Уведомление в Роскомнадзор об обработке персональных данных обязан подать почти любой владелец сайта, который собирает e-mail или телефоны, регистрирует пользователей или ставит счётчик посещений. Подаётся оно бесплатно через форму на портале pd.rkn.gov.ru со входом через Госуслуги. В июле 2026 года я подал его для своего сайта и приложения «Дневник рыбака» (dnevnik-rybaka.ru), а вместе с ним уведомление о трансграничной передаче данных.
Ниже разбор по моим документам: кому уведомление нужно, а кому нет, как подать его пошагово, что я написал в каждом поле, когда нужна трансграничная передача, сколько ждать и какие штрафы грозят, если не подавать. Личные данные на скриншотах закрашены.
Коротко
- Подавать нужно до начала обработки, если на сайте есть форма с контактами, регистрация, рассылка или счётчик вроде Яндекс Метрики. С 1 сентября 2022 года исключений почти не осталось.
- Подать проще всего на pd.rkn.gov.ru со входом через Госуслуги (ЕСИА): ни подписи, ни бумаги не нужно. Номер и ключ уведомления показываются один раз, их надо сохранить.
- Сроки: Роскомнадзор вносит оператора в реестр в течение 30 дней. Моё уведомление внесли через 8 дней. Об изменениях сообщают не позднее 15-го числа следующего месяца.
- Трансграничная передача требует отдельного уведомления, если данные уходят иностранному сервису: зарубежная аналитика, карты, шрифты, CDN. Моё рассмотрели за сутки.
- Штраф за неподачу с 30 мая 2025 года: для гражданина 5-10 тыс. рублей, для ИП и организации 100-300 тыс. рублей.
Кому нужно уведомление в Роскомнадзор об обработке персональных данных
Обязанность установлена статьёй 22 закона 152-ФЗ «О персональных данных»: оператор уведомляет Роскомнадзор до начала обработки. Оператор здесь любой, кто сам решает, зачем и какие данные собирать: организация, ИП, самозанятый или обычный человек с сайтом.
До сентября 2022 года в законе был длинный список исключений, и многие сайты под них попадали. Законом 266-ФЗ эти пункты убрали. Сейчас без уведомления можно обрабатывать данные только в трёх случаях:
- данные в государственных информационных системах, созданных для защиты безопасности государства и общественного порядка;
- данные, которые обрабатываются по законодательству о транспортной безопасности;
- обработка исключительно без средств автоматизации, то есть только на бумаге.
Сайт к третьему пункту не относится никогда: он сам по себе автоматизация. Ещё закон вообще не применяется к обработке данных человеком исключительно для личных и семейных нужд (статья 1). Записная книжка с телефонами друзей сюда подходит, а публичный сайт, который собирает данные посетителей, уже нет.
Типичные случаи для небольшого сайта
| Что есть на сайте | Какие данные | Уведомление |
|---|---|---|
| Форма обратной связи или заявки | Имя, телефон, e-mail | Нужно |
| Регистрация, личный кабинет | E-mail, логин, пароль (в виде хеша) | Нужно |
| Рассылка | Нужно | |
| Комментарии с обязательным e-mail | Имя или псевдоним, e-mail | Нужно |
| Яндекс Метрика, Google Analytics, Top.Mail.Ru | Cookie, IP-адрес, данные браузера | Нужно: в форме уведомления есть отдельная категория «сведения, собираемые посредством метрических программ» |
| Приём оплаты | E-mail или телефон для чека, сведения о платеже | Нужно |
| Сайт-визитка без форм, без счётчиков и cookie | Только технические журналы сервера | Прямого ответа в законе нет, решайте сами и опишите в политике |
Последняя строка самая спорная. Любой веб-сервер записывает IP-адреса в журнал, и формально это тоже обработка. Если сайт сделан так, что данных посетителей не собирает вовсе, честнее всего прямо написать об этом в политике конфиденциальности. Пример такой политики есть на этом сайте: /politika-konfidencialnosti/. Как только появляется форма, регистрация или счётчик, вопрос снимается: уведомление нужно.
