Уведомление в Роскомнадзор об обработке персональных данных: 152-ФЗ

Коротко: уведомление в Роскомнадзор об обработке персональных данных закон 152-ФЗ называет уведомлением уполномоченного органа о намерении осуществлять обработку. По части 1 статьи 22 закона 152-ФЗ оператор обязан подать его до начала обработки, кроме случаев из части 2. Штраф за невыполнение или несвоевременное выполнение этой обязанности указан в части 10 статьи 13.11 КоАП РФ.

Здесь разобран текст закона и формы из приказа Роскомнадзора. В тексте нет образца заполненного уведомления и нет оценки конкретного сайта. Заключение юриста он не заменяет и защиту от штрафа не обещает. Порядок подачи на сайте Роскомнадзора или на Госуслугах здесь не рассматривается: границы задают статья 22 закона 152-ФЗ, статья 13.11 КоАП РФ и формы из приказа. Тексты сверены 05.10.2026 на consultant.ru и publication.pravo.gov.ru, статус приказа - на справочной странице Контур.Экстерн: закон 152-ФЗ в редакции от 26.07.2026, КоАП РФ в редакции от 04.08.2026.

Кто и когда обязан уведомить?

Коротко: уведомить уполномоченный орган обязан оператор, и сделать это нужно до начала обработки. Исключения названы в части 2 той же статьи.

Обязанность записана в первой части статьи 22 (Статья 22. Уведомление об обработке персональных данных \ КонсультантПлюс):

«Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи.»

В норме четыре элемента: кто обязан (оператор), кого уведомляет (уполномоченный орган), когда («до начала обработки») и в каких случаях обязанности нет («частью 2»).

Оператора пункт 2 статьи 3 определяет через решения: это тот, кто организует или осуществляет обработку и определяет «цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции)» (Статья 3. Основные понятия, используемые в настоящем Федеральном законе \ КонсультантПлюс). Полный текст определения и пример с формой на сайте есть в статье о политике конфиденциальности для сайта. Там же объяснено, чем документ о политике отличается от уведомления; про согласие рассказано в статье о согласии.

При чём здесь Роскомнадзор, если в статьях 22 и 23 такого слова нет?

Коротко: в статьях 22 и 23 стоит «уполномоченный орган по защите прав субъектов персональных данных». Формы уведомлений утвердил приказ Роскомнадзора от 28.10.2022 № 180, и в нём названа часть 8 статьи 22.

Статья 23 определяет уполномоченный орган по функции (Статья 23. Уполномоченный орган по защите прав субъектов персональных данных \ КонсультантПлюс, часть 1):

«Уполномоченным органом (...) является федеральный орган исполнительной власти, осуществляющий самостоятельно функции по контролю и надзору за соответствием обработки персональных данных требованиям законодательства Российской Федерации (...).»

Название ведомства в этих статьях не приведено. Часть 8 статьи 22 поручает этому органу установить формы:

«Формы уведомлений, предусмотренных частями 1, 4.1 и 7 настоящей статьи, устанавливаются уполномоченным органом по защите прав субъектов персональных данных.»

Из приказа от 28.10.2022 № 180 видно, что формы по части 8 статьи 22 утвердил Роскомнадзор. Приказ издала Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций, в шапке документа она названа «(РОСКОМНАДЗОР)». Вводная часть приказа начинается словами: «В соответствии с частью 8 статьи 22 Федерального закона от 27 июля 2006 г. № 152-ФЗ (...)».

Приказ утверждает три формы: уведомление о намерении осуществлять обработку (приложение № 1), уведомление об изменении сведений (приложение № 2) и уведомление о прекращении обработки (приложение № 3) (Приказ Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 28.10.2022 № 180 ∙ Официальное опубликование правовых актов).

