Уведомление об обработке персональных данных подаётся до начала обработки, а не после проверки и не «когда вырастем». По состоянию на сентябрь 2026 года подавать его обязана практически любая компания, у которой есть штат и клиентская база: перечень исключений в части 2 статьи 22 152-ФЗ сокращали в 2022 году, и самое популярное из них — «мы обрабатываем только данные своих работников» — оттуда убрали. Каналов подачи два: форма на портале персональных данных Роскомнадзора и Госуслуги с электронной подписью.
На этом простая часть заканчивается. Само заполнение занимает час, а проблемы начинаются потом — потому что уведомление публично. Оно попадает в открытый реестр операторов, где его может открыть кто угодно: конкурент, клиент, журналист и, разумеется, проверяющий. И там написано, что именно вы делаете с данными, зачем, как долго храните и какие меры защиты применяете. Всё это вы теперь обязаны исполнять ровно так, как написали.
Мы инженерное бюро, а не юридическая фирма. Наш угол в этой теме — не «как правильно трактовать норму», а «как сделать так, чтобы поданные сведения совпадали с тем, что реально делают ваши системы». Ниже — разбор полей, в которых расхождение возникает чаще всего, срок подачи сведений об изменениях, модельный расчёт стоимости и отдельный список вопросов, с которыми идут к юристу. Все цифры и статусы — по состоянию на сентябрь 2026 года; редакцию нормы перед подачей нужно открыть действующую, а не эту статью.
Кто обязан уведомлять на сентябрь 2026 года
Обязанность возникает из части 1 статьи 22 152-ФЗ: оператор до начала обработки уведомляет уполномоченный орган о своём намерении обрабатывать персональные данные. Обязанность привязана не к размеру компании и не к наличию сайта, а к самому факту статуса оператора — а его вы получаете автоматически, как только решили, зачем и какие данные собираете. Как этот статус возникает и что он за собой тянет, мы разбирали отдельно: обязанностей там пятнадцать, и уведомление — только одна из них.
Исключения из части 2 статьи 22 остались, но они узкие. Их смысл после правок 2022 года сводится к отдельным ситуациям, прямо описанным в законе, — вроде обработки без средств автоматизации или разового оформления пропуска на территорию. Обычная компания с CRM, кадровым учётом, записью разговоров и формой на сайте ни под одно из них не попадает. Перечень трогали, и вероятность, что его тронут снова, высокая, поэтому действующую редакцию части 2 статьи 22 надо открыть перед подачей, а не полагаться на пересказ.
Практическая проверка занимает три вопроса. Если хотя бы на один вы отвечаете «да» — готовьте уведомление.
- 1Есть ли у вас хотя бы один сотрудник, оформленный по трудовому договору? Кадровый учёт ведётся в программе, а не в тетради, — значит, обработка автоматизированная, и старое исключение «только работники» здесь не спасает.
- 2Храните ли вы контакты клиентов, заявки или заказы в CRM, учётной системе, таблице в облаке или в почте? Ключевое слово — не «CRM», а «в системе»: таблица на общем диске это тоже автоматизированная обработка.
- 3Собирает ли ваш сайт хоть что-то: форму заявки, подписку, обратный звонок, запись на приём? Если да, обработка начинается в момент отправки формы, а уведомление, напомним, подаётся до начала обработки.
Это самая живучая ошибка в теме. Формулировка действительно была в перечне исключений, но её убрали правками 2022 года. С тех пор она кочует по статьям и коммерческим предложениям, потому что никто не сверяет источник. Компания на восемь человек без единого клиента в базе — всё равно оператор и всё равно уведомляет. Проверьте по действующей редакции части 2 статьи 22 152-ФЗ, а не по чужой статье, включая эту.
Схема слева направо из шести блоков. Слева два входа-канала: «Портал персональных данных Роскомнадзора: форма и электронная подпись» и «Госуслуги: подача с УКЭП организации». Оба сходятся в блок «Рассмотрение — до 30 дней». Далее блок «Запись в реестре операторов» с пометкой «открыт для всех». От него две стрелки вниз: «Клиент, конкурент, журналист» и «Проверка: сверка реестра с реальностью». Отдельная возвратная стрелка сверху от блока реестра назад ко входу с подписью «сведения об изменениях — до 15-го числа следующего месяца». Чертёжный стиль, подписи по-русски.
Два канала подачи и что происходит после
Подать можно двумя способами, и выбор между ними — вопрос того, какая подпись у вас уже есть, а не вопрос надёжности. Оба канала ведут в один и тот же реестр.