Что я подавал для «Дневника рыбака»
«Дневник рыбака» я сделал как сайт и веб-приложение для записи рыбалок. Пользователь регистрируется по e-mail, записи синхронизируются между телефоном и компьютером, есть платный Premium. Погода для прогноза клёва приходит из сервиса Open-Meteo (Швейцария), карта для выбора места грузится с серверов OpenStreetMap (Великобритания). Отсюда два уведомления.
| Что | Как было у меня |
|---|---|
| Где подавал | pd.rkn.gov.ru, вход через Госуслуги (ЕСИА) |
| Тип оператора | Физическое лицо (самозанятый) |
| Когда | 15 июля 2026 года, оба уведомления в один день с разницей в полчаса |
| Дата начала обработки | 14.07.2026 |
| Уведомление об обработке | Внесено в реестр приказом от 23.07.2026, через 8 дней |
| Уведомление о трансграничной передаче | Статус «Завершено, трансграничная передача разрешена без ограничений» уже на следующий день |
| Плата | Нет, закон запрещает брать с оператора деньги за рассмотрение |
Госуслуги понадобились только для входа: портал Роскомнадзора перенаправляет на ЕСИА, и по инструкции часть полей подставляется из профиля. Бумагу никуда отправлять не пришлось.
Как подать уведомление: пошагово
Уведомление в Роскомнадзор об обработке персональных данных заполняется в одной веб-форме. Порядок такой.
Шаг 1. Соберите сведения заранее
Форма длинная, и больше всего времени уходит не на заполнение, а на поиск ответов. Подготовьте:
- Список данных, которые реально собирает сайт: поля форм, регистрация, счётчики, оплата.
- Цели: зачем каждое поле нужно (ответить на заявку, вести личный кабинет, отправить чек).
- Где лежит база: адрес дата-центра и реквизиты компании, которая хранит данные (название, ИНН, ОГРН). Это не юридический адрес хостера, а адрес ЦОД. Его можно найти в договоре, на сайте хостера или спросить в поддержке.
- Меры защиты: кто ответственный, как ограничен доступ, есть ли HTTPS, резервные копии.
- Иностранные сервисы, если они есть, для отдельного уведомления.
Шаг 2. Откройте форму
На pd.rkn.gov.ru откройте Реестр операторов → Электронные формы заявлений → Перейти к заполнению формы электронного уведомления. Портал предложит три способа подачи:
| Способ | Что нужно | Что дальше |
|---|---|---|
| В бумажном виде | Ничего | Заполнить, отправить, распечатать, подписать и отнести или отправить в территориальное управление Роскомнадзора |
| С усиленной квалифицированной подписью (УКЭП) | Сертификат и плагин КриптоПро | Подписать и отправить, бумага не нужна |
| Через ЕСИА | Подтверждённая учётная запись Госуслуг | Отправить, бумага не нужна |
Для частного лица и небольшого сайта удобнее всего ЕСИА. Я подавал именно так.
Шаг 3. Заполните и отправьте
Поля со звёздочкой обязательны. Есть кнопка «Сохранить черновик», она пригодится, если не хватает каких-то сведений. Перед отправкой нужно отметить две галочки: что вы ознакомлены с порядком подачи и что согласны на передачу формы по интернету. Если что-то заполнено неверно, поле подсветится красным.
После отправки портал показывает уведомление целиком, с номером и ключом. По официальной инструкции Роскомнадзора эта страница показывается один раз: «Второй возможности посмотреть и распечатать уведомление нет». Сразу нажмите PDF версия и сохраните файл, номер и ключ запишите отдельно. По ним проверяют статус, а при отказе можно заполнить новую форму данными из старой.
Шаг 4. Проверьте статус
Статус смотрят в разделе Реестр операторов → Проверка состояния уведомления: номер, ключ и код с картинки. Когда уведомление внесут в реестр, оператор находится через поиск по реестру на том же портале, по ИНН или по названию. Свою запись я нашёл поиском по фамилии: в ней указаны регистрационный номер вида 78-26-XXXXXX, основание (номер и дата приказа), дата регистрации уведомления и дата начала обработки.
Что писать в полях: образец заполнения для небольшого сайта
Так выглядит первая страница моего уведомления в PDF, который выдал портал после отправки:
Ниже по каждому полю: что указал я и что подойдёт для типичного сайта с формой заявки и Яндекс Метрикой. Второй столбец обезличенный, подставьте своё.
