Бесплатная консультация юриста

+7 (800) 301-07-30

Реклама jurik.ru

Взаимодействие с Роскомнадзором (Федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций) является обязательным условием ведения бизнеса в РФ для любой организации, обрабатывающей персональные данные (ПДн). В данной статье подробно разберем процедуру уведомления, ведение реестра, требования к сайтам организаций и ответственность за нарушения.

Юридические основы регулирования

Основным нормативным актом является Федеральный закон от № 152-ФЗ «О персональных данных». Согласно ст. 22 данного Закона, оператор персональных данных обязан уведомить Роскомнадзор о своих намерениях осуществлять обработку ПДн до начала такой обработки.

Дополнительные регламенты:

Постановление Правительства РФ от № 687 — об утверждении Положения о особенностях обработки ПДн без использования средств автоматизации.
Приказ Роскомнадзора от № 587 — об утверждении Административного регламента предоставления государственной услуги по внесению сведений в реестр операторов ПДн.
ФЗ-276 (от ) — внес изменения в порядок уведомления (упрощение для МСП, исключение уведомления при обработке только данных сотрудников по трудовому договору).

Кто обязан уведомлять Роскомнадзор?

Уведомление подает оператор персональных данных — организация или ИП, самостоятельно или совместно с другими лицами организующая и (или) осуществляющая обработку ПДн, а также определяющая цели обработки, состав обрабатываемых ПДн, действия (операции), совершаемые с ПДн.

Исключения (когда уведомление НЕ нужно):

Обработка ПДн, полученных в связи с трудовыми правоотношениями (данные сотрудников), — с г. уведомление не требуется (ФЗ-276).
Обработка ПДн, сделанных субъектом общедоступными по его просьбе.
Обработка ПДн в соответствии с законодательством о архивном деле.
Обработка без использования средств автоматизации (бумажные носители) при условии соблюдения прав субъектов (но для сайтов это практически не применимо).
МСП (включенные в реестр МСП) при обработке ПДн клиентов/контрагентов для исполнения договора — уведомление не требуется с г..

Порядок подачи уведомления: пошаговая инструкция

Способ 1: Личный кабинет на Госуслугах (Рекомендуемый)

Наиболее быстрый и бесплатный способ. Требуется усиленная квалифицированная электронная подпись (КЭП) руководителя или уполномоченного лица.

Авторизуйтесь на portal.gosuslugi.ru от имени юрлица/ИП (через ЕСИА организации).
Перейдите в раздел: Бизнес и НКО → Реестры и каталоги → Реестр операторов персональных данных → Внесение сведений в реестр.
Заполните электронную форму (см. раздел 4).
Подпишите заявление КЭП и отправьте.
Результат (уведомление о включении в реестр или об отказе) придет в личный кабинет в течение 30 календарных дней (срок рассмотрения по Адм. регламенту № 587).

Способ 2: Почтовое отправление

На адрес: 109012, г. Москва, ул. Китагородский проезд, д. 7, корп. 1 (Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций).

Важно: Отправлять только ценным заказным почтой с описью вложения. Срок рассмотрения увеличивается на сроки почтовой доставки.

Способ 3: Лично в приемной

Адрес приемной: г. Москва, ул. Китагородский проезд, д. 7, корп. 1. График приема: пн-пт с *:* до *:* (предварительная запись на сайте rkn.gov.ru в разделе «Приемная» обязательна).

Структура уведомления: что указывать в форме

Согласно Приказу № 587, в уведомлении должны быть указаны следующие сведения (маскируем чувствительные данные):

