Реестр операторов персональных данных — это открытая база Роскомнадзора, в которую компания попадает после того, как подаст уведомление о намерении обрабатывать персональные данные по статье 22 152-ФЗ. Уведомление подаётся до начала обработки, расходы на внесение сведений на оператора не возлагаются, а запись появляется в реестре в течение 30 дней с даты поступления уведомления. С 1 сентября 2022 года шесть прежних оснований для освобождения от этой обязанности утратили силу: осталось три, и обычный кадровый учёт ни в одно из них не попадает. Порядок действий определяет автоматизация: если данные работников попадают в 1С, Excel или облачный сервис, уведомление обязательно; если анкеты и приказы существуют только на бумаге, обязанности уведомлять нет.
Статья закрывает три вопроса: кто считается оператором при обычном кадровом учёте, какие поля уведомления приводят к запросу на уточнение и как найти компанию в реестре по ИНН. Отдельно показываем, когда согласие работника нужно, а когда обработка идёт по другому основанию, и кто подаёт уведомление, если кадровые документы ведёт внешний сервис. Штрафы 2026 года по частям 10 и 11 статьи 13.11 КоАП, сроки уведомлений об изменениях и прекращении обработки, тарифы и частые вопросы — во второй половине статьи.
Кто обязан попасть в реестр операторов персональных данных
Оператором 152-ФЗ называет государственный или муниципальный орган, юридическое лицо, физическое лицо и индивидуального предпринимателя, которые организуют или осуществляют обработку персональных данных и определяют её цели, состав данных и совершаемые с ними действия. Работодатель подпадает под это определение с первого принятого сотрудника: он собирает паспортные данные, СНИЛС, ИНН, сведения о детях, реквизиты счёта. Обработка данных работников не льгота и не особый случай, а обычная обработка, о которой нужно уведомить до её начала.
Часть 2 статьи 22 152-ФЗ оставила три случая, когда уведомление не подаётся: данные включены в государственные информационные системы, созданные для защиты безопасности государства и общественного порядка; обработка идёт исключительно без средств автоматизации; данные обрабатываются для обеспечения транспортной безопасности. Прежние шесть оснований, включая привычное освобождение для данных работников и данных, полученных в связи с трудовыми отношениями, утратили силу с 1 сентября 2022 года.
Один и тот же набор данных работников даёт разный ответ в зависимости от того, где он хранится.
| Ситуация в компании | Уведомление в Роскомнадзор | Основание |
|---|---|---|
| Кадровый учёт ведётся в 1С, в таблице Excel или в облачном сервисе | обязательно | ч. 1 ст. 22 152-ФЗ |
| Анкеты, заявления и приказы существуют только на бумаге и в программу не вводятся | не требуется | п. 8 ч. 2 ст. 22 152-ФЗ |
| Резюме кандидатов приходят на корпоративную почту и хранятся в папках на диске | обязательно | ч. 1 ст. 22 152-ФЗ |
| Данные включены в государственную информационную систему для защиты безопасности и общественного порядка | не требуется | п. 7 ч. 2 ст. 22 152-ФЗ |
| Обработка ведётся в целях обеспечения транспортной безопасности | не требуется по этому основанию | п. 9 ч. 2 ст. 22 152-ФЗ |
| Расчёт зарплаты или кадровые документы переданы внешнему сервису | обязательно, подаёт работодатель | ч. 1 ст. 22, ч. 3 ст. 6 152-ФЗ |
Освобождение по бумажной обработке на практике почти не срабатывает: как только фамилия работника оказывается в программе учёта или в электронной таблице, обработка перестаёт быть неавтоматизированной. Проверьте по своим системам, где физически лежат данные работников и кандидатов, и на этом остановитесь: перечень систем понадобится при заполнении уведомления.
