Уведомление в Роскомнадзор об обработке персональных данных подаётся до начала обработки: компания, которая ведёт кадровый учёт, уже оператор по статье 22 152-ФЗ. Освобождений в законе осталось три: данные в государственных информационных системах, созданных для защиты безопасности государства и общественного порядка, обработка исключительно без средств автоматизации и случаи по законодательству о транспортной безопасности. Обработки данных работников в этом перечне с 1 сентября 2022 года нет. Подать уведомление можно на бумаге в территориальное управление, электронно с УКЭП организации и через подтверждённую учётную запись организации на Госуслугах. Сведения вносятся в реестр операторов в течение 30 дней. Если данные уходят за границу, подаётся ещё одно уведомление — о трансграничной передаче, и передавать нельзя до истечения 10 рабочих дней с его подачи.
Разберём, какие поля формы вызывают уточняющие запросы, чем отличаются три способа подачи и что собрать заранее: политику обработки, приказ о назначении ответственного, перечень целей и описание мер защиты. Покажем, как проверить себя в реестре операторов по ИНН и какие сроки действуют при смене сведений и при прекращении обработки. Штрафы по статье 13.11 КоАП в редакции с 30 мая 2025 года, сценарная таблица по способам подачи, пошаговая инструкция по порталу персональных данных и ответы на частые вопросы — во второй половине статьи.
Кто обязан подать уведомление и кого закон освободил
Оператором организация становится в тот момент, когда начинает определять цели обработки и состав данных, а не тогда, когда заводит отдельную информационную систему. Анкета кандидата, копия паспорта в личном деле, табель, зарплатный реестр, пропускная система — всё это обработка персональных данных. Обязанность уведомить уполномоченный орган до начала обработки закреплена частью 1 статьи 22 152-ФЗ.
До 1 сентября 2022 года действовал широкий перечень исключений, и в нём прямо назывались данные работников, обрабатываемые в соответствии с трудовым законодательством. Поправки этот пункт отменили. В действующей редакции части 2 статьи 22 остались три основания: персональные данные включены в государственные информационные системы, созданные в целях защиты безопасности государства и общественного порядка; обработка ведётся исключительно без использования средств автоматизации; обработка предусмотрена законодательством о транспортной безопасности.
Второе основание выглядит спасительным, но работает редко. Особенности неавтоматизированной обработки описаны постановлением Правительства РФ от 15.09.2008 № 687, и как только сведения попадают в 1С, в таблицу Excel, в корпоративную почту или в облачный диск, обработка становится автоматизированной. Компания без бумажного кадрового шкафа под это основание не подпадает.
Проверить своё положение можно за пару минут: реестр операторов персональных данных открыт для поиска по ИНН, наименованию и регистрационному номеру. Если организации там нет, а обработка идёт, уведомление подаётся задним числом со всеми вытекающими по статье 13.11 КоАП.
Что подготовить до подачи уведомления
Форма уведомления собирает сведения, которые должны существовать в компании до её заполнения. Заполнять поля по памяти опасно: расхождение между тем, что записано в реестре, и тем, что реально делает компания, при проверке читается не в пользу оператора.
- Политика обработки персональных данных. Часть 2 статьи 18.1 152-ФЗ требует опубликовать документ, определяющий политику в отношении обработки, или иным образом обеспечить к нему неограниченный доступ.
- Приказ о назначении ответственного за организацию обработки. Статья 22.1 обязывает назначить такое лицо; его фамилия, имя, отчество, телефон и адрес электронной почты переносятся в уведомление.
- Перечень целей обработки. Кадровый учёт, подбор персонала, пропускной режим, видеонаблюдение, работа с контрагентами-физическими лицами и рассылки — это разные цели, а не одна.
- Категории субъектов и категории данных. Кроме работников это кандидаты, бывшие работники, члены семьи для льгот и вычетов, исполнители по договорам ГПХ. Сведения о здоровье из медосмотров и листков нетрудоспособности относятся к специальным категориям, и их отмечают отдельно.
- Правовое основание по каждой цели. Обработка для исполнения трудового договора и обработка по согласию — разные основания, и подменять одно другим в форме нельзя.
- Описание мер по статьям 18.1 и 19 152-ФЗ. Уровень защищённости определяется по постановлению Правительства РФ от 01.11.2012 № 1119, и от него зависит состав технических мер.
