Реестр операторов персональных данных — открытая база Роскомнадзора, в которую попадает каждая компания и каждый ИП, подавшие уведомление об обработке персональных данных. Проверка бесплатная и занимает минуту: на портале персональных данных поиск идёт по наименованию и по ИНН, и искать нужно именно по ИНН. Обязанность уведомить регулятор до начала обработки закреплена частью 1 статьи 22 152-ФЗ, исключений в части 2 осталось три, и обработка данных работников в них не входит. От результата поиска зависят два разных сценария действий: записи нет и уведомление не подавалось — подаёте уведомление по форме приказа Роскомнадзора № 180; записи нет, а уведомление подано меньше 30 дней назад — сведения ещё вносятся, и подавать второе уведомление не нужно.
Разберём, что означает каждый из пяти возможных результатов поиска, какие сведения попадают в реестр и почему запись устаревает быстрее, чем о ней вспоминают. Покажем, что собрать до подачи уведомления и какие поля формы приходится заполнять отдельно для каждой цели обработки. Отдельно — порядок проверки подрядчика и сервиса КЭДО, которому вы передаёте данные сотрудников. Сроки обновления сведений, размеры штрафов по статье 13.11 КоАП, стоимость подключения и ответы на частые вопросы — во второй половине статьи.
Что такое реестр операторов персональных данных и кто обязан в нём быть
Оператор по пункту 2 статьи 3 152-ФЗ — это юридическое или физическое лицо, которое организует или осуществляет обработку персональных данных и определяет цели обработки, состав данных и совершаемые с ними действия. Под определение попадает любой работодатель: как только вы принимаете анкету соискателя, оформляете трудовой договор и ведёте табель, вы обрабатываете персональные данные и становитесь оператором. Реестр операторов — это не разрешение на деятельность и не лицензия, а публичный перечень тех, кто исполнил обязанность уведомить Роскомнадзор.
До 1 сентября 2022 года работодатель мог не подавать уведомление, если обрабатывал данные только своих работников. Федеральный закон от 14.07.2022 № 266-ФЗ это исключение убрал. В действующей редакции части 2 статьи 22 152-ФЗ осталось три случая, когда уведомление не подаётся: персональные данные включены в государственные информационные системы, созданные для защиты безопасности государства и охраны правопорядка; обработка ведётся исключительно без средств автоматизации; обработка идёт в соответствии с законодательством о транспортной безопасности. Компания, которая ведёт кадровый учёт в 1С, отправляет ЕФС-1 и хранит сканы паспортов, ни под одно исключение не подпадает.
Отдельная развилка, которую путают чаще всего, — оператор и лицо, обрабатывающее данные по поручению. Часть 3 статьи 6 152-ФЗ разрешает оператору поручить обработку другому лицу на основании договора. Обработчик в реестр от своего имени за вашу компанию не попадает и согласие субъекта за вас не собирает: обе обязанности остаются на операторе.
Как проверить компанию в реестре по ИНН и что означает результат
Поиск по названию даёт ложные результаты чаще, чем помогает: выдача ограничена 50 операторами, а однофамильцев среди ООО много. Открытая часть реестра операторов на портале персональных данных Роскомнадзора принимает два параметра — наименование и ИНН, поэтому проверку всегда начинают с ИНН из выписки ЕГРЮЛ. Сведения о конкретных мерах по обеспечению безопасности данных в общедоступной части не публикуются: их оператор указывает в уведомлении, но наружу они не выводятся.
Как проверить компанию в реестре операторов персональных данных: пошаговая инструкция
- Шаг 1. Возьмите ИНН организации или ИП из выписки ЕГРЮЛ или ЕГРИП. Для проверки работодателя подойдёт ИНН из трудового договора.
- Шаг 2. Откройте реестр операторов на портале персональных данных и введите ИНН в поисковую форму. Поиск по наименованию используйте как запасной вариант: указывайте оригинальную часть названия без организационно-правовой формы, кавычек и сокращений.
- Шаг 3. Сверьте найденную запись с ЕГРЮЛ по трём реквизитам: наименование, ИНН, адрес. Расхождение означает, что сведения не актуализировали.
- Шаг 4. Откройте карточку оператора и проверьте регистрационный номер, дату внесения в реестр, цели обработки, категории субъектов и сведения о поручении обработки третьим лицам.
- Шаг 5. Если записи нет, проверьте состояние поданного уведомления через форму проверки на том же портале, прежде чем подавать новое.
