Запрос «роскомнадзор уведомление об обработке персональных данных» собирает в Яндексе 9447 показов в месяц, «подать уведомление роскомнадзора об обработке персональных данных» еще 2413, «образец» 699. Замер по России от 21 сентября 2026 года. Две страницы первой десятки это сам портал ведомства, остальные восемь пересказывают порядок подачи с юридической стороны.
Юридическая сторона там разобрана неплохо. Не разобрана инженерная: половина полей формы требует сведений не о компании, а о ее инфраструктуре. Где физически стоит сервер с базой. Кто отвечает за помещение, в котором он стоит. Какие цели обработки создает счетчик аналитики. В учредительных документах этих ответов нет.
Дальше разбор именно этой части: кто обязан подавать, сколько стоит молчание, как проверить наличие записи и не перепутать ее отсутствие со сломанным поиском, что выяснить об инфраструктуре и чем различаются три пути подачи.
Кто обязан подавать и почему исключений больше нет
Часть 1 статьи 22 Федерального закона № 152-ФЗ в редакции от 26 июля 2026 года: оператор до начала обработки персональных данных обязан уведомить уполномоченный орган о своем намерении осуществлять такую обработку. Проверено на тексте закона 21 сентября 2026 года.
Ключевое слово здесь «до начала»: закон описывает предварительное уведомление о намерении, а не отчет о том, что уже делается. На практике его почти всегда подают задним числом, и это всплывает при заполнении поля с датой начала обработки.
Раньше действовал список исключений: обработка в рамках трудовых отношений или разового договора уведомления не требовала. С 30 мая 2025 года эти исключения отменены Федеральным законом № 233-ФЗ от 8 августа 2024 года, отдельного послабления для предпринимателей больше нет.
Порог входа в статус оператора ниже, чем кажется: его дают и форма обратной связи с именем и телефоном, и счетчик веб-аналитики, и рассылка по базе подписчиков.
Сколько стоит молчание
Часть 10 статьи 13.11 КоАП РФ отвечает за невыполнение или несвоевременное выполнение обязанности по уведомлению. Вилка штрафа: граждане от 5 до 10 тысяч рублей, должностные лица от 30 до 50 тысяч, юридические лица от 100 до 300 тысяч. Текст сверен с живой редакцией кодекса 21 сентября 2026 года.
Дальше идет примечание, которое обычно не цитируют, хотя оно меняет сумму в тридцать раз для целой категории бизнеса. Примечание 1 к той же статье: за правонарушения по частям 1.1 и 8-18 индивидуальные предприниматели несут ответственность как юридические лица.
Часть 10 входит в диапазон 8-18. Значит предприниматель за неподанное уведомление отвечает не по строке «граждане» с ее пятью тысячами, а по строке «юридические лица»: от 100 до 300 тысяч рублей.
Что здесь легко прочитать неверно
Предприниматель, увидев в таблице штрафов строку «граждане», считает риск равным 5-10 тысячам и откладывает подачу. Примечание 1 переводит его в строку юридических лиц, и настоящая вилка составляет 100-300 тысяч рублей.
Как проверить, есть ли уже запись
Реестр операторов открытый, поиск работает без регистрации: форма лежит на портале персональных данных ведомства, искать можно по ИНН и по наименованию. Здесь две ловушки, обе проверены на практике 9 сентября 2026 года.
Ловушка первая: пустой ответ не равен отсутствию записи. Поиск может не находить ничего и потому, что записи нет, и потому, что запрос ушел не так. Различить помогает контрольный опыт: тем же самым запросом ищется заведомо существующий оператор, чей ИНН известен. Вернулась карточка с номером приказа и датой начала обработки, значит поиск исправен и пустой ответ по своему ИНН достоверен. Не вернулась ничего, значит сломан поиск, а не реестр.
Ловушка вторая: портал отвечает разным клиентам по-разному. Запрос из скрипта со стандартным заголовком получает код 403, он же с браузерным заголовком отдает страницу и код 200. Автоматическую проверку это не отменяет, но заголовок задается явно, иначе кажется, что реестр недоступен.
Ограничение метода: реестр показывает только опубликованные записи. Поданное вчера и еще не обработанное уведомление в поиске не появится, потому что по части 4 статьи 22 на внесение сведений у ведомства есть тридцать дней.
Что выяснить об инфраструктуре до заполнения формы
Самый длинный блок формы посвящен базе данных: страна, адрес оборудования, организация, отвечающая за его хранение, и ее реквизиты. Компания, арендующая виртуальный сервер, этого обычно не знает.
