Уведомление — это не разрешение и не лицензия. Его нельзя «не получить»: вы просто сообщаете государству, что обрабатываете персональные данные. Но если сообщения нет, любая обработка становится нарушением — с штрафом от 100 000 ₽ для компании.
Подать уведомление нужно до начала обработки. Госпошлина не взимается. Рассмотрение — до 30 дней, запись в реестре обычно появляется за 5–10 рабочих дней.
Кому нужно уведомление
Практически всем, кто обрабатывает персональные данные: ООО, ИП, НКО, бюджетным учреждениям, самозанятым — если они получают данные клиентов. С 1 сентября 2022 года уведомление подаётся до начала обработки, а не «в течение 30 дней после».
Исключения перечислены в ч. 2 ст. 22 152-ФЗ. Например, обработка для личных и семейных нужд, если данные не передаются третьим лицам, и некоторые виды государственной обработки. Если вы собираете имя и телефон клиента в CRM или на сайте — вы почти наверняка оператор.
Три способа подачи
| Способ | Плюсы | Минусы |
|---|---|---|
| Госуслуги | Быстро, без УКЭП, статус в личном кабинете | Нужна подтверждённая учётная запись руководителя |
| Сайт РКН + УКЭП | Электронная подпись, квитанция сразу | Нужна действующая УКЭП и настройка рабочего места |
| Бумага, почтой | Без электронных сервисов | Долго, нет оперативного статуса, риск потери |
12 обязательных сведений
Форма утверждена приказом Роскомнадзора от 28.10.2022 № 180. В уведомлении указывают:
- наименование, адрес и ИНН оператора;
- цели обработки — конкретные, а не «уставная деятельность»;
- категории персональных данных;
- категории субъектов: клиенты, сотрудники, контрагенты;
- правовые основания обработки;
- перечень действий с данными;
- способ обработки: автоматизированная, неавтоматизированная, смешанная;
- сведения о трансграничной передаче, если она есть;
- сведения о мерах защиты;
- ответственное лицо за организацию обработки;
- срок или условие прекращения обработки;
- сведения об информационных системах.
Ошибка № 1 — указывать цели «для осуществления деятельности». Инспектору нужно понимать, зачем именно вы собираете данные: доставка заказа, запись на приём, ведение кадрового учёта.
Пошаговый порядок
- Проверьте компанию в реестре операторов на сайте РКН. Возможно, уведомление уже подавалось предыдущим юрлицом или вашим бухгалтером.
- Опишите процессы: какие данные, от кого, зачем и где хранятся. Включите сайт, CRM, кадры и бухгалтерию.
- Определите ответственное лицо и подготовьте приказ.
- Заполните форму № 180. Проверьте адрес, ОГРН и категории данных.
- Подпишите УКЭП или отправьте через Госуслуги. Сохраните опись и квитанцию.
- Отслеживайте статус. При уточнении от ведомства ответьте в срок — обычно 5 рабочих дней.
Частые ошибки
- Неполные цели. «Обработка данных клиентов» без указания, для чего именно.
- Занижение категорий. Не указали биометрию, данные о здоровье или паспортные данные — а они есть.
- Неверный адрес. Указан юридический, а фактическая обработка идёт в другом месте.
- Нет ответственного. Приказ не издан, в форме указан «директор» без отметки о назначении.
- Сайт не соответствует. В уведомлении заявлены одни цели, а на сайте собираются другие данные.
Что после подачи
Роскомнадзор вносит компанию в реестр и присваивает номер. С этого момента вы можете подтвердить статус оператора партнёрам и проверяющим. Уведомление действует бессрочно, но сведения нужно обновлять.
Если вы начали обработку до подачи, не ждите «пока всё уляжется»: подайте уведомление сейчас. Штраф за прошлый период это не отменит, но прекратит длящееся нарушение.
Изменения в реестре
При изменении целей, категорий данных, адреса или ответственного лица нужно подать уведомление об изменениях. Срок — не позднее 15-го числа месяца, следующего за месяцем, в котором произошли изменения. Это бесплатно, но требует той же точности, что и первичная подача.
Если меняется только телефон или почта, тоже лучше обновить сведения: расхождение с реестром может стать поводом для вопросов.
Инструкция носит информационный характер. Перед подачей проверяйте актуальную форму и требования на сайте Роскомнадзора.