Уведомление в Роскомнадзор о персданных: кому нужно и что будет без него

Уведомление в Роскомнадзор об обработке персональных данных обязаны подать почти все компании и ИП, у которых на сайте есть форма с именем, телефоном или e-mail посетителя — интернет-магазины, сервисы заявок, лендинги с квизами. Без уведомления Роскомнадзор вправе оштрафовать компанию, потребовать объяснений и включить сайт в реестр нарушителей, что срывает участие в тендерах и работу с крупными заказчиками.

кому нужно подавать уведомление в Роскомнадзор

Оператором персональных данных по 152-ФЗ становится любая компания или ИП, которые обрабатывают имя, телефон, e-mail или другие данные посетителя сайта — с помощью формы заявки, обратного звонка, личного кабинета или рассылки. Форма связи «оставьте телефон, перезвоним» уже создаёт обязанность уведомить Роскомнадзор, и подать уведомление нужно до начала обработки, а не после первого обращения клиента.

Уведомление обязательно нужно, если на сайте есть хотя бы один из элементов:

• ✓форма заказа или обратного звонка с именем и телефоном;
• ✓форма подписки на рассылку;
• ✓личный кабинет или регистрация с email;
• ✓онлайн-запись, квиз или чат-бот, который запрашивает контакты.

когда уведомление не требуется

Закон отдельно перечисляет исключения в статье 22 152-ФЗ: обработка данных только для трудовых отношений без передачи третьим лицам, работа с общедоступными данными, которые субъект сам разместил в открытом доступе, обработка без использования средств автоматизации — то есть без баз данных, CRM и форм на сайте, — и разовая обработка для оформления пропуска. Сайт с любой онлайн-формой попадает под автоматизированную обработку, поэтому для интернет-бизнеса эти исключения почти никогда не действуют.

почему возникает путаница с обязанностью уведомлять Роскомнадзор

Директор небольшой мебельной компании в Москве запускает сайт с формой «рассчитать стоимость проекта»: имя, телефон, город. Бизнес маленький, восемь человек в штате, паспортные данные никто не собирает — и директор уверен, что 152-ФЗ его не касается. Через год на почту компании приходит письмо от Роскомнадзора с запросом сведений об операторе персональных данных.

Но закон не делает различий между «маленьким» и «большим» сбором данных: имя и телефон в форме заявки — это уже персональные данные, а обработка началась в день, когда форма заработала на сайте, а не в день, когда кто-то вспомнил про закон. Путаница чаще всего возникает именно здесь — владелец сайта путает объём данных (паспорт, СНИЛС) с самим фактом их обработки, хотя достаточно телефона и имени.

Пока уведомление не подано, компания рискует не столько штрафом, сколько сорванным контрактом. Крупные заказчики и участники тендеров по 44-ФЗ и 223-ФЗ перед подписанием договора проверяют контрагента в реестре операторов персональных данных Роскомнадзора — если компании там нет, служба безопасности заказчика возвращает договор на доработку, а сделка срывается на пустом месте.

что будет, если не подать уведомление вовремя

Роскомнадзор проводит проверки по жалобам субъектов персональных данных, по плану или после запроса от других ведомств. Если оператор не зарегистрирован, а данные обрабатываются, компании направляют запрос предоставить сведения — на ответ обычно даётся около десяти рабочих дней.

Дальше возможны три сценария: предписание устранить нарушение и подать уведомление задним числом; протокол по статье 13.11 КоАП РФ за обработку персональных данных с нарушением требований закона; в отдельных случаях — обращение Роскомнадзора в суд с требованием ограничить доступ к сайту, если нарушение системное и не устраняется после предписания. Полный перечень обязанностей оператора закреплён в 152-ФЗ «О персональных данных».

Для B2B-компании в Москве репутационный ущерб обычно ощутимее штрафа: отсутствие в реестре видно контрагенту за одну проверку, и это повод отказать в сотрудничестве без объяснений — уже после того, как переговоры заняли недели.

как исправить ситуацию, если уведомление не подано

Если уведомления в реестре Роскомнадзора нет, а сайт уже собирает данные, порядок восстановления такой:

1. ✓проверить сайт целиком: какие формы, cookies, чат-виджеты и счётчики реально собирают данные — часто выясняется, что их больше, чем помнит владелец;
2. ✓определить цели обработки, категории субъектов (клиенты, соискатели, подписчики) и перечень данных по каждой форме;
3. ✓заполнить и подать уведомление через личный кабинет на pd.rkn.gov.ru — электронной подписи для этого не требуется, подойдёт и бумажное заявление почтой;
4. ✓дождаться внесения в реестр — обычно это занимает около месяца;
5. ✓синхронизировать данные из уведомления с политикой конфиденциальности, опубликованной на сайте: цели и перечень данных должны совпадать дословно.