- 1Шаг 1. Собрать сведения до того, как открыть форму
Форма спрашивает конкретику: цели обработки, категории субъектов, категории данных, перечень действий, сроки, меры защиты, адреса баз данных, сведения об ответственном. Заполнять её «по ходу» — верный способ написать лишнее. Собранные сведения должны опираться на перечень мест обработки; если его нет, начинать надо с инвентаризации данных, а не с формы.
- 2Шаг 2. Выбрать канал
Портал персональных данных Роскомнадзора — специализированная форма, в ней подсказки по каждому полю и проверка обязательных значений. Госуслуги — привычный интерфейс и подпись организации, которая у большинства уже есть для отчётности. Функционально результат одинаковый: сведения уходят в территориальное управление по месту регистрации юридического лица.
- 3Шаг 3. Подписать и отправить
Уведомление подписывает руководитель или лицо, действующее по доверенности; при электронной подаче нужна усиленная квалифицированная электронная подпись организации. Если подписывает не директор, машиночитаемая доверенность должна быть оформлена заранее — это отдельная процедура, и она внезапно оказывается длиннее самой подачи.
- 4Шаг 4. Дождаться записи в реестре и сохранить подтверждение
Рассмотрение занимает до 30 дней, после чего сведения попадают в открытый реестр операторов. Сохраните подтверждение подачи и сделайте снимок своей записи в реестре: при проверке первым делом спрашивают именно факт подачи, и показать его надо за минуту, а не искать переписку двухлетней давности.
- 5Шаг 5. Свести уведомление с политикой и согласиями
Формулировки целей в уведомлении, в политике обработки на сайте и в форме согласия должны совпадать. Расхождение между ними — самая дешёвая для проверяющего находка: она видна из открытых источников, без всякого выезда и без запроса документов.
После подачи у вас появляется обязанность держать сведения актуальными. Это примерно 2 часа в квартал — сверить перечень систем и подрядчиков с тем, что подано, и при расхождении отправить сведения об изменениях. В деньгах — 4 400 ₽ за квартал по ставке инженера 2 200 ₽/час, около 17 600 ₽ в год. Компании, которые эти два часа не тратят, через полтора года обнаруживают в реестре описание бизнеса, которого у них уже нет.
Поля, в которых пишут лишнее
Это главный раздел статьи. Инженерная суть уведомления в том, что каждая написанная строка — это утверждение о вашей системе, которое можно проверить. Соблазн написать шире «на всякий случай, вдруг пригодится» понятен и стоит дорого: широкая формулировка не даёт вам свободы, она создаёт обязанность. Ниже — шесть полей, в которых расхождение между бланком и реальностью встречается чаще всего.
| Поле | Как пишут «на всякий случай» | Чем это оборачивается | Как сделать исполнимым |
|---|---|---|---|
| Цели обработки | «Маркетинг, реклама, аналитика, исследования» — списком, потому что звучит солидно | Каждая цель требует своего основания. Указали рекламу — обязаны показать отдельное согласие на неё по каждому субъекту | Перечислить только те цели, под которые есть основание и подтверждение. Новая цель — новые сведения об изменениях |
| Категории субъектов | «Физические лица» одной строкой | Под одной строкой скрываются клиенты, работники, кандидаты, представители контрагентов — с разными основаниями и сроками | Разделить по группам: клиенты, работники, кандидаты, представители юрлиц, посетители сайта |
| Категории данных | Забывают запись голоса, фотографию, геолокацию курьера, комментарии о здоровье | Запись разговора и комментарий «аллергия на анестетик» меняют режим обработки, а в уведомлении их нет | Пройти по всем системам и выписать реальные поля, включая свободные комментарии и вложения |
| Перечень действий | Копируют полный список из закона: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление, уничтожение | Указана передача, которой нет, или обезличивание, которого никто не делает. Проверяющий спросит про процедуру — процедуры не окажется | Оставить действия, которые действительно выполняются, и по каждому знать, в какой системе оно происходит |
| Сроки обработки | «До достижения целей» или «до отзыва согласия» — универсальная формула | Формула ничего не описывает, а бухгалтерские и кадровые данные всё равно хранятся годами по другим законам | Вывести срок из цели и указать реальный горизонт по группам данных, а не одну фразу на всё |
| Трансграничная передача | Ставят «нет», не проверив исходящие запросы сайта и подключённые сервисы | Самое частое расхождение: в реестре «нет», а зарубежная аналитика и чат-виджет работают на каждой странице | Проверить домены исходящих запросов сайта и список внешних сервисов до заполнения поля |
Отдельно про меры защиты. В этом поле привычно перечисляют всё, что слышали: шифрование, антивирус, разграничение доступа, журналирование, резервное копирование. Проблема ровно та же — вы описываете режим, который обязаны поддерживать. Написали «журналирование действий пользователей» — журнал должен вестись и в нужный момент открываться. Написали «разграничение прав доступа» — общая учётная запись `manager` с паролем на стикере превращается из бытового бардака в задокументированное несоответствие. Практическое правило простое: в поле мер защиты пишется то, что уже настроено, а не то, что планируется настроить. Планы указываются после того, как стали настройками.