Как найти компанию в реестре Роскомнадзора до подачи уведомления
На дату публикации в реестре 2 649 157 записей, и часть компаний попала туда много лет назад, ещё при первичной регистрации сведений. Повторная подача первичного уведомления при существующей записи не нужна, поэтому проверка идёт первой. Искать удобнее по ИНН: поиск по наименованию отдаёт не более 50 операторов за один запрос и требует вводить ключевые слова без организационно-правовой формы и специальных символов.
Найти организацию и посмотреть состав внесённых сведений можно в реестре операторов персональных данных Роскомнадзора: в карточке видны регистрационный номер, дата уведомления, заявленные цели обработки и сведения об ответственном за организацию обработки. Дальше возможны три исхода. Записи нет — подаётся первичное уведомление о намерении осуществлять обработку. Запись есть и сведения актуальны — ничего подавать не нужно. Запись есть, но адрес, ответственный или цели изменились — подаётся уведомление об изменении сведений.
Третий вариант встречается чаще двух первых. Компания сменила юридический адрес, ответственный за организацию обработки уволился, добавились видеонаблюдение и биометрия для входа в офис — а в реестре висят сведения пятилетней давности. Такое расхождение подпадает под тот же состав, что и полное отсутствие уведомления.
Согласие на обработку персональных данных: когда оно нужно оператору
Согласие работает как одно из оснований обработки наряду с исполнением договора и требованиями закона. Обработка данных работника для исполнения трудового договора, для ведения кадрового учёта и для сдачи отчётности идёт по основанию исполнения договора и требований закона; отдельное согласие для этого не нужно. Согласие требуется там, где обработка выходит за пределы обязательного: проверка кандидата по открытым источникам, публикация фотографии на сайте, передача данных в сторонние сервисы, обработка биометрии на проходной, сведения о судимости.
С 1 сентября 2025 года согласие на обработку персональных данных оформляется отдельным документом: его нельзя вшить в трудовой договор, в оферту, в анкету или в пользовательское соглашение. Согласия, полученные до этой даты, переподписывать не требуется. Само согласие должно быть конкретным, предметным, информированным, сознательным и однозначным — формулировка «на обработку моих персональных данных в любых целях» этому не соответствует.
Внимание: статья 22.2 ТК РФ требует письменного согласия каждого работника на кадровый электронный документооборот. Без такого согласия использовать электронные документы и электронную подпись во взаимодействии с этим работником нельзя, а ведение КЭДО в таком виде может быть признано незаконным при споре или проверке.
Мария Ж, юрист со стажем более 20 лет: «Разбор согласий я начинаю с одного вопроса: что именно происходит с данными работников и куда они попадают. Пока данные обрабатываются для исполнения трудового договора и кадрового учёта, согласие не нужно, а вот передача во внешний сервис или проверка кандидата — это уже отдельная цель и отдельное основание. Минтруд по согласию на КЭДО держится буквальной позиции: оно письменное, поэтому собирать его по электронной почте я не советую.»
Соберите согласие под свои цели обработки
Что подготовить до подачи уведомления
Уведомление заполняется по фактическому состоянию дел, а не наоборот. Если политика не утверждена, ответственный не назначен, а перечень целей не описан, поля придётся придумывать на ходу — и потом переподавать сведения. Порядок подготовки такой.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
- Опишите цели обработки. Кадровый учёт, начисление зарплаты, воинский учёт, пропускной режим, подбор персонала, обучение, направление в командировки — каждая цель отдельно. По части 3.1 статьи 22 152-ФЗ для каждой цели указываются категории данных, категории субъектов, правовое основание, перечень действий и способы обработки.
- Составьте перечень категорий субъектов. Работники, кандидаты, бывшие работники, исполнители по договорам ГПХ, самозанятые, родственники работников, посетители офиса. Категории смешивать нельзя: требования к обработке данных работника и исполнителя по ГПХ различаются.
- Утвердите политику в отношении обработки персональных данных и правила обработки. Политика публикуется в открытом доступе, если сбор данных идёт через сайт. Приказ об утверждении локального нормативного акта фиксирует дату введения.