| Поле | У меня | Пример для сайта с формой и Метрикой |
|---|---|---|
| Тип оператора | Физическое лицо (самозанятый) | ИП, организация или физическое лицо |
| Документ, удостоверяющий личность | Указал паспорт | Для физического лица и ИП по инструкции поле необязательное |
| Регионы обработки | Все субъекты Российской Федерации | По инструкции: регионы, где оператор зарегистрирован и имеет подразделения. Есть галочка «Все субъекты» |
| Цель обработки | Регистрация пользователей, работа приложения, синхронизация, приём платежей за Premium и чеки, обращения, безопасность, сервисные сообщения, аналитика, требования закона | Цель 1: обработка заявок с сайта. Цель 2: анализ посещаемости сайта |
| Категории данных | Адрес электронной почты | Цель 1: имя, номер телефона, адрес электронной почты. Цель 2: сведения, собираемые посредством метрических программ |
| Категории субъектов | Посетители сайта | Посетители сайта, клиенты |
| Правовое основание | С согласия субъекта | С согласия субъекта; для заказов также «исполнение договора» |
| Перечень действий | От сбора до уничтожения, без распространения | Сбор, запись, хранение, использование, удаление, уничтожение. «Передача», если данные получает подрядчик |
| Способы обработки | Смешанная, без передачи по внутренней сети, с передачей по интернету | Автоматизированная, без передачи по внутренней сети, с передачей по интернету |
| Шифровальные средства | Не используются | «Не используются», если вы не ставили сертифицированные средства шифрования (СКЗИ) |
| Дата начала обработки | 14.07.2026 | Фактическая дата запуска формы или счётчика |
| Срок или условие прекращения | По достижении целей обработки | То же или конкретная дата |
| Трансграничная передача | Осуществляется | «Не осуществляется», если все сервисы в России |
С 2022 года цели перечисляют по отдельности: для каждой указывают свои категории данных, субъектов, основание и действия. Если на сайте и форма заявки, и Метрика, удобнее завести две цели, чем сваливать всё в одну.
Меры защиты и уровень защищённости
Два текстовых поля вызывают больше всего вопросов. В поле «Описание мер, предусмотренных статьями 18.1 и 19» пишут организационные и технические меры: кто назначен ответственным, как ограничен доступ, чем защищены каналы связи. У меня там назначенный ответственный, разграничение доступа, аутентификация пользователей, HTTPS/TLS, резервное копирование, журналирование событий безопасности, обновление программ, договоры поручения с подрядчиками и оценка вреда.
В поле «Сведения об обеспечении безопасности персональных данных» перечисляют меры по постановлению Правительства № 1119 от 01.11.2012: определён уровень защищённости, определены актуальные угрозы, приняты меры. Описание средств защиты в реестр в открытом виде не попадает.
Где находится база данных
Данные граждан России нужно собирать и хранить в базах на территории России, этого требует часть 5 статьи 18 закона. Поэтому в форме есть раздел о базе: страна, адрес ЦОД, свой это дата-центр или нет, и кто отвечает за хранение. У меня сервер в московском дата-центре хостера, поэтому указал адрес ЦОД, название, ИНН и ОГРН компании-хостера. Если серверов несколько, например основной и резервный, добавьте каждую базу отдельно.
Уведомление о трансграничной передаче персональных данных
Трансграничной называют передачу персональных данных на территорию другого государства: иностранной компании, её серверу или сотруднику. С 1 марта 2023 года о ней тоже подают отдельное уведомление, до начала передачи (статья 12 закона 152-ФЗ). Форма своя, на том же портале в разделе Трансграничная передача, и подаётся она только в электронном виде, через ЕСИА или с электронной подписью.
Когда сайту нужно уведомление о трансграничной передаче
Вопрос не в том, где зарегистрирован сервис, а в том, получает ли зарубежный сервер персональные данные ваших пользователей. Типичные случаи для сайта:
- аналитика с серверами за рубежом, например Google Analytics;
- CDN и защита от атак за рубежом, через которые идёт весь трафик сайта вместе с IP-адресами;
- шрифты, скрипты и карты, которые браузер посетителя загружает с иностранных серверов: при каждом запросе такой сервер видит IP-адрес и данные браузера;
- зарубежный хостинг или зарубежный сервис рассылок;
- запросы с вашего сервера к иностранному API, если в них есть данные пользователя.
Российский хостинг и российские сервисы, которые хранят данные в России, трансграничной передачи не дают. Проще всего вопрос решается, если вообще не подключать иностранные сервисы: шрифты и скрипты можно положить на свой сервер.
Страны с адекватной защитой и без неё
От страны зависит, когда можно начинать передачу. Роскомнадзор рассматривает уведомление 10 рабочих дней. В страны из перечня «обеспечивающих адекватную защиту» передавать данные можно сразу после подачи уведомления. В остальные страны, например США, до истечения этих 10 рабочих дней нельзя, кроме случаев защиты жизни и здоровья.
