Представьте, что вы открываете интернет-магазин свечей ручной работы и собираете сайт на Taptop. На сайте — форма заказа: имя, телефон, адрес доставки. С этого момента у вас появляется обязанность, о которой вы можете даже не подозревать: до того, как форма примет первый заказ, нужно отправить уведомление в Роскомнадзор об обработке персональных данных. Правило касается не только банков и других финансовых организаций — оно распространяется на обычные кофейни, частных репетиторов, интернет-магазины и любой сайт с полем «телефон» или «e-mail». С 30 мая 2025 года штраф для компаний и ИП, которые про это забыли, вырос до 300 000 ₽.

Дальше расскажем — у кого именно возникает эта обязанность, в каких редких случаях без неё можно обойтись и как заполнить документ так, чтобы регулятор не вернул его на доработку. Нормы сверены с текстом 152-ФЗ, КоАП РФ и разъяснениями Роскомнадзора — актуально на сентябрь 2026 года.

Кому нужно отправлять уведомление в Роскомнадзор

Документ обязан подать любой оператор — компания, ИП или даже физлицо, — который решает, зачем и как использовать чужие данные. Это статья 22 закона № 152-ФЗ, часть 1. Оборот бизнеса и число сотрудников значения не имеют: важен сам факт сбора имени, телефона или email.

У вас сайт с формой заказа — значит, оператором персональных данных становитесь вы, а не Taptop, на котором собран сайт. Конструктор сайта отвечает за код и хостинг, а за судьбу данных покупателей после отправки формы отвечает владелец сайта. Уведомить регулятора должны именно вы.

В похожей ситуации оказываются:

• частный мастер или репетитор с формой записи на сайте;

• отдел кадров, который собирает резюме и паспортные данные кандидатов;

• офис с пропускной системой, где фиксируют данные посетителей;

• любая компания, которая ведёт базу клиентов в CRM, облачной таблице или обычном файле на компьютере.

Общий принцип простой: если где-то в цепочке появляется компьютер, онлайн-форма или таблица с именами людей — обязанность уведомить, скорее всего, уже есть.

Три случая, когда уведомление подавать не обязательно

До 1 сентября 2022 года закон перечислял шесть оснований для освобождения от уведомления — в том числе для обычных работодателей. Поправки убрали все шесть. Остались три случая, и большинства сайтов и компаний они не касаются.

Реформу провёл федеральный закон № 266-ФЗ от 14 июля 2022 года. Он вычеркнул пункты 1–6 из части 2 статьи 22 — включая прежнее освобождение для кадрового учёта и для обработки данных клиента в рамках договора. С осени 2022 года действует только такой список:

1. Данные хранятся в государственных информационных системах, созданных для защиты безопасности государства и правопорядка.

2. Всё делается вручную, на бумаге — ни одной таблицы, ни одной CRM, ни одной базы в облаке.

3. Обработка нужна исключительно для целей транспортной безопасности.

Возвращаясь к примеру с магазином свечей: заказы приходят через онлайн-форму и оседают в почте или CRM — то есть автоматизированно. Ни один из трёх пунктов к такому сайту не подходит, а значит, документ отправить придётся.

Что собрать перед тем, как открывать форму на сайте РКН

До заполнения формы стоит закрыть четыре вопроса: кто в компании отвечает за данные людей, зачем именно они нужны, есть ли на сайте политика конфиденциальности и какие меры защиты работают на самом деле. Ответы «на глаз» приводят к недостоверному документу.

Проще пройтись по короткому списку до того, как открывать сайт Роскомнадзора:

• назначьте приказом человека, ответственного за работу с данными — его рабочий email и телефон станут частью открытого реестра;

• сформулируйте цель по-человечески: не «работа с данными», а «обработка заказов интернет-магазина» или «подбор персонала»;

• убедитесь, что на сайте есть политика обработки данных и чекбокс согласия рядом с формой;

• выясните, где физически лежит информация — на своём хостинге, в облаке или у стороннего сервиса рассылок;

• опишите реальные меры защиты: кто имеет доступ к базе, шифруется ли она, ведётся ли журнал действий.

Если политики конфиденциальности на сайте ещё нет, добавьте её раньше, чем возьмётесь за уведомление. В Taptop чекбокс согласия рядом с формой заказа добавляется стандартным блоком редактора — без правок кода вручную.

Форма согласия на обработку персональных данных на сайте Taptop

Пошаговая инструкция: как подать уведомление в Роскомнадзор

Документ подают двумя способами: электронно на pd.rkn.gov.ru — через Госуслуги или с электронной подписью, — либо на бумаге в территориальном управлении регулятора. Актуальная форма уведомления в Роскомнадзор — приложение к приказу Роскомнадзора от 28.10.2022 № 180.

Шаг 1. Загляните в реестр — вдруг всё уже подано

Наберите ИНН компании в открытом реестре операторов на pd.rkn.gov.ru/operators-registry/operators-list/. Запись нашлась — тогда нужно не новое уведомление, а уведомление об изменении сведений. Если она сделана по форме 2017 года с разделом про информационные системы, обновите её под требования 2022 года.

Шаг 2. Определитесь со способом подачи

• Электронно — сайт pd.rkn.gov.ru, вход через ЕСИА (Госуслуги) или подпись усиленной квалифицированной электронной подписью.

• На бумаге — два экземпляра лично в территориальном управлении Роскомнадзора или заказным письмом с описью вложения.