- Шаг 6. Зафиксируйте результат проверки с датой. Скриншот карточки пригодится при проверке регулятора и при заключении договоров, где контрагент требует подтверждение статуса оператора.
Пять результатов поиска дают пять разных сценариев действий. Ниже — что означает каждый из них и что делать дальше.
| Результат поиска по ИНН | Что это значит | Что делать |
|---|---|---|
| Запись есть, реквизиты совпадают с ЕГРЮЛ | Уведомление принято, сведения внесены | Сверить цели и категории данных в карточке с фактической обработкой |
| Запись есть, но наименование или адрес устарели | После изменений уведомление об их внесении не подавали | Подать уведомление об изменении сведений не позднее 15-го числа следующего месяца |
| Записи нет, уведомление подано меньше 30 дней назад | Уведомление на рассмотрении, срок внесения не истёк | Проверить состояние уведомления, повторное не подавать |
| Записи нет, уведомление не подавалось | Обработка ведётся без уведомления регулятора | Подать уведомление о намерении осуществлять обработку по форме приказа № 180 |
| Найдено несколько похожих организаций | Поиск шёл по названию, выдача ограничена 50 операторами | Повторить поиск по ИНН и сверить регистрационный номер |
Третья строка таблицы снимает основную часть паники. Роскомнадзор вносит сведения в реестр в течение 30 дней с даты поступления уведомления, и всё это время компания в открытом поиске не отображается. Состояние поданного уведомления показывает форма проверки состояния уведомления на портале персональных данных: по ней видно, принято уведомление, находится на рассмотрении или возвращено.
Факт: сервис КЭДО обрабатывает персональные данные работников только по поручению работодателя. Согласие субъекта собирает оператор, то есть сама компания, а не сервис.
Компании нет в реестре: что подготовить до подачи уведомления
Уведомление подаётся по форме из приказа Роскомнадзора от 28.10.2022 № 180, который вступил в силу 26 декабря 2022 года. Приказом утверждены три формы: уведомление о намерении осуществлять обработку персональных данных, уведомление об изменении ранее поданных сведений и уведомление о прекращении обработки. Подать его можно на бумаге, электронным документом с подписью или через личный кабинет оператора, привязанный к учётной записи Госуслуг.
Трудность не в отправке, а в содержании. Часть 3 статьи 22 152-ФЗ требует указать наименование и адрес оператора, цель обработки, описание мер по обеспечению безопасности данных, фамилию, имя, отчество и контакты ответственного за организацию обработки, дату начала обработки, срок или условие её прекращения, сведения о трансграничной передаче и о месте нахождения базы данных. Для каждой цели отдельно перечисляются категории персональных данных, категории субъектов, правовое основание, перечень действий и способы обработки. Формулировка «обработка персональных данных работников» одной строкой закрывает не всё: кандидаты на вакансии, бывшие работники, члены семей для вычетов и подрядчики по ГПХ — разные категории субъектов с разными правовыми основаниями.
Что должно существовать в компании до отправки уведомления
- Приказ о назначении ответственного за организацию обработки персональных данных по статье 22.1 152-ФЗ: его данные вносятся прямо в уведомление.
- Политика в отношении обработки персональных данных и опубликованный документ, определяющий политику, если у компании есть сайт со сбором данных.
- Правила обработки персональных данных как локальный нормативный акт с перечнем целей, категорий и сроков хранения.
- Формы согласий под каждую цель, которая не закрывается трудовым договором и требованиями закона: проверка кандидата, публикация фото на сайте, передача данных партнёрам.
- Перечень мест хранения и информационных систем, включая внешние сервисы, которым вы передаёте данные по поручению.
Кейс из практики: в споре об увольнении через КЭДО кассационный суд отменил решения нижестоящих инстанций не из-за электронной формы заявления. Суд установил, что заявление сформировал сам работник, но в материалах не оказалось сведений о порядке идентификации, а этот порядок должен быть закреплён локальным актом. При новом рассмотрении работник выиграл. Дефект документальной базы обошёлся работодателю в восстановление на работе, хотя положение о КЭДО и согласие работника у него были.
Соберите согласие на обработку персональных данных под свои цели
Мария Ж, судебный эксперт по трудовому праву: «Уведомление в Роскомнадзор и внутренние документы компании проверяются в связке, и первым рассыпается обычно не уведомление, а основание для обработки. Статья 22.2 ТК РФ требует письменного согласия работника на взаимодействие через КЭДО, и без него использование электронных документов с этим работником может быть признано незаконным при споре или проверке. Прежде чем отправлять уведомление, проверьте, по какому основанию вы обрабатываете данные каждой категории субъектов: на согласие, на трудовой договор или на прямое требование закона.»