Минюст зарегистрировал его 15.12.2022 под номером 71532, тогда же он опубликован. Справочная страница Контур.Экстерн показывает у него статус «Действует» и дату вступления в силу 26.12.2022 (Приказ Роскомнадзора от 28.10.2022 N 180 - Редакция от 28.10.2022 - Контур.Экстерн).

Что считается обработкой и автоматизированной обработкой?

Коротко: пункт 3 статьи 3 называет обработкой любое действие с данными, включая сбор, запись и хранение. Автоматизированной по пункту 4 считается обработка с помощью средств вычислительной техники.

Определения даны в статье 3. Пункт 3:

«любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств (...), включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), (...) удаление, уничтожение персональных данных»

Пункт 4:

«обработка персональных данных с помощью средств вычислительной техники»

Список действий в пункте 3 шире, чем «сбор»: в него входят запись, хранение, использование, передача, удаление. Для сайта с формой это даёт перечень вопросов: принимаются ли сведения из формы, записываются ли они куда-то, хранятся ли, передаются ли дальше, например в почту, в таблицу или в программу учёта заказов.

Какие исключения остались в части 2 статьи 22?

Коротко: действуют три пункта части 2: 7, 8 и 9. Пункты 1-6 утратили силу с 1 сентября 2022 года. Для сайта с формой читателю нужно сопоставить с формулировкой пункта 8 то, как обрабатываются данные.

Вводная фраза части 2: «Оператор вправе осуществлять без уведомления уполномоченного органа (...) обработку персональных данных:». Дальше в тексте части стоят пункты:

• пункты 1-6: «утратили силу с 1 сентября 2022 года. - Федеральный закон от 14.07.2022 N 266-ФЗ»;
• седьмой пункт допускает без уведомления обработку данных, «включенных в государственные информационные системы (...), созданные в целях защиты безопасности государства и общественного порядка»;
• в восьмом пункте названа ситуация, когда «оператор осуществляет деятельность по обработке (...) исключительно без использования средств автоматизации»;
• девятый пункт говорит об обработке данных, «обрабатываемых в случаях, предусмотренных законодательством Российской Федерации о транспортной безопасности, в целях обеспечения устойчивого и безопасного функционирования транспортного комплекса, защиты интересов личности, общества и государства в сфере транспортного комплекса от актов незаконного вмешательства».

Тексты старых пунктов 1-6 здесь не приводятся: они не действуют. Если в материале, на который вы опираетесь, исключения описаны иначе, сверьте его с частью 2 в действующей редакции.

Пункт 8 построен на слове «исключительно» и охватывает деятельность по обработке без средств автоматизации целиком. Автоматизированной обработкой названа обработка «с помощью средств вычислительной техники» (пункт 4 статьи 3). Чтобы сопоставить две формулировки, владельцу сайта нужно записать, что происходит с данными из формы: какие действия выполняют программы и сервисы, а какие выполняют люди на бумаге. Подходит ли под пункты 7, 8 или 9 конкретный сайт - вопрос к юристу.

Как закон относится к ИП и самозанятым?

Коротко: части 1 и 2 статьи 22 не делят операторов на ИП, самозанятых и организации. Отдельной нормы о самозанятых в статьях 3, 22 и 23 закона 152-ФЗ и статье 13.11 КоАП нет.

В пункте 2 статьи 3 оператор назван так: «государственный орган, муниципальный орган, юридическое или физическое лицо». В тексте частей 1 и 2 статьи 22 нет слов об индивидуальных предпринимателях и самозанятых, нет и слов о наличии работников; слов о самозанятых нет и в статьях 3 и 23.

Индивидуальные предприниматели названы в примечании 1 к статье 13.11 КоАП РФ и в формах из приказа № 180. В форме уведомления о намерении первая графа начинается со слов «(фамилия, имя и отчество (при наличии) гражданина или индивидуального предпринимателя», а затем идут данные юридического лица. Графа показывает, кто может быть указан в уведомлении. Круг обязанных лиц определяют части 1 и 2 статьи 22.

