Как подать уведомление в Роскомнадзор и не получить штраф: инструкция для бизнеса
С 30 мая 2025 года в России начали действовать новые правила по работе с персональными данными, под которые подпадает почти любой бизнес, который хоть как-то собирает и хранит данные клиентов или сотрудников, от салона до SaaS-компании.
Теперь за любое нарушение грозит ощутимый штраф: от 300 тысяч рублей до 18 миллионов. Причём контролировать соблюдение законодательства Роскомнадзор будет не только вручную, но и автоматически — через алгоритмы и ИИ.
Кого это касается
Почти любой бизнес в России — оператор персональных данных. Если у вас есть сотрудники, вы храните договоры, используете сайт, телефонию, формы обратной связи — вы обрабатываете персональные данные. Даже если вы — ИП без сотрудников, но записываете ФИО и телефоны клиентов в CRM или Google-таблицу, вы уже попадаете под действие закона. А значит, обязаны соблюдать закон 152-ФЗ и быть зарегистрированы в Роскомнадзоре.
Что изменилось после 30 мая 2025 года
- Штрафы выросли в разы. Например, если раньше за неуведомление Роскомнадзора максимум был 5 000 ₽, теперь — до 300 000 ₽. За утечку данных — до 15 млн ₽, а при повторной — до 3% годовой выручки (но не менее 20 млн ₽).
- Появились новые составы правонарушений. В ст. 13.11 КоАП РФ теперь восемь новых пунктов, включая некорректное уведомление РКН, ошибки в назначении ответственного, отсутствие политики обработки и др.
- Проверки теперь автоматические. Роскомнадзор запустил ИИ, который анализирует сайты и инфраструктуру. Он может выявить не только отсутствие cookie-баннеров, но и скрытые вызовы к запрещённым сервисам (Google, Meta и т.д.).
Что нужно сделать
- Проверьте, есть ли вы в реестре операторов ПД. Это можно сделать на сайте Роскомнадзора по ИНН.
- Проведите аудит сайта. Проверьте наличие согласий, политики, cookie-баннеров, отсутствуют ли скрипты Google и Meta. Идеально — сделать технический и юридический аудит, а не просто посмотреть глазами.
На сайте должны быть:
📌 актуальная политика обработки ПД;
📌 политика конфиденциальности;
📌 корректно оформленные согласия на обработку (в формах);
📌 cookie-баннер;
📌 контактные данные владельца сайта;
📌 корректное отражение ОКВЭДов в соответствии с деятельностью
- Разработайте (или обновите) внутренние документы. Политики, приказы, инструкции, согласия — набор зависит от бизнеса, но игнорировать их нельзя. Иначе уведомление просто не примут — или примут, но позже может прилететь штраф.
- Обучите команду. Утечки чаще всего происходят не из-за хакеров, а из-за действий сотрудников. Поэтому важно не просто создать документы, а объяснить, как и зачем работать с данными.
Все — от бухгалтера до маркетолога — должны понимать, как и зачем защищаются персональные данные, и что нельзя пересылать клиентские данные в мессенджерах без согласия.
Как подать уведомление в Роскомнадзор
Сделать это можно через официальный сайт Роскомнадзора:
- Перейдите на портал: https://pd.rkn.gov.ru/operators-registry
- Выберите «Подать уведомление» — это приведёт вас к форме регистрации в реестре операторов ПДн.
- Подготовьте информацию, которая потребуется для заполнения:
— полное наименование организации или ИП;
— юридический и фактический адрес;
— цели обработки ПДн (важно указать все реально существующие: например, «ведение кадрового учета», «оформление договоров», «рассылка маркетинговых материалов» и т.п.);
— категории субъектов ПДн (сотрудники, клиенты, партнёры и т.д.);
— перечень персональных данных, которые обрабатываются;
— сведения о трансграничной передаче (если используется);
— описание мер защиты ПДн;
— контактные данные ответственного лица;
— основание обработки (например, согласие субъекта, закон, договор).
- После отправки уведомление попадает на проверку. Обычно регистрация занимает до 15 рабочих дней.
💡Важно: уведомление должно отражать реальную ситуацию в компании. Если используете, например, Google Analytics, это нужно указать как трансграничную передачу.
💡Важно: изменения в деятельности (новый сайт, цели обработки, структура компании) требуют подачи нового уведомления или изменения старого.
Что будет, если этого не сделать
Роскомнадзор имеет право проводить внеплановые проверки по жалобам, решению суда или сигналу от прокуратуры. Плюс с июня 2025 года алгоритмы ИИ анализируют сайты без уведомления — нарушение фиксируется автоматически, а штраф может прийти задним числом, уже после предписания.
Ещё раз напомню: даже если вы уже регистрировались в Роскомнадзоре, это не даёт бессрочной защиты. Поменялся сайт, добавили новый канал продаж — уведомление нужно подавать заново.
А если произошла утечка?
Даже если утечка данных произошла случайно — вы обязаны:
— уведомить Роскомнадзор в течение 24 часов
— провести внутреннее расследование
— предоставить отчёт о причинах и мерах в течение 72 часов
Не предупредили? За это можно получить отдельный штраф до 3 млн ₽. Главное — не допустить повторную утечку в течение года, иначе придётся заплатить гораздо бОльшую сумму.
Если не знаете, с чего начать — начните с малого: проверьте сайт и наличие уведомления. А если нужна помощь — пишите мне, подскажу, что важно именно для вашего бизнеса.