- Место нахождения базы данных. Указываются страна, адрес центра обработки данных и организация, обеспечивающая хранение. База данных граждан России находится на территории России в силу части 5 статьи 18.
- Сведения о поручении обработки. Если кадровый учёт, расчёт зарплаты или КЭДО отданы внешнему исполнителю, поручение обработки по части 3 статьи 6 отражается в уведомлении.
Мария Ж, юрист со стажем более 20 лет: «Вопрос, который я советую задавать поставщику системы прямо: перечислите всех, кто получит доступ к данным. Не формулировку про защищённое хранение, а список лиц. Обычно там оказывается не одна компания, а три: сам провайдер, владелец инфраструктуры и удостоверяющий центр. Этот список нужен вам не для спокойствия, а для полей уведомления и для согласий на передачу данных третьим лицам.»
Полезно знать: при переходе в облачный сервис кадровые документы передаются провайдеру, а при внешнем удостоверяющем центре — ещё и тому, кто выдаёт подписи. Такая передача третьим лицам требует согласия работников, и отражается она не только в согласиях, но и в блоке уведомления о поручении обработки.
Согласие нужно не везде. Обработка, необходимая для исполнения трудового договора и для выполнения обязанностей работодателя по Трудовому кодексу, идёт по пункту 2 части 1 статьи 6 152-ФЗ и согласия не требует. Согласие нужно там, где цель выходит за пределы трудовых отношений: проверка кандидата по открытым источникам, публикация фотографии на сайте, передача данных в партнёрскую программу, оценка персонала. С 1 сентября 2025 года согласие оформляется отдельным документом и в текст трудового договора или иного соглашения не встраивается; согласия, собранные раньше, переоформлять не требуется.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Соберите согласие на обработку персональных данных под свои цели
В практике Добыто перед запуском КЭДО мы сверяем перечень целей заказчика с тем, что уже записано в реестре операторов. Расхождение встречается чаще всего в двух местах: кандидаты не указаны как категория субъектов, а передача данных внешнему сервису не отражена как поручение обработки.
Шаблоны ЛНА и согласий по обработке персональных данных
Комплект закрывает документальную часть подготовки к подаче; начинать удобнее с правил обработки, из них переносятся цели и меры в форму уведомления.
| Документ | Скачать |
|---|---|
| Правила обработки персональных данных | Скачать |
| Согласие на обработку персональных данных | Скачать |
| Приказ об утверждении локального нормативного акта | Скачать |
| Лист ознакомления с локальными нормативными актами | Скачать |
| Матрица прав и ролей доступа к кадровым данным | Скачать |
Семь блоков формы и поля, на которых спотыкаются
Электронная форма уведомления собрана по приказу Роскомнадзора от 28.10.2022 № 180 и разбита на смысловые блоки. Запрос на уточнение сведений по части 5 статьи 22 приходит почти всегда из-за одних и тех же семи мест.
| Блок формы | Что указывается | Где ошибаются |
|---|---|---|
| Сведения об операторе | Регион регистрации, тип оператора, наименование, ИНН, адрес | Указывают регион фактического офиса вместо региона регистрации |
| Цели обработки | Отдельная запись на каждый процесс | Одна общая формулировка про кадровый учёт на все процессы сразу |
| Категории данных | Обычные, специальные, биометрические | Не отмечают специальные категории, хотя обрабатывают медосмотры и больничные |
| Категории субъектов | Работники, кандидаты, бывшие работники, члены семьи, исполнители по ГПХ | Ограничиваются работниками, хотя базу резюме ведут годами |
| Основание и перечень действий | Норма 152-ФЗ и ТК РФ, сбор, хранение, уточнение, передача, удаление | Ставят согласие там, где обработка идёт для исполнения трудового договора |
| Способ обработки и меры защиты | Автоматизированная обработка, передача по сети, шифрование, ответственное лицо | Меры по статьям 18.1 и 19 заменяют общей фразой без состава |
| Место базы данных и доверенность | Страна, адрес центра обработки данных, организация хранения, реквизиты МЧД | Вписывают юридический адрес компании и подают без машиночитаемой доверенности |
Три верхние строки таблицы отвечают за то, придётся ли позже подавать уведомление об изменениях: чем точнее описаны цели, категории и основания при первой подаче, тем реже придётся возвращаться к форме.
