Нужно ли уведомлять Роскомнадзор о персональных данных на сайте в 2026 году

Владелец сайта может аккуратно оформить форму, разместить политику и получить согласия пользователей - и все равно пропустить отдельную обязанность, которая вообще не видна на странице: уведомление Роскомнадзора о намерении обрабатывать персональные данные.

С 30 мая 2025 года ошибка стала ощутимо дороже. Для юридических лиц за неподачу или несвоевременную подачу уведомления действует штраф от 100 000 до 300 000 рублей.

Поэтому вопрос «нужно ли регистрировать сайт в Роскомнадзоре» лучше формулировать точнее: являетесь ли вы оператором персональных данных, есть ли у вас обработка, о которой по статье 22 Закона № 152-ФЗ необходимо уведомить Роскомнадзор, и не попадает ли ваш конкретный случай в одно из оставшихся исключений.

Что говорит статья 22 Закона № 152-ФЗ

Общее правило части 1 статьи 22: оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку, кроме случаев, перечисленных в части 2.

Для обычного бизнеса важно, что с 1 сентября 2022 года пункты 1-6 части 2 утратили силу. Среди оставшихся исключений есть, например, обработка исключительно без использования средств автоматизации и специальные случаи, связанные с государственными информационными системами и транспортной безопасностью.

Поэтому старые статьи в интернете с логикой «если данные нужны только для договора с клиентом, уведомлять не надо» могут описывать уже недействующую редакцию закона.

Сайт сам по себе не «регистрируется»

В реестр вносится оператор персональных данных, а не доменное имя как самостоятельный субъект.

Но сайт часто является одним из каналов обработки. Если компания или предприниматель через сайт получает имена, телефоны, email, данные заказов, обращения или иные сведения об определяемых людях, это нужно учитывать в общей карте обработки оператора.

Типичные признаки, что вопрос об уведомлении нужно проверить:

• форма обратной связи;
• заказ обратного звонка;
• интернет-магазин;
• регистрация/личный кабинет;
• CRM, куда уходят заявки;
• подписка или рассылка;
• анкеты кандидатов;
• пользовательская поддержка;
• иные автоматизированные процессы с персональными данными.

Почему в мае 2025 года бизнес массово пошел в реестр

30 мая 2025 года Роскомнадзор сообщил «Российской газете» о резком росте числа уведомлений.

По данным ведомства, обычно поступало 500-800 уведомлений в день, но за одни сутки через портал персональных данных поступило около 390 000 уведомлений. Общее количество зарегистрированных уведомлений выросло до 1,28 млн против 0,97 млн в конце апреля.

РКН прямо связывал всплеск с ужесточением ответственности.

Это не доказательство того, что каждому владельцу любой страницы обязательно нужно подавать новую форму. Но это хороший индикатор того, насколько сильно изменилось отношение бизнеса к риску после появления специального штрафа.

Какой штраф действует сейчас

Часть 10 статьи 13.11 КоАП РФ устанавливает ответственность за невыполнение или несвоевременное выполнение обязанности по уведомлению Роскомнадзора о намерении осуществлять обработку персональных данных.

Для юридических лиц штраф составляет 100 000-300 000 ₽.

Для индивидуальных предпринимателей по отдельным частям статьи 13.11 действуют специальные правила приравнивания к юридическим лицам, поэтому субъект ответственности и конкретную часть КоАП нужно проверять применительно к ситуации, а не переносить цифры автоматически.

Что должно быть в уведомлении

Статья 22 перечисляет сведения, которые сообщает оператор. Среди них:

• наименование/ФИО и адрес оператора;
• цель обработки;
• категории персональных данных и субъектов для каждой цели;
• правовое основание;
• перечень действий и способы обработки;
• меры защиты;
• ответственное лицо;
• дата начала обработки;
• срок или условие прекращения;
• сведения о трансграничной передаче;
• сведения о месте нахождения базы данных граждан РФ;
• сведения об обеспечении безопасности.

Из этого видно, почему заполнять уведомление «по шаблону из Telegram» рискованно. Оно должно соответствовать реальной архитектуре обработки.

Что проверить перед подачей

1. Инвентаризировать процессы

Нужно знать не только сайт, но и CRM, почту, телефонию, бухгалтерские системы, кадровые процессы и подрядчиков.

2. Разделить цели обработки

Заявка клиента, исполнение договора, рассылка, найм сотрудника - разные цели. Для каждой могут быть разные категории данных, основания и сроки.

3. Проверить локализацию и инфраструктуру

При сборе данных граждан РФ через интернет действует правило статьи 18 о первичной записи/систематизации/накоплении/хранении и других операциях с использованием баз данных на территории РФ, за предусмотренными законом исключениями. Это отдельный вопрос от самого уведомления.

4. Сверить уведомление с политикой

Плохо, если в уведомлении одна модель, в политике другая, а реальный сайт работает по третьей.

5. Не забывать обновлять сведения

При изменении сведений оператор должен уведомлять Роскомнадзор в установленный частью 7 статьи 22 срок. Обязанность не заканчивается после первой подачи.

Можно ли понять обязанность только по сайту

Не всегда.

Автоматический аудит страницы способен показать сигналы обработки: формы, документы, часть технических сервисов. Но вывод об обязанности уведомить Роскомнадзор требует информации, которой на странице может не быть: организационно-правовой статус оператора, все цели обработки, внутренние системы, исключения, инфраструктура и уже поданные сведения.

Поэтому хорошая последовательность такая:

1. проверить видимые риски сайта;
2. составить реестр реальных процессов обработки;
3. проверить запись в реестре операторов и актуальность сведений;
4. при необходимости подготовить/уточнить уведомление.

Если нужен именно вывод по обязанности уведомлять, корректности целей, категориям данных и сведениям реестра, это относится к содержательной юридической проверке.

Частые ошибки

• использовать старую статью до изменений 2022 года;
• считать, что «маленький сайт» автоматически освобожден;
• подавать уведомление только по формам сайта, игнорируя работников и другие процессы;
• копировать чужие цели обработки;
• забыть изменить уведомление после подключения новой CRM/рассылки;
• считать запись в реестре доказательством полного соблюдения 152-ФЗ;
• путать уведомление Роскомнадзора с политикой или согласием пользователя.

Источники

• 152-ФЗ, ст. 22: https://www.consultant.ru/document/cons_doc_LAW_61801/d996966e22e1320c9de1ab82d9f6be12c3d9d765/
• 152-ФЗ, ст. 18: https://www.consultant.ru/document/cons_doc_LAW_61801/cbf4e15b7c330f9372e876cdf2bc928bad7950ef/
• КоАП РФ, ст. 13.11: https://www.consultant.ru/document/cons_doc_LAW_34661/1f421640c6775ff67079ebde06a7d2f6d17b96db/
• Федеральный закон № 420-ФЗ от 30.11.2024: https://publication.pravo.gov.ru/document/0001202411300011
• Российская газета, данные РКН о 390 тыс. уведомлений за сутки: https://rg.ru/2025/05/30/rkn-fiksiruet-rekordnye-cifry-po-chislu-uvedomlenij-ob-obrabotke-persdannyh.html