В практике Добыто мы просим клиента показать запись в реестре до старта проекта внедрения. Если записи нет, сначала подаётся уведомление, и только потом настраиваются маршруты подписания: иначе первая же проверка упирается в вопрос, на каком основании данные попали во внешнюю систему.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Что устаревает в записи реестра и в какие сроки её обновлять
Компания попала в реестр один раз и считает вопрос закрытым — это самая частая ошибка после полного отсутствия записи. Часть 7 статьи 22 152-ФЗ обязывает уведомлять обо всех изменениях ранее поданных сведений не позднее 15-го числа месяца, следующего за месяцем, в котором изменения возникли. Смена наименования, юридического адреса, ответственного за организацию обработки, появление новой цели обработки или нового внешнего сервиса — каждое из этих событий запускает срок.
| Событие | Что подаётся | Срок |
|---|---|---|
| Начало обработки персональных данных | Уведомление о намерении осуществлять обработку | До начала обработки |
| Уведомление поступило в Роскомнадзор | Внесение сведений в реестр | 30 дней |
| Изменение наименования, адреса, целей, ответственного | Уведомление об изменении сведений | Не позднее 15-го числа следующего месяца |
| Прекращение обработки персональных данных | Уведомление о прекращении обработки | 10 рабочих дней |
| Установлен факт неправомерной передачи данных | Уведомление о факте инцидента | 24 часа |
| Завершено внутреннее расследование инцидента | Уведомление о результатах расследования | 72 часа |
Сроки в 24 и 72 часа из части 3.1 статьи 21 152-ФЗ выбиваются из общего ряда: они считаются не в днях и не от даты документа, а от момента обнаружения инцидента. Держать их реально только при заранее назначенном ответственном и заранее собранных контактах, поэтому актуальность строки с ответственным лицом в реестре имеет прямое практическое значение.
В практике Добыто запись чаще всего устаревает после двух событий: смены юридического адреса и увольнения того сотрудника, который был указан ответственным за организацию обработки. Оба изменения проходят мимо кадровой службы как рутина, а срок по части 7 статьи 22 при этом идёт.
Внимание: перевод работника на КЭДО требует письменного согласия по статье 22.2 ТК РФ. Без согласия использование электронных документов и электронной подписи во взаимодействии с этим работником может быть признано незаконным при споре или проверке.
Шаблоны документов оператора персональных данных
Комплект закрывает подготовку к подаче уведомления: начните с правил обработки, из них собираются цели и категории для формы.
| Документ | Скачать |
|---|---|
| Правила обработки персональных данных | Скачать |
| Согласие на обработку персональных данных | Скачать |
| Приказ об утверждении локального нормативного акта | Скачать |
| Положение о ведении КЭДО | Скачать |
| Согласие на проверку службой безопасности | Скачать |
Как проверить подрядчика и сервис КЭДО, которому вы передаёте данные
Проверка своей записи закрывает половину задачи. Вторая половина — те, кому вы передаёте данные сотрудников: сервис КЭДО, зарплатный проект, провайдер обучения, аутсорсинговая бухгалтерия. Каждого из них проверяют в реестре по тому же ИНН, но смотрят на другое: совпадает ли заявленная в карточке цель обработки с тем, что вы фактически поручаете договором.
При массовой регистрации сотрудников через интеграцию с учётной системой данные в сервис передаёт работодатель, а не работник. Это меняет юридическую конструкцию: появляется передача персональных данных третьему лицу, которую нужно урегулировать поручением по части 3 статьи 6 152-ФЗ и отразить в собственном уведомлении. Если же работник регистрируется в сервисе сам, взаимодействие строится напрямую между ним и сервисом.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Первый вопрос при подключении внешнего сервиса звучит так: происходит ли что-то с персональными данными работников и участвует ли в этом работодатель. Если сотрудников массово регистрирует компания через интеграцию, данные передаёт она, сервис обрабатывает их по поручению, и согласие собирает оператор, а не сервис. Проверьте по своему договору, есть ли в нём поручение обработки с перечнем действий, и отражена ли эта передача в вашем уведомлении в Роскомнадзор.»