Внимание: оценка соответствия требованиям 152-ФЗ обязательна, и провести её можно двумя путями. Самостоятельно — тогда документ называется актом оценки соответствия требованиям, либо силами лицензиата ФСТЭК — тогда это аттестация и на выходе аттестат.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Компании без собственного подразделения информационной безопасности я советую привлечь лицензиата ФСТЭК хотя бы для того, чтобы убедиться, что аттестация системы им не требуется. Специалисты со стороны подскажут, как правильно провести самостоятельную оценку, и увидят недостатки, которые изнутри не видны. Обследование делается один раз, а его результат ложится прямо в блок мер защиты в уведомлении.»
Как подать уведомление через портал персональных данных: пошаговая инструкция
- Шаг 1. Откройте раздел электронных форм уведомлений на портале персональных данных Роскомнадзора и выберите форму уведомления о намерении осуществлять обработку. Для изменений и прекращения там отдельные формы.
- Шаг 2. Выберите способ подачи: печатная форма, заполнение с подписанием электронной подписью или вход через учётную запись ЕСИА.
- Шаг 3. Заполните сведения об операторе: регион регистрации, тип оператора, наименование, ИНН, адрес.
- Шаг 4. Внесите цели обработки по каждому процессу отдельно, категории данных и субъектов, правовое основание и перечень действий с данными.
- Шаг 5. Опишите способ обработки и меры защиты, укажите ответственного за организацию обработки с телефоном и адресом электронной почты, страну и адрес размещения базы данных.
- Шаг 6. Подпишите форму УКЭП организации через плагин КриптоПро либо подтвердите отправку через учётную запись организации на Госуслугах. Если подписывает не руководитель, приложите машиночитаемую доверенность.
- Шаг 7. Сохраните подтверждение отправки, а через 30 дней проверьте появление записи в реестре операторов по ИНН.
Три способа подачи: бумага, УКЭП и Госуслуги
Способ подачи выбирается по тому, чем компания располагает на момент заполнения, а не по скорости. Четыре типовые ситуации закрывают почти все обращения.
| Ситуация | Способ подачи | Что критично | Что вторично |
|---|---|---|---|
| Нет ни УКЭП, ни учётной записи организации | Печатная форма в территориальное управление | Подпись руководителя и доставка в управление по месту регистрации | Скорость подачи |
| УКЭП руководителя действует | Электронная форма с подписанием УКЭП | Установленный плагин КриптоПро и действующий сертификат | Наличие учётной записи на Госуслугах |
| Подписывает не руководитель | Электронная форма с УКЭП и машиночитаемой доверенностью | Реквизиты МЧД в форме и её публикация в реестре | Тип носителя ключа |
| Есть подтверждённая учётная запись организации | Вход через ЕСИА | Привязка сотрудника к организации и доступ к указанной почте | Установка криптопровайдера |
Подробный состав электронных форм уведомлений и руководство по заполнению выложены на портале персональных данных: там же лежат отдельные формы для изменения сведений и для прекращения обработки.
УКЭП для подписания уведомления выпускает аккредитованный удостоверяющий центр. В тарифы Добыто входят ПЭП и УНЭП для сотрудников, а УКЭП руководителя оформляется через партнёров-удостоверяющие центры: для кадровых процессов эти подписи не взаимозаменяемы и живут в разных контурах.
Сроки: подача, реестр, изменения и прекращение
Сроков в статье 22 четыре, и считаются они по-разному.
- До начала обработки. Уведомление подаётся перед первым действием с данными, а не после найма первого работника.
- 30 дней. В этот срок с даты поступления уведомления уполномоченный орган вносит сведения в реестр операторов.
- Не позднее 15-го числа месяца, следующего за месяцем изменений. Так подаётся уведомление об изменении сведений: сменился адрес, руководитель, ответственный за организацию обработки, добавилась цель или система.
- 10 рабочих дней. Столько отводится на уведомление о прекращении обработки персональных данных.
- 24 и 72 часа. Отдельный режим по части 3.1 статьи 21: о факте неправомерной или случайной передачи данных сообщают в течение 24 часов, о результатах внутреннего расследования — в течение 72 часов с момента выявления инцидента.