Вопрос, нужно ли подавать уведомление ИП без сотрудников или самозанятому, сводится к тем же вопросам, что и для любого оператора. Определяет ли он цели и состав данных (пункт 2 статьи 3)? Какие действия с данными выполняет? Применимо ли к его деятельности одно из исключений части 2? Ответ для конкретного человека зависит от ответов на эти три вопроса.

Какие сведения входят в уведомление?

Коротко: часть 3 статьи 22 перечисляет сведения, часть 3.1 добавляет для каждой цели обработки пять позиций. Форма из приказа № 180 повторяет этот перечень в графах.

Часть 3.1 устроена так (статья 22):

«При предоставлении сведений, предусмотренных частью 3 настоящей статьи, оператор для каждой цели обработки персональных данных указывает категории персональных данных, категории субъектов, персональные данные которых обрабатываются, правовое основание обработки персональных данных, перечень действий с персональными данными, способы обработки персональных данных.»

В форме (приложение № 1 к приказу) для каждой цели повторяется один и тот же блок граф, под номерами «1)», «2)» и «<№>». Сведения, которые зависят от устройства сайта, собраны в таблице: первые шесть строк опираются на пункт 2 части 3 и часть 3.1, последние две - на пункты 10 и 10.1 части 3. Колонка со словами формы цитирует приказ № 180, в колонке с вопросами стоят вопросы к владельцу сайта.

Какие основания обработки называет закон, разобрано в статье о согласии. Трансграничную передачу пункт 11 статьи 3 определяет как «передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу». Вопрос о месте базы данных связан с тем, где размещён сайт; хостинг объяснён в статье о домене и хостинге.

Остальные сведения из части 3 в форме тоже есть. Первая графа - наименование оператора и адрес (пункт 1); к ним в форме добавлены «идентификационный номер налогоплательщика и (или) основной государственный регистрационный номер». Дальше названы лица, ответственные за организацию обработки (пункт 7.1), дата начала обработки (пункт 8), срок или условие прекращения обработки (пункт 9) и лица, которые имеют доступ к данным в государственных и муниципальных информационных системах или обрабатывают их по договору (пункт 10.2).

Ещё две графы называют меры: описание мер, предусмотренных статьями 18.1 и 19 закона, в том числе сведения о наличии шифровальных (криптографических) средств (пункт 7), и сведения об обеспечении безопасности по требованиям Правительства (пункт 11). Содержание мер по статьям 18.1 и 19 и требований Правительства здесь не пересказывается; пункты 3-6 части 3 «утратили силу с 1 сентября 2022 года».

Дата начала обработки в форме записывается как «число, месяц, год»; для срока или условия прекращения форма предлагает «число, месяц, год или основание (условие), наступление которого повлечет прекращение обработки (...)».

Как направляется уведомление?

Коротко: по части 3 уведомление направляется документом на бумажном носителе или в форме электронного документа и подписывается уполномоченным лицом. Форма утверждена приказом № 180.

Первая фраза части 3 (статья 22):

«Уведомление, предусмотренное частью 1 настоящей статьи, направляется в виде документа на бумажном носителе или в форме электронного документа и подписывается уполномоченным лицом.»

Форма из приложения № 1 заканчивается графами для подписи: фамилия, имя, отчество (при наличии) и должность (при наличии) оператора или иного уполномоченного лица оператора, подпись, расшифровка подписи и дата. О способе направления часть 3 говорит только это. Способ подачи на сайте Роскомнадзора или через Госуслуги в этот текст не входит: часть 3 называет только вид документа и подпись.

Что происходит после подачи?

Коротко: уполномоченный орган в течение тридцати дней с даты поступления уведомления вносит сведения в реестр операторов (часть 4). Сведения реестра, кроме сведений о средствах обеспечения безопасности, общедоступны.

