152-ФЗ · персональные данные
Кто обязан подавать уведомление в Роскомнадзор — и кого закон освобождает
Коротко: уведомление обязаны подать все компании, ИП и самозанятые, которые хранят данные клиентов или сотрудников в электронном виде — через сайт, CRM, Excel, 1С или почту. Без уведомления можно работать только в трёх случаях, и для обычного бизнеса реально подходит один: если данные ведутся исключительно на бумаге.
Кто обязан
Закон о персональных данных (ст. 22 152-ФЗ) требует подать уведомление до начала обработки персональных данных. Персональные данные — это любая информация о человеке: имя, телефон, email, адрес. Поэтому уведомление нужно, если у вас есть хотя бы одно из этого:
- на сайте форма заявки, обратного звонка, подписки или онлайн-запись;
- клиентская база в CRM, Excel, 1С, Google или Яндекс Таблицах;
- сотрудники — даже если кадры и зарплату ведёт бухгалтер в 1С;
- заказы и переписка с клиентами в мессенджерах и почте.
Это касается компаний любого размера, ИП и самозанятых. Закон не применяется только к обработке данных для личных и семейных нужд — работа с клиентами к ним не относится.
Кого освобождают: осталось три исключения
С 1 сентября 2022 года (закон 266-ФЗ) работать без уведомления можно только в трёх случаях (ч. 2 ст. 22 152-ФЗ):
- Только бумага. Данные обрабатываются без средств автоматизации: никаких компьютеров, таблиц, CRM, почты и форм на сайте.
- Государственные информационные системы. Данные включены в государственные автоматизированные информационные системы или в системы, созданные для защиты безопасности государства и общественного порядка.
- Транспортная безопасность. Обработка ведётся по законодательству о транспортной безопасности.
Чего больше нет: отменённые исключения
До сентября 2022 года список был длиннее, и многие до сих пор на него ориентируются. Сейчас уведомление нужно подать, даже если:
- вы обрабатываете только данные сотрудников по трудовому законодательству;
- данные получены по договору, стороной которого является сам человек — например, клиент заказал услугу;
- вы собираете только фамилию, имя и отчество;
- данные общедоступны или опубликованы самим человеком;
- вы общественное или религиозное объединение и обрабатываете данные своих участников.
Какой штраф
С 30 мая 2025 года за то, что уведомление не подано, отдельно штрафуют по ч. 10 ст. 13.11 КоАП:
| Кто | Штраф |
|---|---|
| Компании (юрлица) | 100 000–300 000 ₽ |
| Должностные лица (в т. ч. руководитель) | 30 000–50 000 ₽ |
| Граждане | 5 000–10 000 ₽ |
Индивидуальных предпринимателей КоАП в таких случаях обычно штрафует как должностных лиц, если в статье не сказано иное. Проверить, есть ли компания в реестре операторов, может любой — включая Роскомнадзор: реестр открыт на pd.rkn.gov.ru.
Как подать уведомление
- Заполните форму на pd.rkn.gov.ru или через Госуслуги. В уведомлении указывают цели обработки, какие данные и чьи вы собираете, правовые основания, что с данными делаете, какие меры защиты приняты, кто отвечает за обработку, где находятся базы данных, есть ли передача за границу.
- Подпишите электронной подписью или распечатайте и отправьте в территориальное управление Роскомнадзора.
- Роскомнадзор вносит оператора в реестр, обычно в течение 30 дней.
- Когда сведения меняются — новый сайт или сервис, другой хостинг, новые цели, — подайте уведомление об изменениях.
Если данные уходят за границу — например, формы Google, иностранная CRM или хостинг, — отдельно нужно уведомление о трансграничной передаче (ст. 12 152-ФЗ). А для данных россиян, которые собираются через сайт, сначала их нужно записывать в базу на территории России.
Частые вопросы
У нас только форма на Tilda, заявки приходят на почту. Нужно?
Да. Форма на сайте собирает имя и телефон, а почта — это обработка в электронном виде.
Я самозанятый, принимаю заявки в WhatsApp и Telegram. Нужно?
Да, если ведёте работу с клиентами в электронном виде: переписка, контакты, таблица заказов. Заодно учтите, что мессенджеры с серверами за границей — это трансграничная передача.
У компании нет сайта, но есть сотрудники. Нужно?
Да. Исключение для кадровых данных отменили в 2022 году.
Мы подавали уведомление много лет назад. Этого достаточно?
Проверьте сведения в реестре. С 2022 года форма уведомления расширилась, а сайты, сервисы и хостинг с тех пор обычно меняются — тогда нужно подать уведомление об изменениях.
Проверьте, что ещё видит Роскомнадзор
Бесплатная проверка за 30 секунд покажет, куда уходят данные из форм вашего сайта, есть ли согласие, cookie-уведомление и иностранные сервисы. Подготовить и подать уведомление можем за вас — обычно 1–2 рабочих дня.
Статья — обзор требований на дату публикации, а не юридическое заключение. Суммы штрафов и формулировки сверяйте с действующими редакциями 152-ФЗ и КоАП РФ.