Поле про срок или условие прекращения обработки заполняется не произвольной датой. Оно выводится из сроков хранения кадровых документов, а те заданы перечнем Росархива: пять лет для графиков отпусков и табелей, 50 или 75 лет для трудовых договоров и приказов по личному составу.
Мария Ж, HR-эксперт с 13-летним стажем: «Требования к хранению бумажных документов переносятся на электронные целиком: Трудовой кодекс обязывает хранить кадровые документы, но не описывает, как это делать. Поэтому условие прекращения обработки мы пишем не от руки, а сверяем с номенклатурой дел за текущий год. Откройте свою номенклатуру перед заполнением поля — дальше формулировка собирается сама.»
Трансграничная передача: второе уведомление и пауза в 10 рабочих дней
Уведомление об обработке не покрывает передачу данных за пределы России. Статья 12 152-ФЗ требует отдельного уведомления о намерении осуществлять трансграничную передачу, и подаётся оно по своей форме на том же портале.
Передавать данные в страны, которые не обеспечивают адекватной защиты прав субъектов, запрещено до истечения 10 рабочих дней с момента подачи уведомления. Исключение одно: передача необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта либо других лиц. Если в течение этого срока регулятор запросит дополнительные сведения, ответ представляется в течение 10 рабочих дней с даты запроса, а продлить этот срок можно не более чем на 5 рабочих дней по мотивированному уведомлению.
Типичная ситуация для кадровой службы выглядит безобидно: резюме собираются через зарубежный сервис подбора, переписка с кандидатами идёт в иностранном мессенджере, а зарплатная аналитика считается в облаке с серверами за пределами России. Формально это трансграничная передача, и одного уведомления об обработке для неё недостаточно.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Цена ошибки: сколько стоит молчание перед регулятором
Санкции за нарушения в области персональных данных выросли с 30 мая 2025 года. Неуведомление и несвоевременное уведомление уполномоченного органа выделены в часть 10 статьи 13.11 КоАП: граждане платят от 5 000 до 10 000 рублей, должностные лица — от 30 000 до 50 000, юридические лица — от 100 000 до 300 000 рублей. Состав срабатывает от самого факта обработки без уведомления, без утечки и без жалобы работника.
Молчание об утечке стоит дороже. По части 11 той же статьи невыполнение обязанности сообщить о неправомерной или случайной передаче данных обходится юридическому лицу в сумму от 1 000 000 до 3 000 000 рублей, должностному лицу — от 400 000 до 800 000. Сама утечка тарифицируется по объёму: от 3 000 000 до 5 000 000 рублей при данных 1 000-10 000 субъектов, от 5 000 000 до 10 000 000 при 10 000-100 000 субъектов и от 10 000 000 до 15 000 000 при большем количестве. Повторное нарушение переводит компанию на оборотный штраф от 1 до 3 процентов выручки, но не менее 20 000 000 рублей.
Лайфхак: доступ ко всему кадровому массиву у всей кадровой службы целиком — типовая ситуация и типовое нарушение. Разграничьте роли по подразделениям и процессам до того, как будете описывать меры защиты в уведомлении.
Когда уведомления недостаточно и когда подавать рано
Запись в реестре операторов подтверждает только одно: компания сообщила о себе. Она не заменяет политику обработки, согласия, приказ об ответственном, модель угроз и разграничение доступа. При проверке сверяют заявленное с фактическим, и расхождение работает против оператора сильнее, чем отсутствие уведомления у того, кто честно ничего не начинал.
Подавать уведомление рано, если процессы обработки ещё не описаны. Компания, которая заполнила форму до инвентаризации систем и целей, через месяц обнаруживает видеонаблюдение, базу резюме и зарплатный проект, и подаёт уведомление об изменениях снова и снова. Порядок обратный: сначала инвентаризация целей, систем и получателей, потом форма.
Мария Ж, судебный эксперт по трудовому праву: «Установить, что действие совершено в системе от имени работника, для победы в споре недостаточно. Суд отдельно смотрит, был ли у работодателя порядок идентификации и зафиксирован ли он документально. Если в вашем локальном акте порядок не описан, спор вы проиграете даже при технически исправной подписи, поэтому проверьте ЛНА раньше, чем техническую часть.»