Пятый пункт пропускают чаще всего: уведомление подано отдельно, политика на сайте написана отдельно, и при проверке два документа противоречат друг другу. Если непонятно, что именно собирает сайт технически — формы, скрипты аналитики, сторонние виджеты, — эту часть закрывает аудит сайта по 9 направлениям: в отчёте видно каждую форму и каждый счётчик, которые нужно указать в уведомлении.

что делать, если ошибка повторяется

Уведомление подают один раз, но сайт за это время не стоит на месте: добавляется онлайн-оплата, счётчик Яндекс.Метрики с расширенной гео-аналитикой, чат-бот от стороннего сервиса, рассылка через внешнюю CRM на зарубежном сервере. Каждое такое изменение расширяет фактическую обработку данных, но уведомление в реестре Роскомнадзора остаётся прежним — поэтому при повторной проверке несоответствие всплывает снова, даже если первое замечание уже устранили.

Отдельная частая причина повторных нарушений — трансграничная передача данных: если CRM, email-рассылка или хостинг физически находятся за пределами России, это нужно отдельно указывать в уведомлении, и про этот пункт забывают почти всегда.

Разовое исправление проблему не закрывает: нужен процесс, который сверяет фактический функционал сайта с текстом уведомления при каждом изменении, а не раз в несколько лет. На практике это работает как чек-лист: подключили новый виджет или сервис аналитики — сначала проверили, попадает ли он под уже поданное уведомление, и только потом включили на боевом сайте.

как предотвратить проблемы с Роскомнадзором в будущем

Держать уведомление в актуальном состоянии проще, если встроить проверку в обычный цикл обновления сайта, а не вспоминать о ней после жалобы или проверки.

Что снимает основную часть риска:

• ✓назначить в компании одного ответственного за персональные данные — даже на полставки, но с полномочиями согласовывать новые формы и виджеты;
• ✓обновлять уведомление и политику конфиденциальности одновременно с любым изменением сайта, которое добавляет сбор данных;
• ✓раз в год проводить независимую проверку сайта на соответствие 152-ФЗ вместе с техническим аудитом, а не полагаться на память команды;
• ✓хранить историю версий уведомления и политики — при проверке Роскомнадзор смотрит и на то, совпадала ли документация с сайтом в прошлом.

что проверяет технический аудит по 152-ФЗ

При аудите сайта по этому направлению смотрят на три вещи: какие формы и виджеты реально собирают данные, опубликована ли политика конфиденциальности и совпадает ли она текстуально с уведомлением, стоит ли на сайте баннер согласия на cookies там, где он обязателен. Результат — список конкретных несоответствий с привязкой к странице сайта, а не общая рекомендация «приведите документы в порядок». Эту часть можно заказать вместе с остальными направлениями аудита сайта или отдельно.

Такую проверку удобно совмещать с общим техническим аудитом сайта — она не требует отдельного визита специалиста и обычно занимает те же сроки, что и аудит по остальным направлениям. Стоимость и формат разбора — на странице цены и тарифы.

❓ Частые вопросы

Нужно ли подавать уведомление в Роскомнадзор, если сайт — обычная визитка без форм?

Если на сайте нет форм, личного кабинета и счётчиков, которые передают данные посетителя, отдельное уведомление обычно не требуется — статичные страницы с текстом об услугах не считаются обработкой персональных данных. Но как только появляется форма обратной связи, обязанность подать уведомление возникает сразу, независимо от размера бизнеса.

Сколько времени Роскомнадзор регистрирует уведомление после подачи?

Обычно внесение в реестр операторов занимает около месяца с момента подачи через личный кабинет на pd.rkn.gov.ru. Электронная подпись для подачи не обязательна — заявление можно отправить и в бумажном виде почтой, но электронная подача проходит быстрее и позволяет отслеживать статус, что удобно перед плановыми проверками.

Что делать, если уведомление подано давно, а сайт с тех пор сильно изменился?

Уведомление нужно обновить, если изменились цели обработки, категории данных или появилась передача данных за границу — например, подключили зарубежный CRM или хостинг. Обновление подают через тот же личный кабинет на pd.rkn.gov.ru, отдельным заявлением об изменении сведений, без повторной регистрации с нуля.

Можно ли подать уведомление, если проверка Роскомнадзора уже началась?

Да, подать можно на любом этапе, и сделать это стоит немедленно — добровольное устранение нарушения до вынесения предписания обычно снижает последствия. Но факт запоздалой подачи не отменяет саму проверку: инспектор всё равно оценит, как долго сайт обрабатывал данные без регистрации в реестре.

Проверяет ли ukved соответствие сайта требованиям Роскомнадзора при аудите?

Да, проверка форм, cookie-баннера и политики конфиденциальности на соответствие 152-ФЗ входит в аудит сайта по 9 направлениям как отдельный блок. В отчёте видно, какие именно формы и счётчики нужно указать в уведомлении и где документы на сайте расходятся с фактическим уведомлением.