Уведомление в Роскомнадзор: кому нужно и как подать быстро
С 30 мая 2025 года штраф за неподачу уведомления в Роскомнадзор вырос до 300 000 ₽. С 1 сентября добавились новые требования к согласиям. Многие руководители не понимают, относится ли это к ним. Здесь я разберу риски, покажу кейсы «ЛЕГАС», дам готовые алгоритмы. Меня зовут Петухов Олег Анатольевич, руководитель «ЛЕГАС», и за 25 лет практики я видел, как формальное незнание закона обходится бизнесу в миллионы.
Риски и ответственность: три взгляда
Взгляд юриста
Правовая основа - ч. 1 ст. 22 Закона № 152-ФЗ: оператор обязан уведомить Роскомнадзор до начала обработки ПД. С 2022 года (Закон № 266-ФЗ) исключения для данных сотрудников отменили. Ответственность - ч. 10 ст. 13.11 КоАП РФ (Закон № 420-ФЗ). Штрафы для ИП и юрлиц - 100 000–300 000 ₽. Срок давности - 1 год (ст. 4.5 КоАП РФ).
Типичная ошибка - «мы только ФИО собираем». Это исключение отменили в 2022 году. Любая форма на сайте, учёт в 1С - автоматизированная обработка, уведомление обязательно.
Судебная практика. В деле А40-342669/25 РКН оштрафовал компанию на 30 000 ₽ за отсутствие политики ПД. Суд отклонил довод о малозначительности: угроза - в пренебрежении обязанностями.
Кейс «ЛЕГАС». IT-компания из Вологды обрабатывала данные через CRM без уведомления. Мы подали через pd.rkn.gov.ru, подготовили локальные акты. Благодаря оперативности - предупреждение вместо штрафа в 200 000 ₽.
Что сделать:
Проверьте себя в реестре на pd.rkn.gov.ru
Подготовьте уведомление по форме приказа РКН № 180
Подайте через Госуслуги или портал персональных данных
Разместите политику ПД на сайте
Назначите ответственного приказом
Взгляд специалиста по информационной безопасности
Данные в 1С, CRM, почте - автоматизированная обработка (ст. 3 Закона № 152-ФЗ). Трансграничная передача (ст. 12 Закона № 152-ФЗ) требует отдельного уведомления. Штраф за нарушение локализации - до 6 млн ₽ (ч. 8 ст. 13.11 КоАП РФ).
Роботы РКН сканируют сайты автоматически. В деле 2025–2026 годов компанию оштрафовали на 75 000 ₽ за Метрику и Google Analytics без правовых оснований.
Кейс «ЛЕГАС». Интернет-магазин использовал зарубежную CRM. Мы перевели на отечественные аналоги, подали уведомление. При проверке - ни одного штрафа.
Что сделать:
Инвентаризируйте все системы хранения ПД
Проверьте, нет ли зарубежных сервисов в обработке
Классифицируйте ИСПДн по приказу ФСТЭК/ФСБ
Убедитесь, что базы данных в РФ
Задокументируйте меры защиты по ст. 18.1 и 19 Закона № 152-ФЗ
Взгляд руководителя
Это управленческий и репутационный риск. Нет в реестре - сигнал контрагентам: вы не контролируете процессы. Неуведомление - до 300 000 ₽, неуведомление об утечке - до 3 млн ₽ (ч. 11 ст. 13.11 КоАП РФ).
В определении ВС РФ от 21.01.2026 № 5-АД25-119-К2: оператор отвечает за утечку даже через подрядчика.
Кейс «ЛЕГАС». Производственная компания не подавала уведомление с 2019 года. Мы провели аудит, подали уведомление, обнаружили отсутствие договора с подрядчиком по кадрам. Подготовили пакет договоров.
Что сделать:
Запросите у ответственного статус уведомления
Проверьте договоры с подрядчиками на обработку ПД
Утвердите регламент внутреннего контроля
Включите проверку ПД в чек-лист запуска продуктов
Уведомление в Роскомнадзор: изменения законодательства
Закон № 420-ФЗ от 30.11.2024 (с 30.05.2025): ввёл ч. 10 ст. 13.11 КоАП (штраф за неуведомление) и ч. 11 (штраф за неуведомление об утечке - до 3 млн ₽). Оборотные штрафы за повторные утечки - от 1 до 3% выручки. Подробнее - в .
