Уведомление в Роскомнадзор об обработке персональных данных: как подать и что писать в форме

Оператор обязан уведомить Роскомнадзор до начала обработки персональных данных. Оператором закон называет того, кто решает, какие данные собирать и зачем. Если на сайте есть форма заявки, это владелец сайта: компания, предприниматель или самозанятый. В списке «Тип оператора» в форме есть и «Индивидуальный предприниматель», и «Физическое лицо (самозанятый)».

Исключений в части 2 статьи 22 осталось три: государственные системы, созданные для защиты безопасности государства и общественного порядка, транспортная безопасность и обработка исключительно без средств автоматизации. Заявка, которая приходит с сайта на почту или в CRM, обрабатывается автоматизированно, поэтому сайту ни одно из них не подходит.

Сначала проверьте, не подано ли уведомление раньше. Реестр операторов открыт, поиск работает по ИНН. Если запись есть, новое уведомление не нужно: его подают однократно. Нужно сверить запись с тем, что происходит сейчас, и при расхождениях подать уведомление об изменении сведений. О нём ниже.

За неподанное или опоздавшее уведомление часть 10 статьи 13.11 КоАП устанавливает штраф от 100 до 300 тысяч рублей. Для организаций и предпринимателей сумма одинаковая.

Форма длинная, и часть ответов нужно выяснить до того, как её открывать. Соберите заранее:

• реквизиты так, как они записаны при регистрации: полное наименование или ФИО, ИНН, ОГРН или ОГРНИП, адрес с индексом, коды ОКВЭД, ОКПО, ОКФС, ОКОГУ, ОКОПФ;
• список целей, для которых вы собираете данные, и для каждой цели перечень данных и людей, чьи это данные;
• где физически находится база с заявками: страна, адрес дата-центра и сведения о компании, которой он принадлежит;
• кто отвечает за организацию обработки данных: ФИО, телефон, почтовый адрес и электронная почта;
• дату, с которой данные фактически собираются;
• какие меры защиты данных действуют на самом деле.

Адрес дата-центра и реквизиты его владельца нужно запросить у хостинг-провайдера, лучше письменно. Список целей и данных получится из карты, о которой шла речь в первой статье: какие формы есть на сайте, что в них спрашивают и куда уходит заявка.

Форма одна, различается только то, как вы подтверждаете, что уведомление отправили именно вы. Способы перечислены на странице электронных форм.

При входе через Госуслуги часть сведений об операторе подставится автоматически, и исправить их в форме нельзя. Инструкция отдельно предупреждает: при входе нужно выбрать ту организацию, за которую вы подаёте уведомление, а не личный профиль.

Если подписываете электронной подписью не сами, а по доверенности, к форме прикладывают файл машиночитаемой доверенности и файл подписи к ней. Если доверенность не нужна, отмечают галочку «Уведомление будет подписано лицом, имеющим право действовать без доверенности от имени оператора».

Поля со звёздочкой обязательны. Ниже разделы идут в том порядке, в каком они стоят в форме.

Сведения об операторе

Инструкция требует писать без сокращений: так, как указано в регистрационных документах, в паспорте и в адресном справочнике. Адрес не печатают, а выбирают из справочника ФИАС; вручную вводятся только дом, корпус, строение, офис. Если нужного адреса нет в списке, инструкция советует проверить его на fias.nalog.ru.

В телефоне должно быть не меньше 11 цифр. В поле «Регионы обработки» указывают регионы, где оператор зарегистрирован и где у него есть подразделения; можно отметить «Все субъекты Российской Федерации».

Цели обработки персональных данных

Это главная часть формы. Цель выбирают из выпадающего списка; если подходящей нет, выбирают «иная» и вписывают одну конкретную цель. Инструкция поясняет, что цель — это фактическая деятельность, в рамках которой обрабатываются данные.

Для каждой цели заполняют пять блоков.

Категории персональных данных. Отмечают галочками всё, что собирается для этой цели: фамилия, имя, отчество, номер телефона, адрес электронной почты и так далее. В списке есть строка «сведения, собираемые посредством метрических программ»: она относится к счётчикам посещений. Специальные категории (например, сведения о состоянии здоровья) и биометрия вынесены в отдельные группы.

Категории субъектов. Чьи это данные: «Клиенты», «Посетители сайта», «Соискатели», «Работники», «Контрагенты» и другие. Если нужной категории нет, выбирают «Иные категории субъектов» и описывают словами.

Правовое основание. Отмечают один из случаев, перечисленных в части 1 статьи 6 закона: согласие человека, исполнение договора с ним или заключение договора по его инициативе, обязанности по закону и другие. Здесь инструкция делает оговорку, на которой часто ошибаются: сам закон № 152-ФЗ правовым основанием не является. Основание — это конкретный случай из списка.

Перечень действий. Что вы делаете с данными: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, блокирование, удаление, уничтожение. Отмечают то, что действительно происходит.

Способы обработки. Три выпадающих списка: автоматизированная, неавтоматизированная или смешанная; с передачей по внутренней сети или без; с передачей по сети Интернет или без.

Если целей несколько, для каждой нажимают «Добавить цель обработки» и заполняют те же пять блоков заново. Заявки с сайта, рассылка и подбор сотрудников — три разные цели с разными данными и основаниями.

Меры защиты и шифрование

В поле «Описание мер, предусмотренных статьями 18.1 и 19» описывают организационные и технические меры, которые защищают данные от постороннего доступа, изменения и уничтожения. В поле «Средства обеспечения безопасности» перечисляют технические средства. Оба поля заполняются словами, вариантов для выбора нет. Сведения о средствах защиты в открытую часть реестра не попадают.