Сравнение в две колонки по шести строкам-полям: цели обработки, категории субъектов, категории данных, перечень действий, сроки, трансграничная передача. Левая колонка «Написано на всякий случай» — широкие формулировки, помечена значком расхождения. Правая колонка «Исполнимо» — сузившиеся формулировки. Между колонками вертикальная линия с подписью «каждая лишняя строка — обязанность». Внизу отдельная строка «Меры защиты: пишем то, что уже настроено». Чертёжный стиль, подписи по-русски.
Трансграничная передача: две симметричные ошибки
Поле про передачу данных за границу заполняют неверно в обе стороны, и обе ошибки одинаково неприятны. Первая: поставили «да» на всякий случай, хотя никакой передачи нет, — и получили режим со своими требованиями и своим отдельным уведомлением, которого никто в компании не исполняет. Вторая, гораздо более частая: поставили «нет», потому что «мы же ничего никуда не отправляем», а данные уходят технически — через аналитику на сайте, чат-виджет, сервис рассылок, зарубежный CDN, к которому обращается форма заявки.
Второй случай коварен тем, что владелец бизнеса о нём честно не знает: скрипт на сайт поставил подрядчик три года назад. Проверка занимает 20 минут и делается инженером, а не юристом: открыть панель разработчика в браузере, посмотреть список исходящих запросов на странице с формой, выписать домены и сверить, где находится каждый сервис. Тот же вопрос возникает при подключении внешних ИИ-сервисов — что уходит наружу вместе с запросом к облачной модели, мы разбирали отдельно. Здесь важно одно: проверку надо делать до заполнения поля, а не после.
Ещё один узел — адреса баз данных. В уведомлении указывается, где физически находятся базы: своя серверная, российское облако, дата-центр провайдера. Эти сведения должны совпадать и с реальностью, и с требованием о размещении баз граждан России на территории страны — часть 5 статьи 18 152-ФЗ. Типовая находка — резервные копии: основная база честно лежит в российском облаке, а бэкапы много лет складываются в зарубежное хранилище, потому что так было настроено «по умолчанию» в момент запуска.
Сколько стоит подготовить и подать
Модельная компания: 60 человек, услуги плюс интернет-магазин. Системы — CRM в российском облаке, IP-телефония с записью разговоров, 1С:УНФ на своём сервере, сайт с формой заявки и онлайн-оплатой, сервис рассылок. Два подрядчика с доступом: интегратор и бухгалтерский аутсорс. Ставки — 2 200 ₽/час за инженера и 4 500 ₽/час за юриста, середина рынка на сентябрь 2026 года.
Реалистичная вилка по рынку — 25 000–120 000 ₽. Нижняя граница получается там, где перечень мест обработки уже составлен, систем три и внешних сервисов на сайте нет: остаётся заполнить форму и сверить её с политикой. Верхняя — там, где несколько юридических лиц, колл-центр, данные о здоровье клиентов и системы, доставшиеся от трёх разных подрядчиков: половина бюджета уходит на то, чтобы вообще выяснить, где что лежит. Отдельная строка — 17 600 ₽ в год на поддержание сведений в актуальном состоянии.
Сравнивать это разумно не с абстрактным риском, а с порядком ответственности. По состоянию на сентябрь 2026 года ответственность за нарушения в области персональных данных сосредоточена в статье 13.11 КоАП, и для юридического лица непредставление уведомления об обработке измеряется сотнями тысяч рублей. Точные диапазоны здесь намеренно не расписаны построчно: норму правили дважды за два года, и любая конкретная цифра в статье быстро становится ложью. Структуру ответственности и то, за что реально наказывают малый бизнес, мы разбирали отдельно — но и там цифры нужно сверять с действующей редакцией.