Шаг 3. Расскажите о себе

Понадобятся: тип оператора и организационно-правовая форма, ИНН и ОГРН, рабочий email и список регионов, где фактически идёт обработка.

Шаг 4. Опишите, зачем вам чужие данные

Здесь чаще всего ошибаются. Одно уведомление вмещает сразу несколько целей — например, «обработка заказов» и «рассылка о скидках». На каждую цель заполняется блок:

• кто эти люди — покупатели, кандидаты, сотрудники, посетители офиса;

• что вы о них знаете — ФИО, дата рождения, паспорт, номер счёта, контакты;

• на каком основании — согласие, трудовой договор, требование Налогового кодекса;

• что вы с этим делаете — собираете, храните, передаёте, удаляете;

• вручную или автоматически — большинство сайтов отмечают «автоматизированно»;

• с какой даты фактически работаете с информацией — не дата регистрации ИП «для красоты», а реальная.

Шаг 5. Укажите, где лежат данные

Свой сервер, хостинг сайта, облако CRM или сторонний сервис рассылок — перечислите все адреса. Если хотя бы один сервис физически находится за границей, отметьте трансграничную передачу отдельным пунктом.

Шаг 6. Опишите защиту без общих слов

Формулировка «данные под защитой» инспектора не устроит. Организационные меры — приказ об ответственном, внутренние инструкции, обучение персонала. Технические — пароли и уровни доступа, журнал действий, шифрование, учёт флешек и внешних дисков. Ориентир — постановление Правительства РФ от 01.11.2012 № 1119.

Шаг 7. Перечитайте и отправьте

Сверьте форму с реальностью: цели и категории должны совпадать с тем, что происходит на сайте, а не с шаблоном из интернета. После отправки система выдаст номер обращения — сохраните его вместе с ключом доступа, он понадобится позже.

Этапы подачи уведомления в Роскомнадзор

Что дальше: реестр, правки, снятие с учёта

Роскомнадзор заносит компанию в реестр операторов персональных данных за 30 дней с момента поступления документа — часть 4 статьи 22 закона № 152-ФЗ. Разрешения ждать не нужно: это учётная запись, а не лицензия.

Проверить себя в реестре можно на pd.rkn.gov.ru — по названию компании или ИНН. Если 30 дней прошло, а записи нет, стоит позвонить в территориальное управление: возможно, в форме нашли неточность, которую попросят исправить.

Дальше появляются две регулярные обязанности:

• сменили CRM, адрес или добавили новую цель — сообщите не позднее 15-го числа следующего месяца;

• закрыли компанию или перестали собирать какую-то категорию сведений — уведомите в течение 10 рабочих дней.

Оба сценария оформляются теми же формами приказа № 180: приложение 2 — для правок, приложение 3 — для завершения работы с данными.

Во сколько обойдётся забывчивость

Штраф за неуведомление Роскомнадзора с 30 мая 2025 года считают по части 10 статьи 13.11 КоАП РФ: 5 000–10 000 ₽ для граждан, 30 000–50 000 ₽ для должностных лиц, 100 000–300 000 ₽ для компаний.

Сумма зависит от даты нарушения:

• до 30 мая 2025 года — работала статья 19.7 КоАП РФ, компании отделывались максимум 5 000 ₽;

• с 30 мая 2025 года — по части 10 статьи 13.11 КоАП РФ сумма для юрлиц выросла в десятки раз, до 300 000 ₽.

Планку подняли федеральным законом № 420-ФЗ от 30 ноября 2024 года. Этим же документом ужесточили наказание за обработку данных без законных оснований — но это уже другая часть той же статьи и отдельная история. Штраф за молчание перед регулятором выписывают, даже если с самой обработкой всё в порядке: нарушением считается именно факт неуведомления.

На проверке инспектор в первую очередь смотрит, есть ли компания в реестре операторов. Подать документ до визита регулятора выходит дешевле, чем после.

Пять типичных ошибок в заполненной форме

Чаще всего форму отправляют на доработку из-за трёх вещей: размытой формулировки цели, категорий данных, которых на сайте на самом деле нет, и личного телефона ответственного вместо рабочего.

• Цель «для деятельности компании». Ничего не говорит проверяющему. Пишите предметно: «обработка заказов интернет-магазина», «подбор персонала».

• Лишние категории. В форме указаны паспортные данные, а на сайте собирают только имя и телефон — несостыковка заметна сразу.

• Личный контакт ответственного. Эти сведения попадают в открытый реестр — указывайте рабочий email, а не номер из личного телефона.

• Бланк образца 2017 года. Раздел «Перечень информационных систем» давно не актуален — переоформите запись под приказ № 180.

• Забытая трансграничная передача. Рассылка через зарубежный сервис — тоже основание для отдельной пометки в форме.

Итог

Теперь у вас есть ответ на вопрос, как подать уведомление в Роскомнадзор: соберите факты о бизнесе, пройдите по семи шагам и отправьте форму через pd.rkn.gov.ru или на бумаге. Справиться реально за один вечер — запись в реестре операторов обычно появляется в течение трёх недель.

Если сайт, как в примере выше, собран на Taptop, заодно проверьте политику конфиденциальности и чекбокс согласия рядом с формой — без них документ для Роскомнадзора остаётся формальностью без реального основания. Как оформить эти страницы — в статье «Политика конфиденциальности для сайта: шаблон и инструкция». Собрать сайт с готовыми формами и футером для таких ссылок можно на taptop.pro — без разработчика.