Запрос «реестр операторов персональных данных» собирает в Яндексе 13 624 показа в месяц по России, «роскомнадзор реестр операторов персональных данных» еще 10 007. Замер за август 2026 года. В реестр идут за одним из двух: проверить свою компанию или посмотреть подрядчика, которому вот-вот отдадут базу клиентов.
Первый сценарий разобран в материале про уведомление в Роскомнадзор: как проверить наличие записи и что писать в полях формы. Здесь второй сценарий. Что реестр говорит о чужой компании, где у поиска слепые зоны и какие поля карточки стоит прочитать до подписания договора.
Что запись в реестре доказывает, а что нет
Часть 1 статьи 22 закона 152-ФЗ требует от оператора уведомить надзорный орган до начала обработки персональных данных. Прежние исключения, позволявшие молчать при минимальной обработке, отменены с 30 мая 2025 года законом 233-ФЗ. Практически это значит, что компания с формой обратной связи на сайте уже обязана быть в реестре.
Масштаб проверяется прямо на портале. На 22 сентября 2026 года в реестре значатся сведения о 2 651 718 операторах, тремя днями ранее их было 2 651 368. Прирост за три дня составил 350 записей, а в подвале страницы выдачи стоит отметка о последнем изменении с точностью до минуты. Реестр живой и обновляется ежедневно.
Часть 4 той же статьи делает сведения реестра общедоступными, за одним исключением: сведения о средствах обеспечения безопасности персональных данных не публикуются. Отсюда главное ограничение метода. Запись доказывает, что компания подала уведомление и что в нем написано. Работает ли защита данных в этой компании, из реестра не следует.
Запись в реестре это заявление оператора о себе, принятое ведомством. Проверять по ней стоит не качество защиты, а связность: сходятся ли заявленные цели и география с тем, что подрядчик рассказывает вам на встрече.
Поиск по ИНН и три его ловушки
Форма поиска открыта, регистрация не нужна: на портале персональных данных есть три поля, наименование, ИНН и регистрационный номер. Надежная точка входа одна, это ИНН. Остальные два способа дают ошибки, причем молча.
Ловушка первая: лимит выдачи. Портал прямо пишет на странице формы, что результат поискового запроса отображает информацию не более чем о 50 операторах. На частом названии или распространенной фамилии выдача упирается в потолок, нужная строка в нее не попадает, и отсутствие компании в списке ничего не означает.
Ловушка вторая: пустой ответ не равен отсутствию записи. Поиск может не находить ничего и потому, что записи действительно нет, и потому, что запрос ушел не так. Различает контрольный опыт: тем же самым запросом ищется заведомо существующий оператор с известным ИНН. Вернулась карточка, значит поиск исправен и пустой ответ по проверяемому ИНН достоверен.
Ловушка третья: срок внесения. Часть 4 статьи 22 дает ведомству 30 дней на внесение сведений в реестр. Уведомление, поданное на прошлой неделе, в публичном поиске еще не видно. Для проверки подрядчика это значит вот что: свежая компания может быть законопослушной и при этом отсутствовать в выдаче. Спросите дату подачи и код уведомления, по ним статус проверяется отдельным сервисом портала.
ИНН для проверки берется из реквизитов в договоре или счете, а если договора еще нет, из карточки компании на ее же сайте либо из открытых сведений налоговой службы. Отдельно стоит помнить про организационную форму: индивидуальный предприниматель попадает в реестр на общих основаниях, и поиск по его ИНН работает так же, как по ИНН юридического лица. Подрядчик в статусе предпринимателя от обязанности уведомлять не освобожден, исключений для него в законе не осталось.
Для автоматической проверки есть четвертая особенность, техническая. Запрос из скрипта со стандартным заголовком получает от портала код 403, тот же запрос с браузерным заголовком отдает страницу и код 200. Заголовок задается явно, иначе кажется, что реестр недоступен.