Поле формы	Что указывать	Пример заполнения (маскировано)
Наименование оператора	Полное/сокращенное наименование юрлица или ФИО ИП	ООО «» / ИП *
ИНН / ОГРН(ИП)	Реквизиты из ЕГРЮЛ/ЕГРИП	ИНН * / ОГРН
Адрес места нахождения	Юридический адрес	г. , ул. , д. , пом.
ФИО руководителя	Директор / ИП	*
Контактное лицо (ответственный за ПДн)	ФИО, телефон, email	* * / тел. +7 () —* / email: @*.ru
Цели обработки	Выбор из справочника (исполнение договора, маркетинг, кадровый учет и т.д.)	Исполнение гражданско-правовых договоров, продвижение товаров/услуг
Категории субъектов ПДн	Клиенты, сотрудники, посетители сайта, контрагенты	Клиенты, пользователи сайта
Категории ПДн	ФИО, контакты, паспортные данные, ИНН, cookie, IP-адреса	ФИО, телефон, email, IP-адрес, Cookie
Способы обработки	С автоматизацией / без автоматизации	С использованием средств автоматизации
Трансграничная передача	Да/Нет (если да — страна получателя)	Нет
Сроки обработки / Условия уничтожения	Например: «До достижения цели» или конкретный срок	Не дольше 3 лет с момента последнего взаимодействия
Меры защиты (тех./орг.)	Краткое описание (шифрование, доступ по ролям, приказы, ДОП)	Приказ от *.. № , ДОП разработано, TLS 1.2+, RBAC

Требования Роскомнадзора к сайтам организаций

Сайт — это основной канал сбора ПДн (формы обратной связи, корзины, авторизация, куки, метрика); Инспекторы проверяют соответствие ст. 18.1, 19, 22 152-ФЗ.

Обязательные элементы на сайте:

Политика конфиденциальности (Условия обработки ПДн) — доступная по ссылке из футера и каждой формы сбора данных. Должна содержать все пункты ч. 1 ст. 18.1 152-ФЗ (цели, правовые основания, категории ПДн, сроки, права субъекта, меры защиты, информация о передане третьим лицам).
Согласие на обработку ПДн — чек-бокс (не предустановленный!) у каждой формы с текстом: «Нажимая кнопку, я даю согласие на обработку ПДн в соответствии с Политикой конфиденциальности».
Информация об операторе в футере или разделе «Контакты/Реквизиты»: Полное наименование, ИНН, ОГРН, юрадрес.
Cookie-баннер (Уведомление о куки) — с возможностью отказа от нетехнических куки (маркетинг, аналитика Яндекс.Метрика/GA4) до их установки. Технические куки (сессия, корзина) не требуют согласия.
Форма обратной связи для субъекта ПДн — для реализации прав (требование удаления, уточнения, отзыва согласия). Можно использовать email: privacy@*.ru или форму на сайте.

Технические меры защиты (проверяются при выездных проверках):

HTTPS (TLS 1.2/1.3) на всех страницах. Валидный сертификат (не самоподписанный).
Защита форм от CSRF/XSS/SQL-инъекций.
Хранение бэкапов и логов на отдельном защищенном периметре (минимум 6 месяцев логов доступа к ПДн).
Минимизация доступа к админке (VPN, IP-белый список, 2FA).
Локализация баз данных (ст. 18 152-ФЗ) — хранение ПДн граждан РФ на территории РФ (актуально для хостинга за рубежом).

Реестр операторов ПДн: проверка статуса

После включения в реестр организации присваивается Регистрационный номер (формат: *—).

Проверить статус можно публично на сайте Роскомнадзора:

Раздел: Деятельность → Реестры → Реестр операторов персональных данных.
Прямая ссылка: https://rkn.gov.ru/communication/registry/ (раздел «Поиск по реестру»).
Поиск ведется по ИНН, ОГРН или наименованию.

Важно: Отсутствие в реестре (при обязательности уведомления) — основание для штрафа по ст. 13.11 КоАП РФ.

Ответственность за нарушения (Актуальные штрафы 2024-2025)

Статья 13.11 КоАП РФ (Нарушение законодательства в области персональных данных):

Нарушение	Должностные лица / ИП	Юридические лица
Отсутствие уведомления / несвоевременное уведомление	3 000 – 5 000 руб.	15 000 – 75 000 руб.
Обработка ПДн без согласия / не на тех основаниях	10 000 – 20 000 руб.	50 000 – 100 000 руб. (повоторно: 100 000 – 500 000 руб.)
Неисполнение требований субъекта ПДн (удаление, доступ)	3 000 – 5 000 руб.	15 000 – 75 000 руб.
Нарушение режима защиты ПДн (утечка, хакерская атака)	15 000 – 30 000 руб.	50 000 – 150 000 руб. (повоторно: до 500 000 руб.)
Нарушение требований локализации (ст. 18 152-ФЗ)	—	1 000 000 – 6 000 000 руб. (повоторно: до 18 000 000 руб.)
Непубликация Политики конфиденциальности на сайте	3 000 – 5 000 руб.	15 000 – 75 000 руб.

