уведомить Роскомнадзор до начала обработки. Подают на портале pd.rkn.gov.ru: со входом через Госуслуги, с электронной подписью или на бумаге — заполнить, распечатать, подписать и отправить почтой. В реестр вносят в течение 30 дней. Штраф за неподачу для ИП и компаний — от 100 000 до 300 000 ₽.
Кому нужно подавать уведомление
Оператор персональных данных — тот, кто собирает сведения о людях и решает, зачем они нужны. Для сайта это его владелец: ИП, компания или частное лицо, а не студия, которая сделала сайт. Персональные данные — любые сведения, по которым можно определить человека: имя, телефон, почта.
С 1 сентября 2022 года уведомлять Роскомнадзор должны почти все операторы. Без уведомления можно работать только в случаях из ч. 2 ст. 22 закона № 152-ФЗ:
- данные обрабатываются исключительно без средств автоматизации — только на бумаге;
- данные входят в государственные системы, созданные для защиты безопасности государства и общественного порядка;
- данные обрабатываются по законодательству о транспортной безопасности.
Сайт с формой заявки — это уже обработка на компьютере, поэтому исключение «только на бумаге» к нему не подходит.
В форме Роскомнадзора самозанятый подаёт уведомление как «Физическое лицо» — это отдельный тип оператора в первом же поле.
Если уведомление уже подавали раньше, найдите себя в реестре операторов на портале. Появился сайт, новые формы или сменился хостинг — сведения обновляют уведомлением об изменении (об этом ниже).
Какой штраф за неподачу
Наказание — по ч. 10 ст. 13.11 КоАП: за то, что уведомление не подано или подано с опозданием. Часть действует с 30 мая 2025 года (закон № 420-ФЗ от 30.11.2024).
| Кто | Штраф |
|---|---|
| Гражданин — частное лицо | 5 000 – 10 000 ₽ |
| Индивидуальный предприниматель | 100 000 – 300 000 ₽ |
| Компания (ООО, АО и другие коммерческие организации) | 100 000 – 300 000 ₽ |
| Должностное лицо госоргана, муниципального органа или некоммерческой организации | 30 000 – 50 000 ₽ |
ИП по этой части отвечают как юридические лица — так сказано в примечании 1 к статье 13.11. Поэтому для ИП штраф не «до 50 000 ₽», как иногда пишут, а от 100 000 ₽.
Что подготовить перед подачей
Форма длинная, и часть полей зависит от того, как устроен ваш сайт. Соберите заранее:
- Реквизиты. ИП — ФИО, ИНН, ОГРНИП; компания — полное и сокращённое наименование, ИНН, ОГРН; частное лицо или самозанятый — ФИО. Писать без сокращений, как в налоговой.
- Адрес — местонахождения и почтовый, с индексом. Портал подставляет адрес из справочника ФИАС, номер дома и офиса вводят вручную.
- Телефон и почту для связи с Роскомнадзором.
- Ответственного за обработку персональных данных — ФИО, телефон, почтовый адрес и почту. У ИП и частного лица это обычно сам владелец. Эти сведения будут открыты всем в реестре операторов.
- Список форм на сайте и полей в них: заявка, звонок, запись, подписка. Отдельно — счётчики посещаемости, если стоят.
- Куда уходят заявки: хостинг сайта, почтовый ящик, CRM, мессенджер — и в какой стране их серверы. Как это узнать — в разделе про дата-центр.
- Дату начала обработки — когда сайт начал принимать заявки.
Где подать: три способа
Все три начинаются на портале персональных данных Роскомнадзора: раздел «Реестр операторов» → «Электронные формы заявлений» → «Перейти к заполнению формы электронного уведомления». Дальше портал предлагает выбрать способ.
Через Госуслуги
Вход через учётную запись Госуслуг, форма частично заполнится сама. Бумагу отправлять не нужно, ответ придёт на почту.
Нужно: подтверждённая учётная запись. За компанию — запись, привязанная к этой компании.
С электронной подписью
Форму подписывают усиленной квалифицированной электронной подписью прямо на портале, ответ приходит на почту.
Нужно: подпись руководителя или ИП. Если подписывает не руководитель — машиночитаемая доверенность.
На бумаге
Форму заполняют на портале, отправляют и распечатывают. Распечатку подписывают и отправляют в территориальное управление Роскомнадзора по месту регистрации.
Нужно: принтер и почта. Регион выбирают в первом поле формы.
После отправки портал один раз показывает номер и ключ — по ним потом проверяют статус. Второй раз посмотреть или распечатать уведомление нельзя. Ссылка на черновик тоже показывается один раз.
Что написать в полях формы
Ниже — ответы для типичного сайта небольшого бизнеса: форма заявки с именем, телефоном и почтой. Названия полей — как в форме Роскомнадзора. Если вы обрабатываете данные не только с сайта — сотрудников, клиентов по договорам, — для каждой такой цели нажимают «Добавить цель обработки» и заполняют её поля отдельно.
Оставляйте только то, что относится к вам: уведомление должно совпадать с тем, что написано в вашей политике и что делает сайт.