Диаграмма из двух элементов. Слева сплошной низкий столбец «Подготовка и подача уведомления — 50 900 ₽, разово» и под ним тонкая полоска «поддержание сведений — 17 600 ₽ в год». Справа не столбец, а заштрихованная полоса-диапазон, уходящая вверх, с подписью «Ответственность юрлица за непредставление уведомления — сотни тысяч рублей, ст. 13.11 КоАП, по состоянию на сентябрь 2026». Над правой полосой пометка «точная величина не показана намеренно: сверяйте действующую редакцию». Ось — рубли. Чертёжный стиль, подписи по-русски.
Когда уведомление подаётся заново
Уведомление живёт вместе с компанией. Как только меняются сведения, которые в нём указаны, подаются сведения об изменениях. Срок — не позднее 15-го числа месяца, следующего за месяцем, в котором изменение произошло. Это узкое окно, и оно почти всегда пропускается, потому что событие происходит в ИТ или в кадрах, а обязанность лежит на ответственном за обработку, который об этом событии узнаёт последним.
| Событие | Что меняется в сведениях | Кто в компании узнаёт первым |
|---|---|---|
| Уволился или сменился ответственный за организацию обработки | ФИО, должность и контакты ответственного лица | Кадры — и обычно никому не сообщают, потому что это «просто увольнение» |
| Переехали в другое облако или сменили провайдера | Адреса и местонахождение баз данных | Системный администратор или подрядчик, ведущий инфраструктуру |
| Подключили новый сервис: рассылки, коллтрекинг, чат на сайте | Перечень действий, иногда трансграничная передача | Маркетинг — событие вообще не воспринимается как значимое |
| Появился новый подрядчик с доступом к базе | Сведения о поручении обработки другому лицу | Руководитель проекта внедрения |
| Запустили новое направление или начали писать разговоры | Цели обработки, категории субъектов и данных | Коммерческий отдел |
| Сменился юридический адрес или наименование | Реквизиты оператора | Бухгалтерия |
| Прекратили обработку по одной из целей | Исключение цели, при полном прекращении — уведомление о прекращении | Руководитель |
Инженерное решение этой проблемы не в дисциплине, а в том, чтобы поставить проверку в уже существующий процесс. Работает три встроенных крючка. Первый — чек-лист приёмки любого проекта внедрения: пункт «нужны ли сведения об изменениях» рядом с пунктом «переданы ли доступы». Второй — процедура увольнения: если увольняется ответственный за обработку, кадровая заявка автоматически создаёт задачу. Третий — ежеквартальная сверка перечня подключённых сервисов, те самые 2 часа. Ни один из этих крючков не требует нового сотрудника, но без них срок до 15-го числа не соблюдается никогда.
Новый интегратор получает доступ к боевой базе в понедельник, а поручение обработки и сведения об изменениях никто не оформляет, потому что «это же временно, на период настройки». Через год этот доступ всё ещё активен, а в реестре подрядчика нет. Порядок правильный обратный: сначала поручение обработки и сведения об изменениях, потом первая выданная учётная запись.
Как проверить себя в реестре операторов
Реестр операторов публичный, и проверка себя в нём занимает пять минут. Ищут по ИНН или по наименованию юридического лица на портале персональных данных Роскомнадзора. Смотреть надо не только на факт наличия записи — записи бывают старые и давно разошедшиеся с реальностью.
- Есть ли запись вообще. Если компании в реестре нет, а обработка идёт, — это первое, что нужно закрыть, и закрывается оно за один день подготовкой сведений и подачей.
- Совпадают ли реквизиты. Смена наименования или юридического адреса без обновления сведений даёт запись, которая формально существует, но описывает другое лицо.
- Кто указан ответственным. В половине случаев там человек, который уволился два года назад. Это видно из открытого источника и не требует никакой проверки, чтобы обнаружить.
- Совпадают ли цели с политикой на сайте. Оба документа открыты; расхождение между ними — находка, которая делается за две минуты и не требует ни выезда, ни запроса.
- Совпадают ли адреса баз данных с реальным размещением. Особенно после переезда в другое облако — этот пункт забывают чаще остальных.
- Указана ли трансграничная передача, если она фактически есть. Сверяется с реальным списком внешних сервисов на сайте, а не с воспоминаниями о том, как всё настраивали.
Если запись устарела — исправляется она тем же способом, что и подавалась: сведениями об изменениях. Отдельно стоит понимать, что реестр читают не только проверяющие. Крупные заказчики при заключении договора смотрят, есть ли контрагент в реестре, потому что передача им данных своих клиентов — их собственный риск. Для компании, которая работает с корпоративным сегментом, аккуратная запись — это не только про закон, но и про прохождение чужой службы безопасности.