-
Определить владельца диапазона адресов
IP-адрес сервера пробивается по базе RIPE. Оттуда берутся название сети, владелец диапазона и страна регистрации. Это дает имя хостинг-провайдера, даже если договор подписывался через посредника.
-
Найти провайдера в реестре операторов
Хостер почти наверняка сам числится оператором персональных данных. В его карточке реестра открыто лежат полное наименование, ИНН и юридический адрес, а это ровно те поля, которые просит форма.
-
Запросить адрес центра обработки данных письмом
Адрес площадки на сайте провайдера может отсутствовать: типовые страницы вида /dc и /datacenter нередко отдают 404. Поддержка выдает адрес по запросу, потому что такие письма приходят к ним регулярно.
-
Зафиксировать страну хранения
Поле про трансграничную передачу заполняется по факту. Серверы в России и отсутствие выгрузок за рубеж дают ответ «не осуществляется». Любой зарубежный сервис в цепочке обработки превращает это в отдельный блок формы.
Отдельно проверяется, где те же данные лежат помимо основной базы. Разбор канала заявок от 10 августа 2026 года шел сразу по трем местам: почтовое уведомление менеджеру, база сайта и журнал ошибок. Журнал оказался чист, база работала как хранилище под доступом, а письмо уходило с полным набором контактов открытым текстом. Перечень действий и способы обработки заполняются по фактической схеме, а не по нарисованной в документах.
Цели обработки, которые создает обычный сайт
Под каждой целью раскрывается свой набор категорий данных, субъектов, оснований и действий. Типовой корпоративный сайт порождает минимум две цели, и вторую регулярно забывают.
| Цель | Что ее создает | Что попадает в состав данных |
|---|---|---|
| Подготовка, заключение и исполнение договора | Форма обратной связи, заявка, бриф | Имя, почта, телефон, а также все, что человек сам написал в свободном поле задачи |
| Продвижение товаров, работ и услуг | Счетчик веб-аналитики, реклама, рассылка | Идентификаторы, собираемые метрическими программами, контакты подписчиков |
| Кадровый и бухгалтерский учет | Работники и исполнители по договорам подряда | Данные документов, реквизиты, сведения о выплатах |
Выделенная строка это самая частая недозаполненная цель. Счетчик аналитики ставят маркетологи, уведомление заполняет бухгалтер или юрист, и связь между этими фактами никто не проводит.
Свободное поле «опишите задачу» заслуживает отдельной строки в категориях данных: туда пишут название компании, должность, иногда телефон коллеги. Формально это «иные персональные данные», и расшифровка должна честно говорить, что состав такого поля оператором не ограничен. Подробнее о том, что собирает обычная форма, в материале про сбор персональных данных через форму заявки.
Два текстовых поля про меры защиты
Форма просит описать меры по статьям 18.1 и 19 закона: организационные отдельно, технические отдельно. Оба поля свободные, и именно в них чаще всего пишут общие слова.
Организационная часть перечисляет то, что должно существовать в виде документов и решений: назначенное ответственное лицо, опубликованная политика обработки, определенные актуальные угрозы безопасности, правила доступа, учет машинных носителей, порядок реагирования на инциденты с уведомлением ведомства в сроки части 3.1 статьи 21, внутренний контроль.
Техническая часть перечисляет то, что должно существовать в виде настроек: разграничение доступа по именным учетным записям, шифрование канала между браузером и сайтом на всех страницах, резервное копирование, антивирусная защита рабочих мест, регистрация действий с данными, хранение на серверах в России.
Два предостережения. Не указывайте меры, которых нет: политика обработки, упомянутая в тексте уведомления, должна быть опубликована на сайте до подачи. И библиотека шифрования веб-сервера сертифицированным средством криптографической защиты не является, поэтому отвечать «используются» на вопрос про такие средства из-за одного лишь защищенного соединения неверно.
Модель угроз, на которую ссылается организационная часть, это отдельный документ со своей процедурой. Что в нее входит, разобрано в материале про модель угроз безопасности персональных данных, а выбор уровня защищенности в материале про типы и уровни защищенности информационных систем.