Обработка заявок и обращений, поступивших через сайт, связь с их авторами
«фамилия, имя, отчество», «номер телефона», «адрес электронной почты» — те, что спрашивают ваши формы. Если на сайте стоит счётчик посещаемости — ещё «сведения, собираемые посредством метрических программ».
«Клиенты» и «Посетители сайта». Субъект — это человек, чьи данные вы получаете.
«обработка персональных данных осуществляется с согласия субъекта персональных данных» — для формы с галочкой согласия. Сам закон № 152-ФЗ основанием не считается: это отдельно сказано в инструкции Роскомнадзора.
То, что происходит с заявками. Для формы на сайте обычно: сбор, запись, хранение, использование, удаление, уничтожение. «Передача» — если заявки получает кто-то кроме вас, например подрядчик.
«автоматизированная» — если заявки только на компьютере, «смешанная» — если их ещё распечатывают или переписывают в журнал; «без передачи по внутренней сети юридического лица»; «с передачей по сети Интернет».
Назначен ответственный за организацию обработки персональных данных. Опубликована политика обработки персональных данных, ссылка на неё есть у каждой формы сайта. Согласие на обработку оформляется отдельно в каждой форме. Доступ к заявкам есть только у ответственного, вход по паролю. Данные передаются по защищённому соединению HTTPS. Сервер сайта и база данных находятся в Российской Федерации.
Технические средства, которыми вы защищаете данные: пароли к панели сайта и почте, сертификат HTTPS, антивирус на компьютере, где открываете заявки. Это поле в открытый реестр не попадает.
Если выбрать «используются», форма попросит класс средства (КС1–КА), наименование, изготовителя и серийные номера — речь о сертифицированных средствах криптозащиты, СКЗИ. HTTPS на сайте опишите в мерах выше. Если сомневаетесь, что отметить, — это вопрос к юристу.
ФИО, телефон, почтовый адрес и почта человека, который отвечает за персональные данные. В реестре эти сведения увидят все.
Когда сайт начал принимать заявки. Может совпадать с датой регистрации ИП, компании или самозанятого. Если сайт работает давно, дата будет в прошлом — уведомление всё равно подают.
Прекращение деятельности оператора
«не осуществляется» — если сайт, почта и CRM работают на серверах в России. Если заявки уходят в зарубежный сервис — сначала прочтите раздел про передачу за границу.
Страна — «Россия», адрес дата-центра, «Собственный ЦОД» — «нет», ниже — компания, которая хранит данные: обычно хостинг, с ИНН, ОГРН и адресом. Если заявки лежат ещё в почтовом сервисе или CRM, для каждого — «Добавить сведения».
Заполняют только владельцы и операторы государственных и муниципальных информационных систем. В остальных случаях блок удаляют кнопкой «Удалить».
Перечень мер по постановлению Правительства от 01.11.2012 № 1119. Какие меры обязательны, зависит от уровня защищённости вашей системы. Если вы не определяли уровень, разберитесь с юристом или специалистом по защите информации до подачи.
Человек, который заполняет и отправляет уведомление. Им может быть не ответственный, а, например, бухгалтер. При подаче с электронной подписью — владелец подписи.
Где взять адрес дата-центра
Самое трудное поле — «Местонахождение базы данных». База данных здесь — любое место, где хранятся заявки:
| Где лежат заявки | У кого узнать адрес |
|---|---|
| Сервер сайта | У хостинга: в договоре, в панели управления или в поддержке |
| Почтовый ящик, куда приходят заявки | У почтового сервиса |
| CRM или сервис форм | У этого сервиса |
| Сайт на конструкторе | У поддержки конструктора: где хранятся заявки из форм |
Адреса дата-центров часто есть на сайте хостинга. Если не нашли — напишите в поддержку:
Здравствуйте! Готовлю уведомление в Роскомнадзор об обработке персональных данных. Подскажите, пожалуйста: 1) в каком дата-центре и по какому адресу (с индексом) физически находится сервер моего сайта; 2) реквизиты организации, которая предоставляет сервер: полное наименование, ИНН, ОГРН, адрес.
Если сервер за границей, сайт нужно перенести: при сборе данные граждан России записывают и хранят в базах на территории России (ч. 5 ст. 18 закона № 152-ФЗ).
Если заявки уходят за границу
Пересылка заявок на Gmail, зарубежный сервис форм, зарубежная CRM — данные уходят иностранной компании на серверы за рубежом. Это трансграничная передача, и у неё свои правила:
- о ней подают отдельное уведомление, до начала передачи (ч. 3 ст. 12 закона № 152-ФЗ). Форма — в разделе «Трансграничная передача» того же портала;
- в основном уведомлении в поле «Трансграничная передача» отмечают «осуществляется»;
- первая запись данных всё равно должна быть в России — в базе на российском сервере.
Проще всего отказаться от зарубежных сервисов: перевести почту и формы на российские и отметить «не осуществляется».