Закон № 156-ФЗ от 24.06.2025 (с 1 сентября 2025): согласие на ПД - отдельный документ, включить в договор нельзя. Штраф - до 700 000 ₽. Подробнее - на и . Ознакомьтесь с нашей .
Вопрос - ответ
Нужно ли подавать уведомление, если обрабатываю только данные сотрудников?
Да. С 2022 года исключение отменили (Закон № 266-ФЗ). Кадровый учёт в 1С - автоматизированная обработка (ч. 1 ст. 22 Закона № 152-ФЗ).
В постановлении Первого кассационного суда от 12.03.2025 суд поддержал РКН: локальные акты не освобождают от ответственности без реального контроля.
Алгоритм:
Проверьте себя в реестре на pd.rkn.gov.ru
Заполните форму уведомления (приказ РКН № 180)
Укажите цели: кадровый учёт, подбор персонала
Подайте через Госуслуги
Сохраните подтверждение
Подайте уведомление сегодня - завтра может быть проверка.
Что грозит, если данные изменились, а уведомление не обновлено?
Нужно подать информационное письмо до 15-го числа следующего месяца (ч. 7 ст. 22 Закона № 152-ФЗ). Новое «полное» уведомление не требуется.
По делу А40-342669/25 суд учёл повторность - компания уже была оштрафована, суд назначил максимальный штраф.
Алгоритм:
Составьте список изменений: адрес, ответственный, цели
Заполните форму «уведомление об изменении сведений»
Подайте через тот же канал, что и первичное
Проверьте карточку в реестре через 2–3 недели
Поставьте напоминание на 10-е число каждого месяца.
Нужно ли уведомлять об утечке данных?
Да. Срок - 24 часа с обнаружения (п. 3.1 ст. 21 Закона № 152-ФЗ). В течение 72 часов - результаты расследования. Штраф - до 3 млн ₽ (ч. 11 ст. 13.11 КоАП РФ).
В решении АС Кемеровской области от 19.01.2026 № А27-27136/2025 суд заменил штраф предупреждением - компания сообщила в течение 24 часов, нарушила впервые. Оперативность спасает.
Алгоритм:
Зафиксируйте факт актом расследования
В течение 24 часов подайте уведомление через pd.rkn.gov.ru
Укажите характер инцидента, категории и количество субъектов
В течение 72 часов направьте результаты расследования
Уведомите субъектов ПД (ч. 1 ст. 18.1 Закона № 152-ФЗ)
Подача «запоздалого» уведомления лучше молчания - но неверное оформление может стать недостоверными сведениями.
Можно ли обрабатывать ПД без уведомления, если всё на бумаге?
Теоретически - да (п. 8 ч. 2 ст. 22 Закона № 152-ФЗ). Практически - почти нереально. Любой компьютер, Excel - автоматизация (ПП РФ № 687).
В деле СНТ суд указал: сбор данных через сайт - автоматизация, уведомление требуется.
Алгоритм:
Проверьте: есть ли в работе хотя бы один компьютер
Если да - уведомление обязательно
Если всё на бумаге - оформите информирование сотрудников (п. 6 ПП РФ № 687)
Утвердите порядок хранения бумажных документов
Не пытайтесь «натянуть» исключение - суды трактуют его предельно узко.
Частые ошибки
Подача после проверки. Не спасёт - РКН фиксирует дату. Подавайте до начала обработки.
Игнорирование изменений. Сменился адрес - подайте письмо до 15-го числа.
Google Analytics без оснований. Проверьте аналитику и оформите согласия.
Согласие в договоре. С 1 сентября - отдельный документ, иначе штраф до 700 000 ₽.
Нет локальных актов. Политика, положение, приказ - минимум.
Заключение
Уведомление в Роскомнадзор - не формальность, а базовое требование закона, игнорирование которого стоит от 100 000 до миллионов рублей. Штрафы выросли кратно, суды встают на сторону регулятора, роботы РКН сканируют сайты автоматически. Проверьте себя в реестре операторов прямо сегодня. Если нужна помощь - обращайтесь в «ЛЕГАС», мы закроем всё под ключ.
Действуйте:
Поделитесь статьёй с коллегами
Подпишитесь на legascom.ru