- Назначьте ответственного за организацию обработки персональных данных. Его фамилия, имя, отчество и контакты попадают в уведомление и становятся общедоступными в реестре, поэтому указывают рабочий телефон и корпоративную почту.
- Зафиксируйте меры защиты. В уведомлении описываются правовые, организационные и технические меры, включая применение средств криптографической защиты. Общая фраза «применяются необходимые меры» вызывает запрос на уточнение.
- Определите местонахождение базы данных и трансграничную передачу. Указывается субъект Российской Федерации, где физически находится база, и перечень стран, куда данные передаются. Зарубежный хостинг или зарубежный сервис аналитики — это трансграничная передача со своим отдельным уведомлением.
- Определите срок или условие прекращения обработки. Для кадровых документов ориентир — сроки хранения по номенклатуре дел, а не абстрактное «до отзыва согласия».
Важный нюанс из практики: при подключении сервиса кадрового документооборота возможны два сценария. Работник регистрируется в сервисе сам — тогда сервис собирает согласие напрямую и отвечает за эту обработку. Работодатель регистрирует сотрудников массово через интеграцию с учётной системой — тогда передача данных идёт от работодателя, и её нужно урегулировать поручением на обработку. Второй сценарий встречается чаще, и состав сведений в уведомлении у него другой. В практике Добыто мы фиксируем выбранный сценарий до подключения: от него зависит, чьё согласие собирается и что попадает в поручение на обработку.
Шаблоны локальных актов и согласий по персональным данным
Комплект собран под подготовку к уведомлению: начните с правил обработки персональных данных, они задают структуру целей, которые потом переносятся в форму.
| Документ | Скачать |
|---|---|
| Правила обработки персональных данных | Скачать |
| Согласие на обработку персональных данных | Скачать |
| Приказ об утверждении локального нормативного акта | Скачать |
| Положение о проверке кандидатов службой безопасности | Скачать |
| Положение о ведении КЭДО | Скачать |
Как заполнить и подать уведомление в Роскомнадзор
Формы уведомлений утверждены приказом Роскомнадзора от 28.10.2022 № 180 и действуют с 26 декабря 2022 года. Приказ утвердил три формы: уведомление о намерении осуществлять обработку персональных данных, уведомление об изменении сведений и уведомление о прекращении обработки. Использовать старые бланки из интернета бессмысленно, их не примут.
Мария Ж, HR-эксперт с 13-летним стажем: «Заполнение уведомления упирается не в форму, а в честный ответ на вопрос, какие данные и в какие системы у вас попадают и участвует ли работодатель в передаче. Пока этот ответ не написан на бумаге, поля про цели, категории и меры защиты заполняются наугад. Пройдите по своим системам и выпишите цели до того, как откроете форму: это экономит переподачу.»
Способов подачи три. В электронной форме уведомление направляют через портал персональных данных Роскомнадзора: там же опубликованы действующие формы и руководство по их заполнению. Подписать электронное уведомление можно усиленной квалифицированной электронной подписью либо авторизоваться через ЕСИА. Бумажный вариант подаётся в территориальный орган Роскомнадзора по месту регистрации компании в налоговой инспекции.
Как подать уведомление в Роскомнадзор: пошаговая инструкция
- Шаг 1. Проверьте компанию по ИНН в реестре операторов и убедитесь, что первичной записи нет.
- Шаг 2. Соберите подготовку из предыдущего раздела: цели, категории субъектов и данных, правовые основания, меры защиты, ответственного, местонахождение базы, срок обработки.
- Шаг 3. Выберите способ подачи: электронная форма с УКЭП, электронная форма с авторизацией через ЕСИА или бумажное уведомление в территориальный орган Роскомнадзора.
- Шаг 4. Заполните форму по каждой цели отдельно. Одна общая цель «обработка персональных данных» части 3.1 статьи 22 152-ФЗ не соответствует.
- Шаг 5. Подпишите уведомление УКЭП руководителя или уполномоченного лица и отправьте. Дата отправки фиксируется и вносится в реестр вместе со сведениями.
