Сергей ВенгеренкоФорма заявки на сайте, бот с записью, таблица с телефонами клиентов: всё это обработка персональных данных. Закон требует сообщить о ней в Роскомнадзор до того, как первая заявка попадёт в базу. У меня самого по трём целям из четырёх обработка шла несколько недель, прежде чем я подал уведомление.
Уведомление подаётся онлайн, бесплатно и без электронной подписи. Форма при этом длинная, и почти каждое поле требует точно знать, как устроены ваши сайт, бот и CRM, куда уходят заявки и где лежит база. Я заполнял её для своего сайта и двух ботов в августе 2026 года и ниже разбираю порядок по шагам, с тем, на чём легко ошибиться.
Кто обязан подать уведомление
Подаёт оператор персональных данных. Это любая компания, ИП или физлицо, которые сами решают, зачем собирать данные людей и что с ними делать. Если человек оставил на сайте имя и телефон, а заявка сохранилась в базе, в CRM или в таблице, вы оператор.
Исключения перечислены в ч. 2 ст. 22 152-ФЗ, и для малого бизнеса из них осталось одно заметное: обработка исключительно без средств автоматизации. Бумажный журнал записи подходит под него. Форма на сайте, бот или CRM нет.
Кому уведомление не нужно: если на сайте нет ни формы, ни счётчика аналитики, ни чата, а клиенты звонят по номеру со страницы, сайт данных не собирает. Как только появляется форма с именем и телефоном или Метрика, появляется и обработка.
Когда подавать и сколько ждать
По ч. 1 ст. 22 уведомление подаётся до начала обработки. Логичный момент: перед запуском сайта или бота, вместе с политикой и согласием под формой.
Если обработка уже идёт, подавайте сейчас и указывайте фактическую дату её начала. Когда я готовил своё уведомление, по трём целям из четырёх обработка шла уже несколько недель. Дату я брал из базы, по первой записи в таблице пользователей бота: дата в уведомлении должна совпадать с тем, что видно в системе. Если начало обработки помнится только примерно, поднимите первую заявку в CRM, первое письмо с формы или дату подключения счётчика Метрики.
После подачи портал выдаёт номер уведомления и ключ, сохраните их сразу. По ч. 4 ст. 22 Роскомнадзор вносит сведения в реестр в течение 30 дней. Ждать внесения, чтобы продолжать работу, не нужно.
Как подать уведомление в Роскомнадзор
- Откройте форму на портале персональных данных Роскомнадзора, pd.rkn.gov.ru, раздел реестра операторов. Портал открывается с российского адреса, с зарубежного VPN он может не загрузиться.
- Выберите вход через Госуслуги. Усиленная электронная подпись не нужна.
- Тип обращения: «Уведомление об обработке персональных данных». Вариант «Информационное письмо об изменении сведений» нужен позже, для правок уже поданного.
- Заполните сведения об операторе: ИНН, адрес, контакты. Почту указывайте ту же, что стоит в политике на сайте.
- Добавьте цели обработки. Для каждой цели отдельный блок.
- Заполните общие блоки: меры безопасности, место нахождения базы данных, лица, которые обрабатывают данные по вашему поручению.
- Отправьте и сохраните номер и ключ.
Форма большая, кнопку «Сохранить черновик» внизу стоит нажимать регулярно.
Цели обработки: сколько блоков заполнять
Главная ошибка в уведомлении: одна общая цель вроде «оказание услуг». Цель описывает конкретный поток данных, и под каждый поток свой набор полей: какие данные, чьи, на каком основании, с какой даты.
В моём уведомлении целей четыре: заявки с формы на сайте, статистика посещаемости через Яндекс Метрику, бот-квиз для заявок и новостной бот. У малого бизнеса набор обычно похожий:
| Что у вас есть | Отдельная цель |
|---|---|
| Форма заявки на сайте | обработка обращений для связи и консультации |
| Яндекс Метрика или другая аналитика | статистика посещаемости сайта |
| Бот для заявок или записи | приём заявок через мессенджер |
| CRM с базой клиентов | исполнение договоров с клиентами |
| Сотрудники | кадровый учёт по трудовому законодательству |
В каждом блоке отмечаются категории данных (имя, телефон, почта), категории людей (клиенты, посетители сайта), правовое основание (согласие или договор), действия с данными и дата начала. Если какой-то пункт не делаете, не отмечайте его. Например, если данные никому не передаются, галочку «передача» не ставьте.
Место нахождения базы данных
С этим блоком связана локализация персональных данных. По ч. 5 ст. 18 152-ФЗ запись и хранение данных граждан России ведутся в базах на территории России, и в уведомлении нужно указать страну и адрес дата-центра.
