Реестр операторов, осуществляющих обработку персональных данных, — публичный перечень, который ведёт Роскомнадзор. В него попадают не по желанию и не «за особые заслуги»: организация или предприниматель направляет уведомление о намерении обрабатывать персональные данные, ведомство вносит сведения, и с этого момента компания видна снаружи — по названию, ИНН, целям обработки и категориям данных.
Два вопроса про этот реестр задают чаще всего, и они противоположные. Первый: «нас там нет — это нарушение?» Второй: «мы там есть, но данные устарели — что делать?» Ответ на оба начинается с одного и того же: с 1 сентября 2022 года список исключений, позволявших не подавать уведомление, практически обнулён. Раньше можно было ссылаться на то, что данные обрабатываются только в рамках трудовых отношений или только по договору с самим субъектом; теперь эти основания из закона убраны. Работодатель с одним сотрудником, интернет-магазин с формой заказа, сайт с обратной связью — все они операторы и все обязаны уведомить Роскомнадзор.
Ниже — как проверить себя в реестре, как подать уведомление и что грозит за молчание. По каждому шагу есть отдельный материал: ссылки собраны в блоке «Куда идти дальше».
Что вы получаете:
- проверку наличия вашей компании в реестре операторов и корректности сведений;
- ответ на вопрос, обязаны ли вы подавать уведомление и по какому основанию;
- подготовку и подачу уведомления в Роскомнадзор в актуальной форме;
- актуализацию сведений, если данные в реестре устарели;
- оценку риска штрафа за неуведомление и план его снижения;
- увязку реестра с остальным пакетом документов оператора — политикой, согласиями, приказами.
Кому это нужно
- компаниям и ИП, которые никогда не подавали уведомление — с 2022 года это касается почти всех, включая микробизнес с наёмными работниками и покупателей бизнеса при аудите;
- тем, кто подавал уведомление до 2022 года — старые формы не содержат сведений, которые обязательны сейчас, и требуют актуализации;
- интернет-магазинам, сервисам и сайтам с формами — сбор имени, телефона и адреса доставки уже является обработкой персональных данных;
- тем, кто готовится к проверке Роскомнадзора — отсутствие в реестре надзорный орган видит первым, ещё до выхода на проверку;
Нормативная рамка
- Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» — статья 22 устанавливает обязанность оператора уведомить уполномоченный орган до начала обработки, состав сведений в уведомлении и обязанность сообщать об их изменении;
- Федеральный закон от 14.07.2022 № 266-ФЗ — исключил из статьи 22 большинство оснований, по которым уведомление можно было не подавать, и расширил состав сведений; изменения действуют с 1 сентября 2022 года;
- Кодекс РФ об административных правонарушениях — статья 13.11: часть 10 предусматривает ответственность за неуведомление уполномоченного органа о начале обработки персональных данных, для юридических лиц штраф составляет от 100 000 до 300 000 рублей;
- приказ Роскомнадзора от 28.10.2022 № 180 — формы уведомления о намерении обрабатывать данные, об изменении сведений и о прекращении обработки;
- статьи 18.1 и 19 152-ФЗ — организационные и технические меры оператора: политика, назначение ответственного, локальные акты, без которых уведомление превращается в декларацию о том, чего нет.
Реестр ведёт Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор); уведомление подаётся через её портал персональных данных, а также доступна подача через портал государственных услуг.
Как проверить, есть ли компания в реестре
Проверка бесплатная и занимает пару минут. На портале персональных данных Роскомнадзора работает поиск по реестру: искать удобнее всего по ИНН — название организации в реестре может быть записано в форме, отличающейся от привычной вам, а ИНН уникален.
Что показывает карточка оператора:
- регистрационный номер записи в реестре и дату внесения;
- наименование, адрес и ИНН оператора;
- цели обработки персональных данных — те, которые вы указали в уведомлении;
- категории персональных данных и категории субъектов;
- перечень действий с данными и способы обработки;
- сведения о трансграничной передаче и о местонахождении баз данных;
- дату начала обработки и сведения об ответственном за организацию обработки.