Про шифровальные средства форма спрашивает отдельно: используются или нет. Если используются, указывают класс, наименование, изготовителя и серийные номера.

Ещё одно текстовое поле стоит ближе к концу формы: «Сведения об обеспечении безопасности персональных данных в соответствии с требованиями, установленными Правительством РФ». По инструкции в нём перечисляют меры, которые оператор принимает по постановлению Правительства № 1119 от 1 ноября 2012 года.

Писать в этих полях нужно то, что делается на самом деле. Если описанных мер нет, уведомление будет расходиться с действительностью. Этот раздел стоит заполнять вместе с тем, кто обслуживает сайт и серверы.

Ответственный за организацию обработки

Указывают ФИО человека или наименование организации, телефон, почтовый адрес и электронную почту. Форма предупреждает прямо на странице: эти сведения общедоступны, их увидит любой, кто откроет вашу запись в реестре. Поэтому сюда пишут рабочие контакты.

Дата начала и срок

«Дата начала обработки» — фактическая дата, с которой данные собираются. Инструкция допускает, что она совпадает с датой регистрации компании, ИП или статуса самозанятого.

В поле «Срок или условие прекращения обработки» выбирают одно из двух: дату окончания или условие, при котором обработка прекратится. Условие записывают словами.

Трансграничная передача и место базы данных

На вопрос о трансграничной передаче отвечают «осуществляется» или «не осуществляется». Если данные передаются за рубеж, по части 3 статьи 12 закона до начала передачи подают ещё одно, отдельное уведомление.

В блоке «Сведения о местонахождении базы данных» указывают страну и адрес дата-центра. Затем отвечают, собственный ли это дата-центр. Если нет, заполняют сведения об организации, которая отвечает за хранение: тип, наименование, ОГРН, ИНН, страну и адрес. Баз может быть несколько, для каждой добавляют свою запись.

Блок про государственные информационные системы

Раздел «Сведения о лицах, имеющих доступ и (или) осуществляющих на основании договора обработку персональных данных, содержащихся в государственных и муниципальных информационных системах» относится только к владельцам и операторам таких систем. Инструкция говорит, что остальным этот набор полей нужно удалить кнопкой «Удалить» внизу блока.

Исполнитель

В конце указывают, кто заполнил и отправил форму: ФИО, должность, почту и телефон. Это не обязательно ответственный за обработку данных. Если уведомление подписывается электронной подписью, здесь указывают того, кому подпись принадлежит.

После отправки форма показывает номер и ключ уведомления. Инструкция предупреждает дважды: страница с номером, ключом и кнопками «Распечатать» и «PDF версия» открывается один раз. Вернуться к ней и посмотреть отправленное уведомление потом нельзя. Сохраните номер, ключ и PDF сразу.

То же относится к черновику. Форму можно сохранить, не отправляя, но ссылка на черновик тоже показывается один раз.

Если вы выбрали бумажный способ, уведомление нужно распечатать, подписать и отправить в территориальный орган Роскомнадзора по месту регистрации. При подаче через Госуслуги или с электронной подписью бумага не нужна, а подтверждение приходит на электронную почту.

Сведения вносят в реестр в течение тридцати дней. Статус можно узнать на странице «Проверка состояния уведомления» по номеру и ключу. Уведомление могут отклонить или вернуть на уточнение. Тогда в новой форме есть действие «Заполнить форму данными из ранее направленного уведомления»: оно подставляет прежние ответы по номеру и ключу, и вводить всё заново не приходится. Если прошло тридцать дней, а записи в реестре нет, инструкция советует обратиться в электронную приёмную Роскомнадзора.

Уведомление о намерении подают один раз, а вот сведения в нём приходится поддерживать. По части 7 статьи 22 об изменениях сообщают не позднее 15-го числа месяца, следующего за тем, в котором они произошли. Для сайта это, например, новый хостинг, новая цель вроде рассылки, новые данные в формах или смена ответственного.

Для этого на портале есть отдельная форма. В ней указывают регистрационный номер записи в реестре и дату изменения, а заполняют только те поля, которые меняются. Число таких уведомлений не ограничено.

Если обработка прекращена совсем, об этом сообщают в течение десяти рабочих дней через форму уведомления о прекращении. Роскомнадзор исключает запись из реестра в течение тридцати дней.

Все пункты ниже взяты из пометок «Внимание!» в инструкции Роскомнадзора.

1. В качестве правового основания указан закон № 152-ФЗ. Нужен конкретный случай из части 1 статьи 6.
2. Сведения об операторе написаны с сокращениями или не так, как в регистрационных документах.
3. При входе через Госуслуги выбран личный профиль, а не организация, за которую подаётся уведомление.
4. Не удалён блок про государственные и муниципальные информационные системы.
5. Не сохранены номер и ключ уведомления или ссылка на черновик. Второй раз они не показываются.
6. В полях исполнителя указан не тот человек, которому принадлежит электронная подпись.
7. Не учтено, что ФИО и контакты ответственного будут видны в открытом реестре.

Проверено 6 октября 2026 года.

• Статья 22 закона № 152-ФЗ, редакция от 26 июля 2026 года.
• Статья 13.11 КоАП, редакция от 4 августа 2026 года.
• Портал персональных данных Роскомнадзора: электронные формы, форма уведомления, реестр операторов, проверка состояния.
• Инструкция Роскомнадзора «О заполнении электронной формы уведомления», 2025 год.