Здесь важно знать, куда уходят заявки. Если форма отправляет заявку в иностранный сервис или база бота лежит на зарубежном сервере, честно заполнить этот блок не получится. Закон требует, чтобы первичная запись и хранение шли в российской базе, а передать данные дальше из неё за границу можно, оформив трансграничную передачу. Сначала переносится база, потом подаётся уведомление.
Как проверить, где лежат ваши данные: откройте настройки формы на сайте и посмотрите, куда она отправляет заявки. Если это CRM, найдите в договоре или на сайте сервиса, где расположены серверы. Если бот собран на конструкторе, спросите поддержку конструктора. Ответ «Европа» или ответ без указания страны значит, что базу, скорее всего, нужно переносить: уточните страну дата-центра.
Адрес дата-центра даёт хостинг-провайдер. Я запросил его у поддержки письменно, и ответ пришёл в тот же день. Иностранные сервисы, куда данные всё-таки уходят, например уведомления в зарубежный мессенджер, описываются в отдельном уведомлении о трансграничной передаче: по ч. 3 ст. 12 оно подаётся отдельно от уведомления об обработке.
Меры безопасности: писать только то, что сделано
Блок про меры защиты заполняется один раз на всё уведомление. Соблазн скопировать длинный список из чужого образца велик, но каждая строка в нём ваше заявление. Пишите то, что реально сделано: кто отвечает за обработку данных, опубликована ли политика, как ограничен доступ к серверу и базе, где лежит база.
У физлица или небольшого ИП ответственный за организацию обработки часто сам владелец. Это нормально, так и пишется.
Перед отправкой сверьте этот блок с политикой на сайте. В политике обычно тоже перечислены меры защиты, и если в уведомлении написано одно, а в политике другое, это первое расхождение, которое заметит проверяющий. Проще всего писать оба документа одновременно, по одному списку того, что реально сделано.
Что делать после подачи
- Проверяйте статус по номеру и ключу на том же портале. Пока статус «направлено на рассмотрение», в реестр вы ещё не внесены.
- Сообщайте об изменениях. По ч. 7 ст. 22 новые сведения подаются до 15-го числа месяца, следующего за изменением. Появилась новая цель, переехала база, сменился адрес: подаёте информационное письмо об изменениях.
- При прекращении обработки уведомите Роскомнадзор в течение 10 рабочих дней.
- Держите сайт в соответствии с поданным. Политика, согласие под формой и уведомление должны описывать одно и то же. Как оформить согласие, разобрано в статье согласие на обработку персональных данных на сайте, про политику в статье политика конфиденциальности для сайта.
Сколько стоит и что будет без уведомления
Подача бесплатная. Штраф за неподачу по ч. 10 ст. 13.11 КоАП для юрлиц и ИП от 100 000 до 300 000 рублей: по примечанию 1 к ст. 13.11 ИП здесь отвечают как юрлица. Для граждан от 5 000 до 10 000 рублей, для должностных лиц от 30 000 до 50 000. На практике неподача редко идёт одна: обычно рядом нет политики, согласия под формой или база лежит за границей, и, как правило, по каждому нарушению отдельный штраф.
Если не хотите разбираться с формой сами, у меня приведение к 152-ФЗ стоит от 15 000 ₽, сайт вместе с ботом и подготовкой уведомления от 20 000 ₽, срок от 3 дней. Проверка 5 000 ₽ засчитывается в работу. В работу входят политика, согласия под формами и в боте и готовые ответы по каждому полю формы уведомления. Подаёте вы сами через свои Госуслуги, это пятнадцать минут. Юридических заключений я не даю: готовлю документы и привожу системы в порядок так, как прошёл этот путь на своих.
Что вы получаете у меня
- Разбор, какие у вас цели обработки. Пройду по сайту, ботам и CRM и составлю список потоков данных с датами начала из ваших систем.
- Готовые ответы на форму. Каждое поле уведомления заполнено под ваш случай, с пометками, что вписываете вы сами.
- Оценка переноса базы. Если данные лежат за границей, скажу, что нужно перенести, и посчитаю перенос отдельно.
- Экран согласия в боте с записью даты и версии согласия.
Новый сайт я сразу собираю так, чтобы уведомление было заполнить легко: создание сайта под ключ. Напишите, что у вас есть: сайт, бот, CRM, и куда сейчас уходят заявки. Отвечу, что нужно сделать до подачи уведомления. Остальные услуги и цены на странице услуги и цены.