Строка выдачи и карточка оператора: это разные объемы данных
Здесь и находится то, мимо чего обычно проходят. Список результатов показывает пять полей. Регистрационный номер в этом списке кликабельный, и за ним открывается карточка, в которой полей тринадцать. Проверено 22 сентября 2026 года на записи 11-0187199, это карточка ПАО Сбербанк, внесенная приказом № 229 от 06.04.2011.
| Поле | Строка списка | Карточка оператора |
|---|---|---|
| Регистрационный номер | Есть | Есть |
| Наименование и ИНН | Есть | Есть |
| Основание внесения, номер и дата приказа | Есть | Есть |
| Дата регистрации уведомления | Есть | Есть |
| Дата начала обработки | Есть | Есть |
| Юридический адрес | Нет | Есть |
| Субъекты РФ, где идет обработка | Нет | Есть |
| Наличие шифровальных средств | Нет | Есть |
| Трансграничная передача | Нет | Есть |
| Страны нахождения базы данных | Нет | Есть |
| Описание мер по статьям 18.1 и 19 | Нет | Есть |
| Ответственный за организацию обработки, телефон и почта | Нет | Есть |
| Срок или условие прекращения обработки | Нет | Есть |
Восемь полей из тринадцати видны только в карточке. Именно они отвечают на вопросы, которые задают перед передачей данных подрядчику, и именно их не видит тот, кто ограничился списком выдачи.
Шесть строк карточки, которые читают перед договором
Порядок чтения такой, от самого информативного к второстепенному.
-
Трансграничная передача и страны нахождения базы
Два поля читаются вместе. Ответ «Да» означает, что оператор сам заявил вывоз данных за границу, и дальше уместен вопрос, попадут ли туда ваши клиенты. Ответ «Нет» рядом с зарубежной облачной платформой в презентации подрядчика это расхождение, которое стоит прояснить.
-
Дата начала обработки
Сравнивается с датой регистрации уведомления. Обработка, начатая заметно раньше уведомления, означает, что компания жила без записи в реестре и закрыла этот пробел позже.
-
Субъекты РФ, на территории которых идет обработка
Поле показывает географию. Подрядчик с распределенной командой и одним регионом в карточке заявил в реестре не то, как работает на самом деле.
-
Наличие шифровальных средств
Значение «Используется» это заявление о применении криптографии. Само по себе оно не доказывает ни класс средств, ни корректность внедрения, но дает предмет для разговора с техническим специалистом подрядчика.
-
Ответственный за организацию обработки
В карточке стоит имя человека, его телефон, почтовый адрес и электронная почта. Это готовый канал для запроса субъекта данных и точка входа для вашего юриста. Пустое или формальное значение здесь говорит об отношении к теме больше, чем описание мер.
-
Описание мер по статьям 18.1 и 19
Самое длинное поле карточки и самое осторожное в трактовке. Это текст, написанный самим оператором, и объем текста ни о чем не говорит. Читать его стоит на предмет конкретики: названы ли модель угроз, уровни защищенности, оценка эффективности мер и порядок реагирования на инциденты.
Дальше карточка сверяется с договором. Если подрядчик обрабатывает данные по вашему заданию, это поручение по части 3 статьи 6, и перед человеком отвечаете вы. Что именно требовать в таком договоре, разобрано в материале про обработку персональных данных по поручению. Если получатель берет данные под свои цели, это уже передача третьему лицу с другим набором оснований.
Чего в реестре нет
Границы метода честнее назвать сразу, иначе проверка превращается в самоуспокоение.
Первое. Сведения о средствах обеспечения безопасности закрыты частью 4 статьи 22, поэтому конкретных продуктов и их классов в карточке не будет никогда.
Второе. Реестр показывает то, что оператор заявил, а не то, что он делает. Проверку фактического состояния закрывает аудит обработки персональных данных по вашему контуру, а не чтение чужой карточки.
Третье. Актуальность сведений зависит от самого оператора: изменения вносятся отдельной формой, и карточка трехлетней давности может описывать компанию, которая с тех пор переехала в другое облако.
Четвертое. Отношения поручения в реестре не видны. По карточке нельзя понять, кому подрядчик сам передает данные и какими субподрядчиками пользуется. Этот вопрос закрывается только договором и перечнем в нем.