- Шаг 6. Дождитесь внесения сведений. Роскомнадзор вносит их в реестр в течение 30 дней с даты поступления уведомления. Если сведения неполные или недостоверные, ведомство вправе запросить уточнение, и срок сдвигается.
- Шаг 7. Найдите свою запись по ИНН, сверьте состав сведений и сохраните регистрационный номер: его указывают в уведомлении о трансграничной передаче и в переписке с ведомством.
Расходы на внесение сведений в реестр на оператора не возлагаются: госпошлины за постановку на учёт нет. Платными бывают только услуги посредников, которые заполняют форму за компанию.
Оператор и обработчик по поручению: кто подаёт уведомление
Передача кадрового учёта или подписания документов во внешний сервис обязанность уведомить не снимает. Оператором остаётся работодатель: он определяет цели обработки и состав данных. Сервис в этой схеме выступает лицом, которое обрабатывает данные по поручению оператора, и собственное уведомление за клиента не подаёт. Согласие субъекта, если оно требуется для передачи, собирает оператор.
Полезно знать: сервис кадрового документооборота обрабатывает персональные данные только по поручению оператора. Согласие на передачу данных собирает оператор, то есть работодатель, а не сервис.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Формулировка «мы отдали кадры на сторону, теперь за данные отвечает подрядчик» юридически не работает. Поручение на обработку описывает, что именно делает исполнитель и с какими данными, но оператором остаётся тот, кто поставил цель, и уведомление подаёт он. Поднимите договор с сервисом и проверьте, есть ли в нём поручение на обработку с перечнем действий: если поручения нет, передача данных ничем не закрыта.»
Кейс из практики: сроки подключения зависят от способа интеграции, и это влияет на момент, когда данные начинают передаваться. Готовый коннектор к учётной системе устанавливается примерно за час, без привлечения команды разработки на стороне клиента. Интеграция через API занимает от 2 дней до 2 месяцев. Обучение сотрудников выпуску подписи и подписанию документов обычно закрывается одним-двумя вебинарами. В практике Добыто мы закладываем пилотную группу до раскатки на всю компанию: на ней видно, какие поля реально уходят в сервис, и уведомление корректируется до массового старта.
Персональные данные и коммерческая тайна: разные режимы
Режим коммерческой тайны по 98-ФЗ персональные данные не защищает и уведомление в Роскомнадзор не заменяет. Больше того, пункт 5 статьи 5 98-ФЗ прямо запрещает вводить режим коммерческой тайны в отношении сведений о численности и составе работников, о системе оплаты труда, об условиях труда, о показателях производственного травматизма и профессиональной заболеваемости и о наличии свободных рабочих мест. Гриф «Коммерческая тайна» на кадровом отчёте не создаёт правового режима, а обязанности оператора остаются в полном объёме: политика, ответственный, меры защиты, уведомление, ответы на обращения субъектов.
Что делать после внесения в реестр
После внесения записи у оператора появляются пять событий, каждое со своим сроком реакции.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
| Что произошло | Что подать | Срок |
|---|---|---|
| Сменился адрес, ответственный за обработку, добавилась новая цель или категория данных | Уведомление об изменении сведений | не позднее 15-го числа месяца, следующего за месяцем изменений |
| Компания прекращает обработку персональных данных | Уведомление о прекращении обработки по форме приказа № 180 | после фактического прекращения обработки |
| Планируется передача данных за пределы России, включая зарубежный хостинг и аналитику | Отдельное уведомление о намерении осуществлять трансграничную передачу по статье 12 152-ФЗ | до начала передачи; рассмотрение до 10 рабочих дней для стран без адекватной защиты |
| Роскомнадзор запросил уточнение неполных или недостоверных сведений | Уточнённые сведения по запросу | в срок, указанный в запросе |
| Произошёл инцидент с данными: утечка, неправомерный доступ | Уведомление об инциденте в Роскомнадзор | в сроки, установленные статьёй 21 152-ФЗ |
Больше всего пропусков приходится на первую строку: компания подала уведомление один раз при регистрации и больше к нему не возвращалась. В практике Добыто сверку записи в реестре мы держим в том же чек-листе, что и обновление локальных актов при смене ответственного за обработку. Поставьте эту сверку в календарь кадровой службы вместе со сменой ответственных и изменением учредительных данных.