Три пути подачи и что происходит дальше
Портал дает три способа отправки, и они не равнозначны по затратам.
| Путь | Что нужно | Нужна ли бумажная копия |
|---|---|---|
| Через портал госуслуг | Подтвержденная учетная запись | Не нужна |
| С усиленной квалифицированной подписью | Сертификат подписи и браузерный плагин криптопровайдера | Не нужна |
| На бумаге | Печать, подпись, отправка в территориальный орган по месту регистрации | Сама форма и есть бумага |
Первый путь самый короткий: ни покупки подписи, ни похода на почту, и при готовых данных уведомление уходит в тот же день. Сами формы утверждены приказом ведомства от 28 октября 2022 года № 180, электронная версия воспроизводит приложение № 1 к нему.
После отправки портал выдает код сформированного уведомления и ключ уведомления. Эту пару нужно сохранить: без нее повторно открыть свое уведомление и внести правки не получится, а правки понадобятся, потому что при смене адреса, ответственного лица или состава целей закон требует сообщать об изменениях.
И последнее про публичность. По части 4 статьи 22 сведения реестра общедоступны, кроме сведений о средствах обеспечения безопасности. Фамилия ответственного, его телефон и почта окажутся в открытой карточке. Личный мобильный туда ставить не обязательно, но указанный контакт обязан работать: по нему обращаются и ведомство, и субъекты данных.
Сколько это стоит и что можно посчитать заранее
Сама подача бесплатна: пошлины за уведомление нет ни на одном из трех путей. Платными бывают услуги вокруг нее, и здесь честный ответ такой: публичных прайсов на подготовку комплекта документов по 152-ФЗ у профильных сервисов найти не удалось, страницы с ценами на 21 сентября 2026 года либо отсутствуют, либо отдают 404. Ставить в таблицу неподтвержденные суммы нельзя, поэтому ниже только проверяемые величины.
| Величина | Значение | Источник |
|---|---|---|
| Срок внесения в реестр | 30 дней с даты поступления уведомления | Часть 4 статьи 22 закона № 152-ФЗ |
| Штраф за неподачу для предпринимателя | 100 000-300 000 ₽ | Часть 10 статьи 13.11 КоАП с учетом примечания 1 |
| Государственная пошлина | Не взимается | Портал персональных данных, все три пути подачи |
| Разбор инфраструктуры под поля формы | 2 500 ₽/ч, оплата по факту, без аванса | Публичная ставка |
Арифметика простая: подача не стоит ничего, неподача стоит от ста тысяч. Дорого обходится не форма, а поиск ответов про инфраструктуру и приведение мер защиты в соответствие с написанным в уведомлении.
Разбор ИИ-канала по выборке из 200 реальных текстов
Показываем, что нашли в вашей выборке: какие данные уходят наружу, через какие каналы и что закрывается регламентом, а что доработкой. 10 рабочих дней, 49 000 ₽. Пресейл-прогон бесплатный.
Если данные разъехались по нескольким системам и собрать их состав руками уже нельзя, это задача про интеграции между системами, а рутинные проверки состава данных закрываются в разделе автоматизация бизнес-процессов.
Вопросы и ответы
Нужно ли подавать уведомление, если на сайте только форма обратной связи
Да. Имя, почта и телефон в форме это персональные данные, и их сбор уже делает владельца сайта оператором. Прежние исключения, позволявшие не уведомлять при минимальной обработке, отменены с 30 мая 2025 года.
Что будет, если подать уведомление позже начала обработки
Закон требует уведомлять до начала обработки, и несвоевременное выполнение этой обязанности образует тот же состав, что и невыполнение. Подать с опозданием все равно лучше, чем не подавать: обязанность остается, а срок давности течет.
Обязательно ли покупать электронную подпись
Нет. Подтвержденной учетной записи на портале госуслуг достаточно, бумажная копия в этом случае не требуется. Подпись нужна тем, кто подает через криптоплагин или использует ее для других задач.
Где взять реквизиты организации, ответственной за хранение базы
У хостинг-провайдера. Владелец диапазона адресов определяется по базе RIPE, затем его полное наименование, ИНН и адрес берутся из открытой карточки в реестре операторов. Адрес самого центра обработки данных запрашивается письмом в поддержку.
Нужно ли что-то делать после включения в реестр
Да. При изменении сведений, указанных в уведомлении, подается уведомление об изменениях, а при прекращении обработки отдельное уведомление о прекращении. Для этого понадобятся код и ключ, выданные порталом при первой отправке.
Разберем, что писать в полях про инфраструктуру
Посмотрим, где лежат данные в вашем контуре, и подготовим фактуру для уведомления.