Нарисованный абстрактный экран карточки оператора в реестре, без брендинга. Шесть выделенных зон с выносками: «Реквизиты — сверить с ЕГРЮЛ», «Ответственный — работает ли он ещё в компании», «Цели — совпадают с политикой на сайте», «Адреса баз данных — где лежат на самом деле», «Трансграничная передача — сверить со списком сервисов сайта», «Дата сведений — когда обновлялись последний раз». В углу экрана пометка «запись открыта для всех: клиенты, конкуренты, служба безопасности заказчика». Чертёжный стиль, подписи по-русски.
Что несём юристу
Граница здесь проходит чётко. Инженер собирает факты о системах и приводит настройки в соответствие с поданными сведениями; правовые основания и формулировки, которые вы подписываете, — не наша территория. Пять вопросов ниже стоит задать один раз и получить письменный ответ. С подготовленным материалом консультация занимает час по ставке 4 500 ₽/час; без него юрист начинает с инвентаризации, которую вы уже сделали сами, и платите вы за неё дважды.
- 1Попадаем ли мы под какое-либо из действующих исключений части 2 статьи 22 152-ФЗ? Приложите перечень систем и категорий субъектов. Ответ нужен письменный: именно он оправдывает решение не подавать, если вы его примете.
- 2Как сформулировать цели обработки, чтобы они совпадали с нашими основаниями и не создавали лишних обязанностей? Принесите список фактических целей и текст действующей политики.
- 3Какие сроки обработки указывать по каждой группе данных с учётом требований бухгалтерского, налогового и трудового законодательства? Это тот случай, когда «до достижения целей» — не ответ.
- 4Нужно ли машиночитаемая доверенность для подписания уведомления, если подписывает не директор, и как её оформить? Вопрос кажется техническим, но упирается в порядок оформления полномочий.
- 5Как разграничить ответственность, если сведения об изменениях не подал подрядчик, который ведёт нашу инфраструктуру? Ответ должен быть формулировкой для договора, а не ссылкой на закон.
Перечень мест обработки, список целей, список подрядчиков с доступами, текст политики с сайта, список внешних сервисов на страницах с формами и снимок вашей записи в реестре, если она есть. Шесть артефактов, пять из которых делает инженер за два-три дня. Это ровно тот материал, из которого юрист отвечает по существу.
Когда подача — не первое, что надо сделать
Уведомление обязательно, но порядок действий имеет значение, и есть четыре ситуации, в которых торопиться с формой не стоит.
- Пока нет перечня мест обработки. Уведомление, заполненное по памяти руководителя, описывает компанию, которой не существует, и все дальнейшие расхождения растут отсюда. Сначала инвентаризация: в модельной компании на 45 человек мест обработки нашлось 19 против шести, названных руководителем, — и только потом форма.
- Пока идёт проект внедрения, который сменит системы через месяц. Если через четыре недели у вас другая CRM, другой адрес базы и новый подрядчик, разумно подать уведомление один раз по целевой конфигурации, а не подавать сейчас и через месяц отправлять сведения об изменениях. Оговорка одна: это работает, только если обработка ещё не началась. Если базы уже живут, ждать нельзя.
- Пока не проверены исходящие запросы сайта. Поле трансграничной передачи заполняется после проверки, а не до неё. Полчаса работы инженера здесь дешевле, чем внесение изменений в поданные сведения и объяснение, почему в реестре было написано «нет».
- Если вы собираетесь заодно «закрыть весь 152-ФЗ». Не собираетесь: уведомление — одна обязанность из пятнадцати, и она не заменяет ни политику, ни согласия, ни поручения подрядчикам, ни настройки прав доступа. Подача уведомления при отсутствии всего остального даёт проверяющему подтверждённый вами же перечень того, что вы обязаны исполнять.
И общее замечание, которое переживёт эту статью. Всё описанное — по состоянию на сентябрь 2026 года: перечень исключений сокращали, суммы ответственности правились дважды за два года, форма уведомления менялась. Устойчивая часть здесь не цифры и не номера пунктов, а привычка: сведения в реестре должны совпадать с тем, что делают ваши системы, и сверять это надо два часа в квартал. Компания с такой привычкой приводит себя в соответствие с любой новой редакцией за пару дней. Компания без неё каждый раз начинает с инвентаризации.
Уведомление — не бланк, а публичное обещание работать именно так. Обещайте только то, что уже настроено.