Факт: приказ об увольнении и акт об ознакомлении с ним оформляются исключительно на бумаге. Основание — статья 22.1 ТК РФ, позиция подтверждена письмом Минтруда России от 12.01.2023 № 14-6/ООГ-97. Полностью безбумажного увольнения в КЭДО не получится, и в описании обработки это стоит учитывать.
Мария Ж, судебный эксперт по трудовому праву: «Категории споров по кадровым электронным документам уже сложились, и две из них прямо про обработку данных: доступ работника к своим документам и порядок хранения и уничтожения электронных документов. Работник имеет право получить свои документы, и ограничение этого доступа становится предметом спора. Проверьте у себя два регламента — как работник запрашивает свои документы и по какому порядку они уничтожаются по истечении срока хранения.»
Сколько стоит ошибка: штрафы за отсутствие уведомления в 2026 году
Отдельные составы за нарушения при уведомлении Роскомнадзора появились в статье 13.11 КоАП РФ и действуют с 30 мая 2025 года; изменения внесены Федеральным законом от 30.11.2024 № 420-ФЗ. Неуведомление о намерении осуществлять обработку персональных данных наказывается по части 10 статьи 13.11 КоАП: граждане — от 5 000 до 10 000 рублей, должностные лица — от 30 000 до 50 000 рублей, юридические лица — от 100 000 до 300 000 рублей. Несвоевременное уведомление квалифицируется по тому же основанию.
Обработка персональных данных без надлежащего согласия, когда согласие обязательно, идёт по другому составу: для организаций это от 300 000 до 700 000 рублей, а для специальных категорий данных — от 500 000 до 1 000 000 рублей. Непредставление уведомления об утечке по части 11 статьи 13.11 КоАП стоит организации от 1 000 000 до 3 000 000 рублей, должностному лицу — от 400 000 до 800 000 рублей.
Считать цену ошибки только по штрафу неверно. К нему добавляются предписание с ограниченным сроком исполнения, повторная проверка, приостановка обработки по требованию ведомства и работа юриста с обращениями субъектов. Отдельная статья расходов — переоформление согласий, если они собраны одним документом вместе с трудовым договором и после 1 сентября 2025 года требованиям не соответствуют.
Когда внесение в реестр вопрос не закрывает
Запись в реестре подтверждает только то, что компания уведомила ведомство. Она не подтверждает законность обработки, не заменяет политику и правила обработки, не отменяет назначение ответственного и не считается доказательством принятых мер защиты. Компании, которая обрабатывает данные без правового основания, уведомление не помогает: проверяют не факт записи, а состав сведений и фактическую практику. И обратная ситуация: если обработка идёт исключительно без средств автоматизации, подавать уведомление ради спокойствия не нужно, но тогда придётся действительно держать данные вне программ, включая таблицы Excel и почтовые архивы.
Стоимость перехода на электронный кадровый документооборот: тарифы
Стоимость зависит от численности сотрудников, набора видов электронной подписи и потребности в интеграции с учётной системой.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: без ограничения по численности, ПЭП, УНЭП и УКЭП, электронный архив | от 50 ₽ за сотрудника / мес | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» | 50 сотрудников за 30 000 ₽ в год | период — год |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API и кастомные интеграции | по запросу | рассчитывается индивидуально |
| Электронные подписи ПЭП и УНЭП для сотрудников | входят в тариф | в рамках подключения |
| Готовый модуль интеграции с 1С:ЗУП | входит в тариф «Бизнес» | установка и настройка за 1 день |
| УКЭП через партнёров-удостоверяющие центры | по запросу | рассчитывается индивидуально |
Итоговая сумма складывается из численности подключённых сотрудников, выбранного тарифа и необходимости кастомных интеграций; условия по каждому тарифу и состав функций собраны на странице тарифов ДОБЫТО КЭДО. Платформа соответствует требованиям 377-ФЗ, статей 22.1-22.3 ТК РФ и 152-ФЗ о персональных данных, а переход между тарифами возможен в любое время с пропорциональным пересчётом разницы.
