Как уведомить Роскомнадзор об обработке персональных данных

Уведомление Роскомнадзору об обработке персональных данных — это заявление по форме регулятора, которое компания подаёт через личный кабинет на pd.rkn.gov.ru до начала работы с данными посетителей сайта: имя, телефон, email из форм заявок. Обязанность распространяется почти на любой B2B-сайт с формой обратной связи, кроме случаев, прямо перечисленных в ст. 22 152-ФЗ.

что такое уведомление в Роскомнадзор и когда оно обязательно

Обязанность уведомлять Роскомнадзор закреплена в статье 22 Федерального закона №152-ФЗ «О персональных данных» (текст закона на КонсультантПлюс). Оператором персональных данных считается любая компания, которая собирает, хранит или передаёт данные физлиц — включая обычную заявку с сайта «имя плюс телефон плюс email». Подать уведомление нужно до начала обработки, то есть до момента, когда форма на сайте принимает первую заявку.

На практике это касается почти любого корпоративного сайта: формы заказа обратного звонка, калькулятора стоимости, подписки на рассылку, личного кабинета клиента. Как только данные автоматически попадают в CRM, на почту менеджера или в рекламный сервис — обработка считается автоматизированной, и исключения, которые освобождают от уведомления, здесь не работают.

кто освобождён от уведомления

• ✓компании, которые обрабатывают данные только своих сотрудников по трудовому договору, без передачи третьим лицам;
• ✓операторы, работающие исключительно с общедоступными источниками персональных данных — например, с открытыми справочниками;
• ✓компании, которые обрабатывают данные без использования средств автоматизации — то есть только на бумаге, без электронных форм и баз.

почему возникает отказ или возврат уведомления в Роскомнадзоре

Отдел продаж московской B2B-компании готовит тендерную заявку крупному заказчику. Юрист заказчика запрашивает выписку из реестра операторов персональных данных — а в реестре компании нет. Отдел спешно заполняет форму на pd.rkn.gov.ru за один вечер: копирует формулировки из чужого шаблона, ставит отметки в разделе «категории субъектов» наугад и указывает общий email вместо ответственного за обработку. Через несколько недель приходит требование уточнить сведения — но тендер уже закрыт, а повторная подача снова занимает время.

Роскомнадзор возвращает уведомление на доработку, когда цели обработки не соответствуют реально собираемым данным — например, заявлена «рассылка новостей», а формы на сайте собирают ИНН и паспортные данные для личного кабинета. Ту же реакцию вызывает неверно указанное или отсутствующее лицо, ответственное за организацию обработки, и занижение категорий персональных данных — скажем, не отмечена работа со сведениями о здоровье, если сайт медицинского центра принимает анамнез через форму записи. Формальная неточность в одном поле возвращает на доработку всю заявку целиком.

Пока уведомление не принято, компания официально не значится в реестре операторов — а это проверяют не только при плановой проверке Роскомнадзора, но и юротделы корпоративных заказчиков перед подписанием договора. Для B2B в Москве это конкретный риск: сорванный тендер, штраф по ст. 13.11 КоАП РФ и предписание устранить нарушение в короткий срок, а при неисполнении предписания — обращение регулятора в суд с требованием ограничить доступ к сайту до устранения нарушения.

как исправить ошибку в уведомлении и подать его заново

Прежде чем переподавать уведомление, соберите точный список того, что происходит на сайте, а не переписывайте старый текст. Пройдите по всем страницам, включая лендинги и поддомены, и выпишите каждую форму, виджет обратного звонка, чат и подписку — с указанием, какие поля они запрашивают и куда уходят данные.

1. ✓сверьте перечень целей обработки с тем, что реально делает компания с данными — продажи, поддержка, рассылка;
2. ✓укажите категории субъектов — клиенты, соискатели, посетители сайта — и категории данных без занижения;
3. ✓если данные хранятся на зарубежном сервере или в облачной CRM, отметьте трансграничную передачу и страну;
4. ✓назначьте приказом ответственного за обработку персональных данных и укажите его как контактное лицо;
5. ✓подайте исправленное уведомление через личный кабинет на pd.rkn.gov.ru и дождитесь включения компании в реестр операторов.

После этого проверьте, что политика конфиденциальности на сайте описывает те же данные и цели, что и уведомление. Расхождение между двумя документами снова привлечёт внимание при следующей проверке.