Три типичных результата проверки. Записи нет вообще — уведомление не подавалось; при отсутствии действующего основания для освобождения это нарушение, которое исправляется подачей уведомления. Запись есть, но сведения устарели — сменился руководитель, адрес, ответственный, появились новые цели обработки или новые категории данных; закон требует сообщать об изменениях, и здесь нужно информационное письмо. Запись есть и актуальна — можно переходить к остальным обязанностям оператора, потому что само по себе нахождение в реестре ничего не защищает.
Кто обязан подавать уведомление и есть ли исключения
Общее правило после 2022 года формулируется просто: обязаны почти все. Обработка персональных данных начинается в тот момент, когда компания получает фамилию сотрудника для трудового договора, телефон клиента для доставки или адрес электронной почты для рассылки. Организационно-правовая форма, размер выручки и наличие сайта значения не имеют.
Исключения из статьи 22 сохранились, но они узкие и на практике почти не встречаются в бизнесе. Опираться на них можно только после проверки действующей редакции закона: формулировки менялись, а публикации 2019–2021 годов, где перечислены «обработка в рамках трудовых отношений» и «обработка по договору с субъектом», описывают отменённые основания. Именно эти устаревшие тексты и породили массовое убеждение, что «нам подавать не надо».
Важно понимать и обратное: уведомление подаётся до начала обработки. Компания, которая работает третий год и только сейчас обнаружила обязанность, находится в состоянии длящегося нарушения, и подача уведомления сегодня — это способ прекратить его, а не отменить прошлое. На практике добровольная подача до проверки существенно улучшает позицию.
Как подать уведомление: порядок действий
Шаг 1. Собрать фактические сведения об обработке. Не переписывать чужой образец, а описать, что происходит в вашей компании: какие данные вы собираете, у кого, зачем, где они хранятся, кому передаются, сколько хранятся. Это самая трудоёмкая часть, и именно она определяет содержание уведомления.
Шаг 2. Назначить ответственного за организацию обработки персональных данных и утвердить внутренние документы — политику обработки, приказы, перечень мест хранения. Сведения об ответственном входят в уведомление.
Шаг 3. Заполнить форму на портале персональных данных Роскомнадзора. Форма структурирована по разделам: сведения об операторе, цели, категории, действия, меры защиты, трансграничная передача, местонахождение баз данных.
Шаг 4. Подписать и направить уведомление. Электронная подача требует квалифицированной электронной подписи организации; альтернатива — направление документа на бумаге.
Шаг 5. Дождаться внесения в реестр и сохранить регистрационный номер. Его спрашивают заказчики в тендерах и банки при проверке контрагента.
Шаг 6. Поддерживать сведения в актуальном состоянии. Часть 7 статьи 22 требует сообщить об изменении сведений не позднее 15-го числа месяца, следующего за месяцем, в котором изменения возникли; о прекращении обработки — в течение десяти рабочих дней с даты прекращения.
Типичные ошибки при заполнении
- Цели обработки переписаны из чужого уведомления — заявлены цели, которых у компании нет, и не заявлена та, ради которой данные реально собираются.
- Не указаны все категории субъектов — забывают кандидатов на трудоустройство, бывших работников, родственников сотрудников, представителей контрагентов.
- Не отражена передача данных обработчику — облачный сервис, кадровый аутсорсинг, служба доставки, коллтрекинг — всё это передача по поручению.
- Не заявлена трансграничная передача, хотя данные хранятся или обрабатываются за пределами России; трансграничная передача требует отдельного уведомления и в ряде случаев разрешения.
- Уведомление подано, а документов нет — политика не утверждена, ответственный не назначен, работники не ознакомлены. Уведомление в этой ситуации становится источником сведений для проверки, а не защитой.
Что грозит за отсутствие в реестре
Ответственность за неуведомление уполномоченного органа о начале обработки персональных данных установлена частью 10 статьи 13.11 КоАП РФ: для юридических лиц штраф составляет от 100 000 до 300 000 рублей. Это самостоятельный состав, и он не заменяет ответственности за другие нарушения — отсутствие политики, обработку без согласия, невыполнение требований о локализации баз данных.