Выводы
Работодатель попадает в реестр операторов персональных данных не по особому решению, а по факту работы с данными сотрудников: уведомление подаётся до начала обработки, освобождений осталось три, и автоматизированный кадровый учёт ни под одно из них не подходит. Подготовка занимает больше времени, чем сама подача: цели, категории субъектов, правовые основания, меры защиты и ответственный должны существовать до открытия формы. После внесения сведений режим не заканчивается: изменения подаются не позднее 15-го числа следующего месяца, трансграничная передача согласуется отдельно, а цена пропуска измеряется штрафами от 100 000 рублей для юридического лица.
В сервисе Добыто мы проходим этот путь вместе с кадровыми службами при внедрении КЭДО: разводим роли оператора и обработчика по поручению, собираем согласия отдельными документами и проверяем, что состав данных, реально уходящих в систему, совпадает с заявленным в уведомлении.
Частые вопросы
Нужно ли уведомлять Роскомнадзор, если в компании только директор и работников нет
Да, если данные обрабатываются с использованием средств автоматизации. Директор — это работник, чьи данные попадают в кадровые и бухгалтерские программы, плюс организация обрабатывает данные контрагентов-физических лиц и посетителей сайта. Освобождение по пункту 8 части 2 статьи 22 152-ФЗ действует только при обработке исключительно без средств автоматизации.
Есть ли госпошлина за внесение в реестр операторов
Нет. По части 5 статьи 22 152-ФЗ расходы, связанные с внесением сведений в реестр, на оператора не возлагаются. Деньги берут только посредники за заполнение формы, при этом ответственность за достоверность сведений остаётся на операторе.
Что делать, если Роскомнадзор запросил уточнение сведений
Уточнить и направить сведения в срок, указанный в запросе. Часть 6 статьи 22 152-ФЗ даёт ведомству право требовать уточнения неполных или недостоверных сведений, и до их получения запись в реестре не появляется. Тридцатидневный срок внесения при этом сдвигается на период уточнения.
Можно ли указать в уведомлении одну общую цель обработки
Нет. Часть 3.1 статьи 22 152-ФЗ требует по каждой цели отдельно указать категории персональных данных, категории субъектов, правовое основание, перечень действий и способы обработки. Формулировка «обработка персональных данных в целях ведения деятельности» этому требованию не соответствует и приводит к запросу на уточнение.
Как исключить компанию из реестра при закрытии или отказе от обработки
Направить уведомление о прекращении обработки персональных данных по форме, утверждённой приказом Роскомнадзора от 28.10.2022 № 180. Подавать его до фактического прекращения обработки бессмысленно: сначала данные уничтожаются или обезличиваются по установленному порядку, затем подаётся уведомление.
Нужно ли отдельное уведомление, если компания пользуется зарубежным сервисом рассылок или аналитики
Да. Передача данных иностранному лицу — это трансграничная передача по статье 12 152-ФЗ, для которой подаётся отдельное уведомление о намерении её осуществлять, с указанием стран, категорий данных и правового основания. Для стран без адекватной защиты первичное рассмотрение занимает до 10 рабочих дней, а начинать передачу до его завершения нельзя.
Обязательно ли переподписывать согласия, полученные до 1 сентября 2025 года
Нет, требование об оформлении согласия отдельным документом обратной силы не имеет, и ранее полученные согласия переподписывать не нужно. Пересобрать их придётся в двух случаях: если меняются цели обработки или если согласие изначально не отвечало требованиям конкретности и информированности по статье 9 152-ФЗ.
