Статья 22 152-ФЗ обязывает оператора уведомить Роскомнадзор о своём намерении обрабатывать персональные данные до начала такой обработки. На практике многие компании либо не знают об этой обязанности, либо путают её с регистрацией юридического лица и полагают, что уведомление подаётся автоматически — это не так, это отдельное действие.

Кому нужно подавать уведомление

Обязанность распространяется практически на любую компанию или ИП, которые собирают персональные данные через сайт: заявки с именем и телефоном, оформление заказа, подписку на рассылку, регистрацию личного кабинета. Закон предусматривает исключения — например, для обработки данных исключительно в рамках трудовых отношений со своими сотрудниками без передачи третьим лицам, или для обработки без использования средств автоматизации в отдельных случаях. Но для сайта, который принимает заявки от посетителей и хранит их в CRM или почте, исключения обычно не применяются.

Как подать уведомление

Уведомление подаётся через личный кабинет на портале Роскомнадзора или через портал Госуслуг в разделе, посвящённом персональным данным. В форме нужно указать:

  • Реквизиты оператора (название, ИНН, адрес, контакты ответственного за обработку данных)
  • Цель обработки персональных данных (например, «обработка заявок с сайта», «исполнение договора оказания услуг»)
  • Категории обрабатываемых данных (ФИО, телефон, e-mail, адрес и так далее)
  • Категории субъектов, чьи данные обрабатываются (клиенты, посетители сайта, соискатели)
  • Правовое основание обработки — обычно это согласие субъекта или исполнение договора
  • Сведения о месте хранения базы данных и о том, происходит ли трансграничная передача

Рассмотрение уведомления занимает до 30 рабочих дней, после чего оператора вносят в реестр операторов персональных данных, который ведёт Роскомнадзор, — этот реестр публичный и доступен для проверки.

Что будет, если уведомление не подано

Отсутствие уведомления при обязанности его подать — самостоятельный состав нарушения по статье 13.11 КоАП РФ. Для юридического лица штраф обычно составляет до 300 тысяч рублей. Отдельная сложность в том, что проверить факт нарушения легко: достаточно найти компанию в реестре операторов, и если её там нет — это уже основание для предписания.

Уведомление нужно обновлять

Частая ошибка — подать уведомление один раз при запуске сайта и больше к нему не возвращаться. Если цели обработки меняются (например, сайт начал собирать данные для новой услуги, подключил рассылку, которой раньше не было, или начал передавать данные партнёру), об этом тоже нужно уведомить Роскомнадзор — актуализацией существующего уведомления, а не новым документом с нуля.

Отдельное уведомление для трансграничной передачи

Важно не путать общее уведомление об обработке по статье 22 с уведомлением о трансграничной передаче данных по статье 12 — это два разных документа с разными формами и сроками подачи. Если сайт подключает зарубежные сервисы аналитики или хранит данные на зарубежном хостинге, может понадобиться оба уведомления.

Перед тем как разбираться, какое именно уведомление нужно и нужно ли оно вообще, полезно понять, что фактически происходит на сайте: какие данные собираются, куда они уходят, какие внешние сервисы подключены. Бесплатный сканер как раз показывает эту картину за одну проверку — какие сервисы получают данные посетителей и есть ли среди них зарубежные.