Перечень утверждает Роскомнадзор, на момент моей подачи действовал приказ № 128 от 05.08.2022. Швейцария и Великобритания в нём есть, США нет. С 26 июля 2026 года закон 265-ФЗ изменил формулировку: в перечень включаются государства, чьи правила соответствуют Конвенции Совета Европы о защите персональных данных, а не все её участники автоматически. Перед подачей проверьте актуальный перечень.
Что я указал для «Дневника рыбака»
| Цель | Кому | Какие данные | Страна |
|---|---|---|---|
| Погода и прогноз клёва для выбранного места и даты | Open-Meteo | Координаты места, дата и время, для которых нужна погода | Швейцария |
| Показ интерактивной карты при выборе места | OpenStreetMap | IP-адрес устройства, координаты и масштаб карты, сведения о браузере и устройстве | Великобритания |
Запросы погоды идут с моего сервера, поэтому Open-Meteo получает только координаты и дату, без IP-адреса и учётной записи. Карта грузится прямо с телефона пользователя, и сервер OpenStreetMap видит IP-адрес. Оба случая я описал как есть.
В уведомлении о трансграничной передаче есть поле «Дата окончания проведения оценки». До подачи оператор обязан получить от иностранного получателя сведения о мерах защиты, о законах его страны о персональных данных и контакты получателя (часть 5 статьи 12). Я брал эти сведения из официальных страниц сервисов. При этом выяснилось, что Open-Meteo работает от швейцарской компании, а не немецкой, как я думал: пришлось исправить это и в политике конфиденциальности. Дату оценки нельзя ставить задним числом, только когда оценка действительно закончена.
Результат я проверил в разделе Трансграничная передача → Проверка состояния уведомления на следующий день:
Сроки: когда подавать и сколько ждать
| Что | Срок | Где в законе |
|---|---|---|
| Уведомление об обработке | До начала обработки | ч. 1 ст. 22 |
| Внесение в реестр | В течение 30 дней с даты поступления | ч. 4 ст. 22 |
| Уведомление о трансграничной передаче | До начала передачи | ч. 3 ст. 12 |
| Решение по трансграничной передаче | 10 рабочих дней | ч. 9 ст. 12 |
| Уведомление об изменении сведений | Не позднее 15-го числа месяца, следующего за месяцем изменений | ч. 7 ст. 22 |
| Уведомление о прекращении обработки | В течение 10 рабочих дней с даты прекращения | ч. 7 ст. 22 |
| Сообщение об утечке данных | 24 часа об инциденте, 72 часа о результатах расследования | ч. 3.1 ст. 21 |
Если уведомление пролежало больше 30 дней и в реестре вас нет, инструкция Роскомнадзора советует написать в электронную приёмную ведомства.
Что сделать после подачи
Опубликуйте политику. Оператор, который собирает данные через интернет, обязан выложить на своём сайте документ о политике обработки персональных данных (часть 2 статьи 18.1). Сведения в политике и в уведомлении должны совпадать: те же данные, те же цели, те же иностранные сервисы.
Оформите согласие отдельно. С 1 сентября 2025 года согласие на обработку оформляется отдельно от других документов (закон 156-ФЗ). Спрятать его в пользовательское соглашение или оферту уже нельзя. На «Дневнике рыбака» при регистрации три отдельные галочки: соглашение, согласие на обработку данных и политика.
Следите за изменениями. Если сменили хостера или дата-центр, подключили новый счётчик, добавили рассылку или иностранный сервис, подайте уведомление об изменении сведений. Форма для этого есть на той же странице портала, количество таких уведомлений не ограничено.
Если закрываете сайт, подайте уведомление о прекращении обработки, и вас исключат из реестра.
Штрафы за неподачу уведомления
С 30 мая 2025 года действует закон 420-ФЗ, который ввёл в статью 13.11 КоАП отдельную часть 10 за неподачу уведомления и сильно поднял штрафы за утечки.
| Нарушение | Гражданин | Должностное лицо | ИП и организация |
|---|---|---|---|
| Не подано или подано с опозданием уведомление о намерении обрабатывать данные (ч. 10) | 5-10 тыс. ₽ | 30-50 тыс. ₽ | 100-300 тыс. ₽ |
| Нет опубликованной политики обработки (ч. 3) | 1,5-3 тыс. ₽ | 6-12 тыс. ₽ | ИП 10-20 тыс. ₽, организация 30-60 тыс. ₽ |
| Обработка без согласия, когда оно нужно (ч. 2) | 10-15 тыс. ₽ | 100-300 тыс. ₽ | 300-700 тыс. ₽ |
По части 10 индивидуальные предприниматели отвечают как организации, так что для ИП штраф от 100 тыс. рублей. Самозанятый без статуса ИП отвечает как гражданин. Самые большие суммы, вплоть до оборотных штрафов от 1 до 3 % выручки (максимум 500 млн рублей), положены организациям за повторную утечку данных. Для небольшого сайта главное другое: реестр открыт, и проверить, подавал ли владелец сайта уведомление в Роскомнадзор об обработке персональных данных, может любой.