Обратите внимание: С 2024 года Роскомнадзор активно применяет ст. 19.7.5-2 КоАП РФ (неисполнение предписания) — штраф до 500 000 руб. для юрлиц за каждую неустраненную нарушение после предписания. Также возможна блокировка сайта/ресурса по решению суда (ст; 15.1 ФЗ-149) при систематических утечках или игнорировании предписаний.

Типичные ошибки, выявляемые при проверках

Уведомление подано «про формой»: указаны не те цели/категории ПДн, которые реально обрабатываются на сайте (например, забыли про IP-адреса и Cookie Яндекс.Метрики).
Политика конфиденциальности скопирована у конкурента и не соответствует реальным бизнес-процессам (нет описания передачи данных в CRM, рассылки, колл-трекинг).
Отсутствие локального акта (ДОП) — Документа об организации обработки ПДн (утверждается приказом директора). Инспектор всегда просит его в первую очередь.
Сбор данных без чек-бокса согласия (например, в виджете обратного звонка или чат-боте).
Передача ПДн подрядчикам (маркетинг, доставка, CRM) без заключения договоров о передаче ПДн (ДПП) с обязательными условиями ст. 28 152-ФЗ.
Хранение ПДн дольше необходимого срока без политики удаления/анонимизации.

Алгоритм подготовки к проверке (Чек-лист)

Рекомендуем провести внутренний аудит раз в год или перед плановой проверкой:

[ ] Актуальность записи в Реестре (проверьте по ИНН на сайте РКН).
[ ] Наличие Приказа о назначении ответственного за ПДн (ФИО: * * *).
[ ] Утвержден и актуален ДОП (Документ об организации обработки ПДн).
[ ] Заключены ДПП (Договоры передачи ПДн) со всеми подрядчиками (хостинг, CRM, почта, колл-трекинг, маркетинговые агентства).
[ ] Политика конфиденциальности на сайте соответствует реальности (версия от *.*.).
[ ] Cookie-баннер работает корректно (блокирует аналитику до согласия).
[ ] Все формы имеют чек-бокс согласия (не preselected).
[ ] Настроен процесс обработки запросов субъектов (срок 30 дней по ст. 21 152-ФЗ).
[ ] Проведена оценка угроз безопасности ПДн (модель угроз) и выбран класс защищенности (КЗ 1-4).
[ ] Внедрены средства защиты (СЗИ) сертифицированные ФСТЭК/ФСБ (для КЗ 1-3) или соответствующие требованиям (КЗ 4).
[ ] Ведутся журналы учета инцидентов и обращений субъектов.

Контакты Роскомнадзора для связи

Если вам необходимо направить официальный запрос, жалобу или уточнить информацию:

Официальный сайт: rkn.gov.ru
Горячая линия (справочно): +7 () — (автоинформатор / приемная).
Электронная приемная (интернет-приемная): rkn.gov.ru/treatment/ (основной канал для обращений юрлиц).
Почтовый адрес: 109012, г. Москва, ул. Китагородский проезд, д. 7, корп. 1.
Территориальные управления: Контакты управлений по субъектам РФ доступны в разделе «О службе → Территориальные управления» на сайте РКН. (Например: УФС по ЦФО, УФС по СЗФО и т.д.).

Соблюдение требований 152-ФЗ и взаимодействие с Роскомнадзором — это не только про избежание штрафов, но и про репутационную безопасность и доверие клиентов. Ключевые шаги: своевременное уведомление (если требуется), грамотная Политика конфиденциальности на сайте, работающие механизмы согласия и удаления данных, заключенные договоры с подрядчиками и актуальный ДОП.

Рекомендуем зафиксировать ответственного сотрудника (DPO / Ответственный за ПДн) и проводить ежегодный аудит соответствия. При сложных схемах обработки (маркетплейсы, медучреждения, финтех, трансграничная передача) целесообразно привлечь профильного юриста или сертифицированного аудитора по защите ПДн.

Данная статья носит информационный характер и не является правовой консультацией. Нормативная база может меняться. Для принятия управленческих решений обратитесь к актуальным редакциям законов или к специалисту по праву персональных данных.