Часть 4 называет срок для органа (статья 22):

«Уполномоченный орган (...) в течение тридцати дней с даты поступления уведомления об обработке персональных данных вносит сведения, указанные в части 3 настоящей статьи, а также сведения о дате направления указанного уведомления в реестр операторов. Сведения, содержащиеся в реестре операторов, за исключением сведений о средствах обеспечения безопасности (...) при их обработке, являются общедоступными.»

Тридцать дней отсчитывает часть 4 для действий органа. Срока для оператора в днях в ней нет, связи этих тридцати дней с началом обработки она не устанавливает. Вести реестр операторов уполномоченный орган обязан по пункту 3 части 5 статьи 23.

Ещё два положения статьи 22 относятся к этому этапу. Часть 5: «На оператора не могут возлагаться расходы в связи с рассмотрением уведомления (...), а также в связи с внесением сведений в реестр операторов». Часть 6: в случае предоставления неполных или недостоверных сведений, указанных в части 3, уполномоченный орган «вправе требовать от оператора уточнения предоставленных сведений до их внесения в реестр операторов».

В какой срок сообщать об изменениях и о прекращении обработки?

Коротко: об изменениях сведений - не позднее 15-го числа месяца, следующего за месяцем, когда они возникли. О прекращении обработки - в течение десяти рабочих дней с даты прекращения (часть 7).

Оба срока записаны в части 7 (статья 22):

«В случае изменения сведений, указанных в части 3 настоящей статьи, оператор не позднее 15-го числа месяца, следующего за месяцем, в котором возникли такие изменения, обязан уведомить уполномоченный орган (...) обо всех произошедших за указанный период изменениях. В случае прекращения обработки (...) оператор обязан уведомить об этом уполномоченный орган (...) в течение десяти рабочих дней с даты прекращения обработки (...).»

Пример для расчёта срока. Если одно из сведений из части 3 изменилось в октябре, то по части 7 об этом нужно уведомить не позднее 15 ноября. Одно уведомление охватывает период: оператор уведомляет «обо всех произошедших за указанный период изменениях».

Для изменений и для прекращения утверждены отдельные формы: приложения № 2 и № 3 к приказу № 180. В обеих есть графа «регистрационный номер записи в реестре операторов», поэтому номер записи нужно будет указать при следующих уведомлениях. В приложении № 2 есть также графа «Дата изменения сведений, содержащихся в уведомлении о намерении осуществлять обработку (...)» и блоки для цели, категорий данных и субъектов, правового основания, перечня действий и способов обработки. В приложении № 3 указываются основание прекращения обработки и дата прекращения.

Часть 4.1 называет срок для органа: он «в течение тридцати дней с даты поступления от оператора уведомления о прекращении обработки (...) исключает сведения, указанные в части 3 настоящей статьи, из реестра операторов».

Какой штраф установлен за неподачу уведомления?

Коротко: часть 10 статьи 13.11 КоАП РФ устанавливает штраф за невыполнение или несвоевременное выполнение обязанности уведомить о намерении осуществлять обработку. Суммы по категориям указаны в таблице; индивидуальные предприниматели отвечают как юридические лица (примечание 1).

Состав нарушения в части 10 (КоАП РФ Статья 13.11. Нарушение законодательства Российской Федерации в области персональных данных \ КонсультантПлюс):

«Невыполнение или несвоевременное выполнение оператором предусмотренной законодательством Российской Федерации в области персональных данных обязанности по уведомлению уполномоченного органа (...) о намерении осуществлять обработку (...)»

Размеры штрафа в той же части:

Примечания 1-3 к статье 13.11 уточняют круг лиц.

Примечание 1:

«За административные правонарушения, предусмотренные частями 1.1, 8 - 18 настоящей статьи, (...) индивидуальные предприниматели несут административную ответственность как юридические лица.»

Примечание 2:

«В частях 10 - 18 настоящей статьи под должностным лицом понимается должностное лицо государственного или муниципального органа либо некоммерческой организации.»