Частые ошибки
- Не сохранили номер и ключ. Страница с ними показывается один раз. Без них не проверить статус и не заполнить новую форму данными из старой.
- Указали меньше, чем собирает сайт. Например, только e-mail, хотя на сайте стоит счётчик с cookie. Сверьте уведомление с политикой. Сверьте и уведомления между собой: если в трансграничном указан IP-адрес, а в основном только e-mail, это тоже расхождение. Такие ошибки исправляются уведомлением об изменении сведений.
- Забыли про иностранные сервисы. Шрифты, карты, CDN и аналитика за рубежом легко выпадают из поля зрения, потому что их подключают одной строкой в шаблоне.
- Указали юридический адрес хостера вместо адреса ЦОД. В форме нужен адрес дата-центра, где стоит сервер.
- Поставили дату начала обработки наугад. Это фактическая дата, когда сайт начал собирать данные. Если сайт работает давно, а уведомления не было, лучше подать его сейчас, чем ждать.
- Не подали изменения. Переезд на другой хостинг тоже изменение: меняется адрес базы данных.
Частые вопросы
Нужно ли уведомление в Роскомнадзор, если на сайте только Яндекс Метрика?
По форме уведомления Роскомнадзор считает «сведения, собираемые посредством метрических программ» отдельной категорией персональных данных. Значит, сайт со счётчиком собирает персональные данные, и уведомление нужно.
Можно ли подать уведомление об обработке персональных данных через Госуслуги?
Учётная запись Госуслуг используется для входа: на pd.rkn.gov.ru выберите подачу через ЕСИА, войдите своей учётной записью и заполните форму. Бумагу и электронную подпись в этом случае не требуют. Так подавал я.
Как проверить, есть ли оператор в реестре Роскомнадзора?
На pd.rkn.gov.ru в разделе «Реестр операторов» есть поиск по ИНН, названию и регистрационному номеру. Статус ещё не рассмотренного уведомления проверяется по номеру и ключу в разделе «Проверка состояния уведомления».
Нужно ли подавать уведомление самозанятому?
Да, исключений для самозанятых в законе нет. В форме для этого есть тип оператора «Физическое лицо (самозанятый)». Я подавал именно так.
Сколько стоит подать уведомление?
Нисколько. Часть 5 статьи 22 запрещает возлагать на оператора расходы за рассмотрение уведомления и внесение в реестр. Платить посредникам за «регистрацию в РКН» не обязательно, форму можно заполнить самому.
Что изменить в уведомлении, если я сменил хостинг?
Подайте уведомление об изменении сведений не позднее 15-го числа месяца, следующего за переездом, и укажите новый адрес ЦОД и компанию, которая хранит данные. Если новый хостинг за рубежом, понадобится ещё и уведомление о трансграничной передаче.
Источники (12)
- Федеральный закон № 152-ФЗ «О персональных данных», статья 22 - КонсультантПлюс
- Федеральный закон № 152-ФЗ, статья 12. Трансграничная передача персональных данных - КонсультантПлюс
- Федеральный закон № 152-ФЗ, статья 1 - legalacts.ru
- Федеральный закон № 152-ФЗ, статья 18 - legalacts.ru
- Федеральный закон № 152-ФЗ, статья 18.1 - legalacts.ru
- Федеральный закон № 152-ФЗ, статья 21 - legalacts.ru
- КоАП РФ, статья 13.11. Нарушение законодательства в области персональных данных - КонсультантПлюс
- Закон 156-ФЗ: согласие на обработку отдельно от других документов - КонсультантПлюс
- Электронные формы заявлений - Портал персональных данных Роскомнадзора
- Информация по заполнению уведомления о намерении осуществлять обработку ПД (PDF) - Роскомнадзор
- Трансграничная передача - Портал персональных данных Роскомнадзора
- Приказ Роскомнадзора № 128 от 05.08.2022: перечень государств с адекватной защитой - RPPA
Комментарии
Пока никто не написал. Будьте первым.