В практике Добыто на старте проекта мы сверяем три документа: поручение обработки в договоре с сервисом, перечень целей в уведомлении работодателя и фактический состав данных, который уходит в интеграцию. Расхождения обнаруживаются почти всегда в третьем пункте. У самого разработчика системы проверяют не только запись в реестре. Деятельность по технической защите конфиденциальной информации и по разработке средств защиты лицензируется, и если в системе реализована хотя бы одна функция безопасности, у вендора должна быть соответствующая лицензия. Отсутствие лицензии у разработчика — риск не для него, а для вас: регуляторы вправе запретить использование продукта, и компания остаётся без информационной системы вместе со всем электронным архивом.
Полезно знать: оценка соответствия требованиям 152-ФЗ обязательна, но проводится двумя способами. Её можно выполнить самостоятельно и оформить актом оценки соответствия либо привлечь лицензиата ФСТЭК — тогда процедура называется аттестацией и заканчивается аттестатом на конкретную информационную систему.
Сколько стоит отсутствие в реестре: штрафы по статье 13.11 КоАП
До 30 мая 2025 года неподача уведомления квалифицировалась как непредставление сведений в государственный орган и обходилась в тысячи рублей. Сейчас в статье 13.11 КоАП действует отдельный состав за неуведомление или несвоевременное уведомление о начале обработки: для граждан 5 000-10 000 рублей, для должностных лиц 30 000-50 000 рублей, для ИП и организаций 100 000-300 000 рублей. Санкция применяется за сам факт обработки без поданного уведомления, утечки для этого не требуется.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
| Нарушение | Норма | Штраф для ИП и организации |
|---|---|---|
| Неуведомление или несвоевременное уведомление о начале обработки | ч. 10 ст. 13.11 КоАП | 100 000-300 000 руб. |
| Обработка персональных данных без требуемого согласия | ч. 2 ст. 13.11 КоАП | 300 000-700 000 руб. |
| Повторная обработка без требуемого согласия | ч. 2 ст. 13.11 КоАП | 1 000 000-1 500 000 руб. |
| Повторная утечка персональных данных | ст. 13.11 КоАП | 1-3% выручки, от 20 до 500 млн руб. |
Составы складываются. Компания, которая не подала уведомление, обрабатывает данные без согласия и не опубликовала политику обработки, получает несколько постановлений по разным частям одной статьи. Сумма по каждому эпизоду считается отдельно, и совокупный штраф за одну проверку превышает миллион рублей, при том что подача уведомления не стоит ничего: расходы на его рассмотрение по закону на оператора возложены быть не могут.
Мария Ж, специалист по цифровой подписи и КЭДО: «Дороже всего обходится не сам штраф, а то, что после проверки приходится восстанавливать документальную базу задним числом, а так не получается. Проверьте у себя три вещи: описан ли в локальном акте порядок идентификации работника при подписании, фиксирует ли система дату и обстоятельства выдачи подписи, есть ли регламент действий при поступлении заявления об увольнении. Отсутствие любой из них — это ваш будущий проигрыш в споре, а не техническая мелочь.»
Что запись в реестре не подтверждает
Наличие компании в реестре операторов доказывает ровно одно: уведомление подано и сведения внесены. Оно не подтверждает, что обработка ведётся законно, что согласия оформлены правильно, что данные хранятся в России и что меры защиты соответствуют уровню защищённости информационной системы. Роскомнадзор при внесении в реестр не проверяет фактическое положение дел, он фиксирует то, что заявил сам оператор.
Для соискателя, который проверяет работодателя, вывод тот же: запись в реестре — минимальный признак того, что компания ведёт кадровые процессы формально, но никак не гарантия сохранности его паспортных данных. Полезнее спросить, на каком основании собираются данные и опубликована ли политика обработки.
Мария Ж, юрист со стажем более 20 лет: «Проверка контрагента по реестру — первый шаг, а не весь аудит. Отдельно смотрите, есть ли у разработчика информационной системы лицензия, и как в вашей компании проведена оценка соответствия требованиям 152-ФЗ: самостоятельно актом или через лицензиата ФСТЭК. Если у вас нет собственного подразделения по информационной безопасности, привлеките стороннего специалиста хотя бы для того, чтобы убедиться, что аттестация вам не требуется.»
Важный нюанс из практики: дистанционных работников переводят на электронное взаимодействие по правилам главы о дистанционной работе, и письменное согласие на КЭДО с них по закону не требуется — условия обмена документами закрепляются локальным нормативным актом об удалённой работе. С остальными работниками действует статья 22.2 ТК РФ и письменное согласие. Смешивать два потока в одном локальном акте не стоит: при проверке придётся объяснять, по какому режиму оформлен каждый работник.