Примечание 3:

«В частях 10 - 18 настоящей статьи под юридическим лицом понимается оператор - юридическое лицо, не являющееся государственным или муниципальным органом либо некоммерческой организацией.»

Часть 10 введена Федеральным законом от 30.11.2024 N 420-ФЗ. Суммы взяты из текста статьи 13.11 на consultant.ru (редакция КоАП РФ от 04.08.2026, проверено 05.10.2026). Часть 11 той же статьи относится к другому уведомлению; её суммы и порядок назначения наказания в конкретном деле в этот текст не вошли.

Что выяснить до запуска сайта?

Коротко: до запуска стоит записать, какие данные собирает каждая форма, для чего, куда они попадают и с какой даты начнут приниматься. Эти ответы нужны для граф уведомления и для вопроса юристу о части 2 статьи 22.

Вымышленный пример. Мастерская мебели на example.ru собирает заявки: форма заказа расчёта принимает имя, телефон и почту, страница оформления заказа принимает адрес доставки. Владелец записывает, на какие вопросы ему предстоит ответить:

• Телефон из формы расчёта нужен только для ответа на заявку или ещё и для доставки? Сколько получается целей?
• Чьи данные приходят: заказчиков, посетителей, кого-то ещё?
• Что происходит с заявкой после отправки: она записывается, хранится, передаётся менеджеру?
• Где находится база данных, в которую попадают заявки, и какая компания размещает сайт?
• С какой даты форма начнёт принимать данные?

Порядок действий:

1. Выпишите страницы и формы сайта, куда посетитель вводит данные, например форму заявки, обратный звонок и оформление заказа.
2. Для каждой цели запишите ответы на пять позиций части 3.1: категории данных, категории субъектов, правовое основание, перечень действий, способы обработки.
3. Выясните, где находится база данных и какие сервисы получают данные из формы (графы пунктов 10 и 10.1 части 3).
4. Запишите дату, с которой данные начнут поступать: по части 1 уведомление подаётся до начала обработки, и в форме есть графа «Дата начала обработки (...)».
5. Определите, кто будет подписывать уведомление: по части 3 его подписывает уполномоченное лицо.
6. Вопрос о применимости к сайту части 2 и о том, нужно ли уведомление, передайте юристу вместе с записанными ответами.
7. Если после запуска меняется что-то из сведений части 3, об этом уведомляют не позднее 15-го числа следующего месяца (часть 7 статьи 22).

Услуги студии BITSPARK перечислены на главной странице.

Источники

• Статья 22. Уведомление об обработке персональных данных \ КонсультантПлюс - Федеральный закон от 27.07.2006 N 152-ФЗ «О персональных данных», ред. от 26.07.2026, сверено 05.10.2026.
• Статья 3. Основные понятия, используемые в настоящем Федеральном законе \ КонсультантПлюс - закон 152-ФЗ, ред. от 26.07.2026, сверено 05.10.2026.
• Статья 23. Уполномоченный орган по защите прав субъектов персональных данных \ КонсультантПлюс - закон 152-ФЗ, ред. от 26.07.2026, сверено 05.10.2026.
• КоАП РФ Статья 13.11. Нарушение законодательства Российской Федерации в области персональных данных \ КонсультантПлюс - Кодекс Российской Федерации об административных правонарушениях от 30.12.2001 N 195-ФЗ, ред. от 04.08.2026, сверено 05.10.2026.
• Приказ Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 28.10.2022 № 180 ∙ Официальное опубликование правовых актов - опубликован 15.12.2022, номер опубликования 0001202212150022, сверено 05.10.2026.
• Приказ Роскомнадзора от 28.10.2022 N 180 - Редакция от 28.10.2022 - Контур.Экстерн - справочная страница, статус «Действует», сверено 05.10.2026.

Обсудить проект в Telegram: t.me/billioniks