Психологам, клиникам и всем, кто узнаёт о здоровье
Сведения о здоровье — специальная категория персональных данных, как и сведения о национальности, политических взглядах и религиозных убеждениях. Если вы ведёте заметки к консультациям, анкеты, карты пациентов или храните жалобы на самочувствие, это нужно отразить в уведомлении: в «Категориях персональных данных» отметить «сведения о состоянии здоровья».
- Обрабатывать такие сведения можно с письменного согласия человека (п. 1 ч. 2 ст. 10 закона № 152-ФЗ). Письменное — значит подписанное: на бумаге или электронным документом с электронной подписью (ч. 4 ст. 9).
- Без согласия — в медицинских целях, если обработку ведёт тот, кто профессионально занимается медицинской деятельностью и обязан хранить врачебную тайну (п. 4 ч. 2 ст. 10).
- Галочка в форме сайта письменным согласием не является. Поэтому через сайт сведения о здоровье лучше не собирать: в поле сообщения стоит попросить не описывать самочувствие и диагнозы — об этом поговорите на приёме.
Что отметить в уведомлении и как оформить согласие, лучше решить с юристом: от этого зависят и поля формы, и документы на сайте.
Что будет после подачи
- До 30 дней на рассмотрение (ч. 4 ст. 22). Потом оператора вносят в реестр — или уведомление отклоняют либо возвращают на уточнение.
- Статус проверяют на портале в разделе «Проверка состояния уведомления» по номеру и ключу. Если через 30 дней вас нет в реестре, пишут в электронную приёмную Роскомнадзора.
- Номер в реестре можно указать в политике обработки персональных данных на сайте: так видно, что уведомление подано.
- Изменения — сменили хостинг, добавили форму или CRM, начали собирать новые данные — сообщают уведомлением об изменении сведений не позднее 15-го числа следующего месяца (ч. 7 ст. 22). Форма — на той же странице портала.
- Прекращение обработки — уведомление в течение 10 рабочих дней.
Что должно быть на сайте
Уведомление описывает, как вы работаете с данными. Сайт должен работать так же:
- Политика обработки персональных данных опубликована на сайте (ч. 2 ст. 18.1), ссылка на неё — у каждой формы.
- Согласие — отдельным документом. С 1 сентября 2025 года его оформляют отдельно от других документов, которые человек подтверждает (ч. 1 ст. 9). В форме — галочка, которую человек ставит сам, и ссылка на страницу согласия.
- Окно про cookie с двумя равными кнопками. Счётчики посещаемости и карты загружаются только после «Принять». «Отказаться» — рядом, того же размера и так же заметна. Согласие должно быть конкретным, информированным, сознательным и однозначным (ч. 1 ст. 9) — поэтому отказаться должно быть так же просто, как согласиться.
- Заявки хранятся в России — на хостинге, в почте и CRM с серверами в России.
- Ссылки в подвале каждой страницы: политика, согласие, настройки cookie.
Проверим формы, cookie, хранение заявок и сторонние сервисы и исправим найденное. От 25 000 ₽, от 3 рабочих дней.
Частые вопросы
Кто подаёт уведомление — владелец сайта или студия, которая его делала?
Владелец сайта: оператор — он. Заполнить форму может другой человек — в форме он указывается как «исполнитель». Подписывает уведомление оператор или уполномоченное им лицо.
Можно подать уведомление без электронной подписи?
Да, двумя способами: войти на портал через Госуслуги — тогда подпись не нужна и бумага тоже, или заполнить форму, распечатать, подписать от руки и отправить в управление Роскомнадзора своего региона.
Мы подавали уведомление несколько лет назад. Нужно подавать снова?
Новое — нет, если оператор тот же. Но если с тех пор появился сайт, новые формы или сменилось место хранения заявок, подают уведомление об изменении сведений — до 15-го числа месяца, следующего за изменением.
Что из уведомления увидят все?
Сведения из реестра операторов открыты, в том числе ФИО и контакты ответственного за обработку персональных данных. Средства обеспечения безопасности, которые вы перечислили, в открытый реестр не попадают.
Это юридическая консультация?
Нет. Мы разработчики и описали, как заполнить форму для обычного сайта с формой заявки. Если вы обрабатываете сведения о здоровье, данные детей или передаёте данные за границу, обсудите уведомление с юристом.
Источники
- Закон № 152-ФЗ «О персональных данных», ст. 22 — кто и когда уведомляет, исключения, сроки.
- Закон № 152-ФЗ, ст. 12 — трансграничная передача.
- Закон № 152-ФЗ, ст. 10 — специальные категории персональных данных.
- КоАП РФ, ст. 13.11 — штрафы, ч. 10 и примечания.
- Портал персональных данных Роскомнадзора — формы уведомлений и инструкция по заполнению (PDF).
Приведём формы, cookie и хранение заявок в порядок
Расскажите о задаче — уточним детали, предложим состав и назовём стоимость по опубликованному прайсу.
- Цена и состав — в договоре
- Три круга правок на этап
- Гарантия 12 месяцев на наш код
- Домен и исходники ваши, лицензия бессрочная