Сколько стоит проверить контрагента
Проверка благонадежности это отдельный рынок с подписной моделью. Цены ниже сняты с живых страниц 22 сентября 2026 года.
| Инструмент | Цена | Что закрывает |
|---|---|---|
| Контур.Фокус, тариф Базовый | 31 155 ₽ в год | Проверка российских контрагентов, выписки, мониторинг до 30 компаний |
| Контур.Фокус, тариф Премиум | 82 770 ₽ в год | Мониторинг до 1000 компаний, анализ связей, проверка физлиц |
| Контур.Фокус, тариф Корпорация | 115 000 ₽ в год | Большой объем проверок и сложная структура группы |
| СПАРК | Публичной цены на странице тарифов нет, адрес отдал 404 | Не проверено |
| Реестр операторов персональных данных | Бесплатно, без регистрации | Факт уведомления, география обработки, трансграничная передача, ответственный |
| Разбор своего контура по часам | 2 500 ₽/ч, оплата по факту, без аванса | Где лежат данные в вашей инфраструктуре и что писать в собственном уведомлении |
Вывод из таблицы простой. Платный сервис отвечает на вопрос о финансовой и юридической благонадежности компании. Вопрос «уведомил ли этот подрядчик надзорный орган и что он там про себя написал» закрывается бесплатно, за пару минут, и при этом почти никогда не задается.
Разбор ИИ-канала по выборке из 200 реальных текстов
Показываем, что нашли в вашей выборке: какие данные уходят наружу, через какие каналы и что закрывается регламентом, а что доработкой. 10 рабочих дней, 49 000 ₽. Пресейл-прогон бесплатный.
Вопросы и ответы
Как проверить компанию в реестре операторов персональных данных
Открыть форму поиска на портале персональных данных надзорного органа, ввести ИНН и нажать поиск. Найденная строка содержит регистрационный номер, он кликабельный: за ним открывается карточка с тринадцатью полями, включая географию обработки и трансграничную передачу. Регистрация и оплата не нужны.
Компании нет в реестре, значит она нарушает закон
Не обязательно. Часть 4 статьи 22 дает 30 дней на внесение сведений, поэтому недавно поданное уведомление в публичном поиске еще не отображается. Вдобавок поиск по наименованию ограничен 50 записями и может не показать нужную строку. Достоверным считается только поиск по ИНН при живом контрольном опыте на заведомо существующем операторе.
Что важнее всего смотреть в карточке подрядчика
Трансграничную передачу и страны нахождения базы данных, дату начала обработки в сравнении с датой уведомления и контакты ответственного за организацию обработки. Эти поля чаще всего расходятся с тем, что подрядчик рассказывает на встрече, и расхождение стоит прояснить до подписания.
Можно ли по реестру понять, насколько хорошо защищены данные
Нет. Сведения о средствах обеспечения безопасности персональных данных прямо исключены из общедоступных частью 4 статьи 22. Поле с описанием мер по статьям 18.1 и 19 пишет сам оператор, и это заявление, а не результат проверки.
Нужно ли проверять реестр, если с подрядчиком уже подписан договор поручения
Да. По части 5 статьи 6 перед человеком за обработку отвечает оператор, то есть вы, а не исполнитель. Запись подрядчика в реестре и заявленная им география обработки это часть той картины, за которую спросят с вас.
Посмотрим, что писать в вашей карточке оператора
Разберем, где в вашем контуре лежат персональные данные и какие цели обработки создает сайт.
Кто какую часть работы ведет
Чтение реестра это работа на десять минут, и она делается своими силами. Отдельная задача начинается там, где нужно ответить, какие данные и через какие интеграции реально ходят внутри вашей системы: этим занимается разбор контура, а рутинные сверки состава данных закрываются через автоматизацию бизнес-процессов и настройку интеграций между системами. Полноту автоматического обнаружения персональных данных мы не гарантируем и пишем это в договор: машина размечает выборку, решение по спорным местам принимает специалист.
Если данные приходят через сайт, начните с состава полей формы и путей заявки: как это устроено, разобрано в материале про сбор персональных данных на сайте.