Стоимость подключения КЭДО Добыто и тарифы
Стоимость зависит от численности сотрудников и набора функций: видов электронной подписи, кастомных шаблонов, интеграции с учётной системой и требований к инфраструктуре. Электронные подписи для сотрудников входят в тариф.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны, email-поддержка | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: неограниченно сотрудников, ПЭП, УНЭП и УКЭП, кастомные шаблоны, электронный архив | от 50 ₽ за сотрудника / мес, минимальная оплата 50 сотрудников за 30 000 ₽ в год | подключение за 5 минут |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, персональный менеджер, API | по запросу | рассчитывается индивидуально |
| Выпуск подписей ПЭП и УНЭП для сотрудников | входит в тариф | по мере подключения сотрудников |
| Получение УКЭП через партнёров-удостоверяющих центров | рассчитывается индивидуально | по запросу |
| Модуль интеграции с 1С:ЗУП | входит в тариф «Бизнес» | установка и настройка за один день |
Итоговая сумма складывается из численности и выбранного набора функций, а тариф можно повысить или понизить в любое время: при повышении разница пересчитывается пропорционально оставшемуся периоду. Актуальные условия по каждому пакету собраны на странице тарифов ДОБЫТО КЭДО.
Платформа соответствует требованиям 377-ФЗ, статей 22.1-22.3 Трудового кодекса РФ и 152-ФЗ о персональных данных, а обязанность подать уведомление в Роскомнадзор при этом остаётся на работодателе как на операторе.
Выводы
Проверка компании в реестре операторов сводится к одному действию: поиск по ИНН на портале персональных данных. Дальше результат читается по двум развилкам — подавалось ли уведомление вообще и прошло ли 30 дней с момента подачи. Обработка данных работников с 1 сентября 2022 года основанием для освобождения от уведомления не является, а сведения в реестре требуют обновления при каждом изменении: не позднее 15-го числа месяца, следующего за месяцем события.
Мы в Добыто проходим этот путь вместе с клиентом на каждом внедрении: сверяем запись в реестре, состав целей обработки и поручение обработки в договоре до того, как в систему попадает первый работник. Так кадровый электронный документооборот не создаёт компании нового повода для вопросов со стороны регулятора.
Частые вопросы
Как работнику проверить, зарегистрирован ли его работодатель как оператор
Возьмите ИНН компании из трудового договора или расчётного листка и введите его в поиск по реестру операторов. В карточке видны регистрационный номер, дата внесения и заявленные цели обработки. Отсутствие записи само по себе не означает, что данные обрабатываются незаконно: возможно, уведомление подано и ещё рассматривается, срок внесения составляет 30 дней.
Нужно ли подавать уведомление индивидуальному предпринимателю без работников
Обязанность по части 1 статьи 22 152-ФЗ привязана не к наличию работников, а к факту обработки. ИП, который ведёт клиентскую базу с телефонами и адресами, принимает заявки через сайт или заключает договоры с физическими лицами, обрабатывает персональные данные и уведомление подаёт. Освобождение действует, только если обработка ведётся исключительно без средств автоматизации, то есть без компьютера и любых информационных систем.
Компания сменила название и адрес — нужно подавать уведомление заново
Нет, подаётся уведомление об изменении сведений по отдельной форме из приказа Роскомнадзора № 180. Срок — не позднее 15-го числа месяца, следующего за месяцем изменений. Регистрационный номер в реестре при этом сохраняется, меняются только сведения в карточке.
Как исключить компанию из реестра при закрытии бизнеса
Подаётся уведомление о прекращении обработки персональных данных в течение 10 рабочих дней. Прекращение обработки не отменяет обязанность обеспечить хранение кадровых документов в установленные сроки: уничтожение данных и прекращение их обработки — разные действия, и порядок уничтожения фиксируется отдельно.
Обязательно ли публиковать политику обработки персональных данных на сайте
Оператор публикует документ, определяющий политику в отношении обработки персональных данных, и обеспечивает к нему неограниченный доступ. Для компании с сайтом это означает отдельную страницу с политикой. Сведения об этом документе указываются и в уведомлении, поэтому расхождение между заявленными в реестре целями и текстом политики на сайте видно при первой же проверке.
Что делать, если уведомление подано, а в реестре компании нет уже больше месяца
Проверьте состояние уведомления через форму проверки на портале персональных данных: там видно, принято оно, находится на рассмотрении или возвращено. Возврат обычно связан с незаполненными обязательными полями: категориями субъектов, правовым основанием по каждой цели или контактами ответственного за организацию обработки. После исправления уведомление подаётся снова, и срок в 30 дней отсчитывается заново.