что делать, если ошибка повторяется после исправления

Если уведомление отклонили второй раз, проблема обычно не в тексте заявления, а в самом сайте: за время работы на нём появляются формы, которых нет в исходном списке — всплывающая заявка на скидку, форма подписки в футере, виджет обратного звонка от стороннего сервиса, пиксель ретаргетинга, который передаёт email в рекламный кабинет. Каждый такой канал — новый факт обработки персональных данных, который должен быть отражён и в уведомлении, и в политике конфиденциальности сайта.

Чаще всего пропускают:

• ✓формы на отдельных лендингах под рекламные кампании, не связанные с основным доменом;
• ✓виджеты чатов и обратного звонка от сторонних сервисов, которые сохраняют переписку на своих серверах;
• ✓квизы и калькуляторы, где email или телефон запрашивают на последнем шаге;
• ✓личный кабинет клиента на сайте, если в нём хранится история заказов и платёжные данные;
• ✓формы на поддоменах и старых версиях сайта, которые формально ещё доступны в интернете.

Точечная правка полей в личном кабинете РКН здесь не помогает — нужен полный список форм и интеграций на сайте, а собрать его вручную по всем страницам и поддоменам сложно. Мы закрываем эту задачу в аудите сайта по 9 направлениям: отдельный блок проверки — соответствие законодательству РФ, где фиксируем все формы сбора данных, сторонние скрипты и передачу данных за рубеж, а затем отдаём готовый список для корректного уведомления и политики конфиденциальности. Подробности — на странице аудита сайта по 9 направлениям.

как предотвратить проблемы с Роскомнадзором в будущем

Уведомление — не разовая бумага, а документ, который должен меняться вместе с сайтом. Несколько правил снижают риск повторного возврата:

• ✓назначьте приказом ответственного за обработку персональных данных и обновляйте его контакты в уведомлении при кадровых изменениях;
• ✓проверяйте уведомление в РКН каждый раз, когда на сайте добавляется новая форма, виджет или интеграция с CRM;
• ✓сверяйте политику конфиденциальности на сайте с фактическим текстом уведомления — оба документа должны описывать одни и те же данные;
• ✓фиксируйте, какие сторонние сервисы получают данные с сайта — аналитику, рекламные пиксели, облачные CRM — и указывайте трансграничную передачу, если сервер за рубежом;
• ✓перед крупным тендером или проверкой закладывайте время на аудит сайта заранее, а не за один вечер.

Регулярную проверку форм и интеграций проще делать через аудит сайта по 9 направлениям — так вы не пропустите новую форму между проверками.

сколько стоит привести сайт и уведомление в порядок

Разбор форм сайта, интеграций и трансграничной передачи данных — часть аудита сайта, а не отдельная разовая услуга: нужно вручную пройти по всем страницам и виджетам, а не просто прогнать сайт через сканер. Стоимость зависит от количества страниц, форм и интеграций конкретного сайта — актуальные цены и состав пакетов смотрите в тарифах ukved.ru. После аудита на руках готовый список форм и данных для уведомления в Роскомнадзор и обновлённая политика конфиденциальности — документ, который можно сразу подавать, а не абстрактная рекомендация.

❓ Частые вопросы

Нужно ли уведомлять Роскомнадзор, если сайт только показывает каталог без форм заявок?

Нет, если сайт не собирает и не хранит персональные данные посетителей — нет формы обратной связи, обратного звонка или подписки, уведомление не требуется. Как только на сайте появляется хотя бы одна форма с именем и телефоном, обязанность подать уведомление возникает.

Что будет, если не подать уведомление вовсе?

Роскомнадзор при проверке или по жалобе вправе выдать предписание и составить протокол по ст. 13.11 КоАП РФ, который влечёт штраф для юрлица. Дополнительный риск для B2B — отказ корпоративного заказчика от сделки при проверке контрагента, если компании нет в реестре операторов.

Как часто нужно обновлять уведомление в Роскомнадзоре?

Закон не задаёт фиксированную периодичность — обновлять нужно каждый раз, когда меняется состав обрабатываемых данных, цели обработки, ответственное лицо или появляется трансграничная передача. На практике это происходит после редизайна сайта или подключения новой CRM.

Входит ли Google Analytics или Яндекс Метрика в данные, которые нужно указывать в уведомлении?

Да, если счётчик передаёт идентифицирующие данные — email из форм, номер телефона и подобное. Такие интеграции нужно указать как передачу данных третьим лицам, а при зарубежном хранении — как трансграничную передачу.

Можно ли подать уведомление самостоятельно без юриста?

Технически да — форма на pd.rkn.gov.ru доступна любому оператору. Сложность не в самой подаче, а в том, чтобы точно перечислить все формы, виджеты и интеграции сайта: пропущенная форма подписки в футере — частая причина возврата уведомления на доработку.