Практическая логика надзора выглядит так: отсутствие компании в реестре — это не «незамеченная мелочь», а самый простой способ выявить оператора, который не выстраивал комплаенс вообще. Поэтому за неуведомлением обычно следует проверка остальных документов, и последствия тяжелее одного штрафа.
Куда идти дальше
Вход в реестр и уведомление
- Уведомление Роскомнадзора об обработке персональных данных — состав сведений и порядок подачи;
- Вступление в реестр операторов персональных данных Роскомнадзора — сопровождение процедуры под ключ.
Базовые обязанности оператора
- Закон 152-ФЗ о персональных данных: что обязан оператор;
- Кто такой оператор персональных данных — когда компания становится оператором;
- Политика обработки персональных данных — обязательный документ, публикуемый на сайте;
- Разработка форм согласия на обработку ПДн по 152-ФЗ.
Проверки, штрафы, инциденты
- Штрафы за персональные данные — актуальные составы и размеры;
- Аудит соответствия 152-ФЗ: подготовка к проверке Роскомнадзора;
- Помощь при проверке Роскомнадзора;
- Предписание Роскомнадзора: как исполнить или обжаловать;
- Уведомление Роскомнадзора об утечке: сроки 24 и 72 часа.
Передача данных
Что входит в работу
- Проверка в реестре вашей компании и контрагентов, анализ актуальности сведений.
- Определение обязанности уведомить: разбор оснований, оценка длящегося нарушения, если обработка уже идёт.
- Подготовка уведомления на основе фактического описания процессов обработки, а не типового шаблона.
- Подача и сопровождение до внесения записи в реестр, ответы на запросы ведомства.
- Актуализация сведений — информационные письма при смене адреса, руководителя, ответственного, целей и категорий.
- Базовый пакет оператора — политика, приказы, формы согласий, перечень мест хранения, инструкции для работников.
Сроки и стоимость
Проверка по реестру — минуты. Подготовка уведомления занимает от нескольких дней до пары недель: время уходит не на форму, а на описание реальных процессов обработки и приведение внутренних документов в порядок. Сведения вносятся в реестр в течение тридцати дней с даты поступления уведомления (часть 4 статьи 22).
Стоимость зависит от объёма: разовая подача уведомления для компании с простой обработкой — минимальный формат; уведомление вместе с базовым пакетом документов оператора — средний; сопровождение при проверке или обжаловании штрафа считается отдельно. Цены не являются публичной офертой.
Вопросы и ответы
Мы маленькая компания с тремя сотрудниками. Нам точно надо в реестр?
Да. Обработка персональных данных работников — это обработка, а основание «только в рамках трудовых отношений» из закона исключено с 1 сентября 2022 года. Размер компании роли не играет.
Мы подавали уведомление ещё в 2019 году. Нужно что-то делать?
Скорее всего, да. Состав сведений после 2022 года расширился, и старые записи часто не содержат обязательных данных. Плюс за годы обычно меняются адрес, руководитель, ответственный и цели обработки — это самостоятельное основание направить информационное письмо.
Что будет, если подать уведомление сейчас, проработав несколько лет?
Формально обработка велась без уведомления, и это нарушение. Но подача до проверки прекращает длящееся нарушение и на практике оценивается принципиально иначе, чем ситуация, когда отсутствие в реестре выявляет надзорный орган.
Нужно ли подавать уведомление, если данные хранятся в зарубежном облаке?
Уведомление подаётся в любом случае, а хранение за рубежом дополнительно затрагивает требования о трансграничной передаче и о локализации баз данных граждан РФ. Это отдельный блок обязанностей, и его нужно оценивать до заключения договора с провайдером.
Получить консультацию
Назовите ИНН — проверим, есть ли компания в реестре операторов и насколько сведения соответствуют тому, что происходит на самом деле. Если записи нет, скажем прямо, какой объём работы нужен, чтобы закрыть вопрос без лишних документов.
Почта: law@vfs.consulting. Телефон: +7 916 419-16-66.