Уведомление не нужно только в трёх случаях из части 2 статьи 22, и проверять их стоит буквально, а не по смыслу. Формулировка про обработку исключительно без средств автоматизации не допускает частичной автоматизации: одна общая таблица в электронном виде закрывает это основание.
Мы закладываем пилотную группу перед раскаткой КЭДО на всю компанию: на пилоте видно, какие цели и какие категории субъектов реально появляются в системе, и уведомление подаётся уже по фактическому составу обработки, а не по плану.
Стоимость перехода на КЭДО и тарифы Добыто
Стоимость зависит от численности сотрудников, набора функций и того, нужна ли интеграция с 1С и выделенная инфраструктура.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт», до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес», неограниченно сотрудников, ПЭП, УНЭП и УКЭП, электронный архив | от 50 ₽ за сотрудника / мес | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» | 50 сотрудников за 30 000 ₽ в год | год |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API и кастомные интеграции | по запросу | рассчитывается индивидуально |
| Электронные подписи ПЭП и УНЭП для сотрудников | входят в тариф | при подключении |
| УКЭП через партнёров-удостоверяющие центры | по запросу | рассчитывается индивидуально |
| Модуль интеграции с 1С:ЗУП | входит в тариф «Бизнес» | установка и настройка за один день |
Итоговый счёт складывается из численности и выбранного тарифа: у «Старта» действует потолок в 25 сотрудников, у «Бизнеса» — нижняя граница оплаты, а «Корпорация» считается индивидуально под выделенный сервер и уровень SLA. Полные условия по каждому тарифу и состав функций опубликованы на странице тарифов ДОБЫТО КЭДО.
Переход между тарифами возможен в любое время, при повышении разница пересчитывается пропорционально оставшемуся периоду.
Выводы
Обязанность сообщить о себе регулятору возникает у любой компании с наёмным персоналом, а перечень освобождений после 2022 года сократился до трёх узких случаев. Форма уведомления требует не заполнения, а подготовки: политика, ответственный, цели, категории, основания, меры защиты и адрес базы данных должны существовать до того, как открыта первая страница формы. Сроки распределены неравномерно: подача до начала обработки, 30 дней на реестр, 15-е число следующего месяца на изменения, 10 рабочих дней на прекращение и сутки на сообщение об инциденте.
Добыто работает с кадровыми данными как оператор поручения: мы показываем заказчику, какие категории субъектов и какие получатели появляются в системе после запуска КЭДО, чтобы сведения в реестре совпадали с фактической обработкой, а не расходились с ней через полгода.
Частые вопросы
Нужно ли подавать уведомление индивидуальному предпринимателю без работников
Да, если он обрабатывает данные клиентов, заказчиков или подписчиков с использованием средств автоматизации. Обязанность по части 1 статьи 22 152-ФЗ привязана к статусу оператора, а не к наличию персонала. Освобождение действует только по трём основаниям части 2 статьи 22, и отсутствие работников в их числе не значится.
Что делать, если компания обрабатывает данные несколько лет, а уведомление не подавала
Подать уведомление в общем порядке, не дожидаясь проверки. Состав по части 10 статьи 13.11 КоАП формальный, и добровольная подача его не аннулирует, но до выявления нарушения санкция в 100 000-300 000 рублей для юридического лица не применяется. Дата начала обработки в форме указывается фактическая, а не дата подачи.
Нужно ли новое уведомление при смене директора или юридического адреса
Подаётся уведомление об изменении сведений по отдельной форме, а не повторное уведомление об обработке. Срок — не позднее 15-го числа месяца, следующего за месяцем, в котором изменения произошли. Смена ответственного за организацию обработки персональных данных и его контактов попадает под то же правило.
Требуется ли уведомление, если кадровый учёт ведёт бухгалтерский аутсорсинг
Да, и уведомление подаёт сама компания. Передача обработки внешнему исполнителю оформляется поручением по части 3 статьи 6 152-ФЗ, при этом ответственность перед работником остаётся на работодателе. В форме такое поручение отражается отдельным блоком с указанием лица, которому поручена обработка.
Подаётся ли отдельное уведомление по каждому обособленному подразделению
Уведомление подаёт юридическое лицо целиком, по региону своей регистрации. Филиалы и обособленные подразделения отдельными операторами не становятся, поскольку не имеют самостоятельной правоспособности. Адреса площадок, где размещены базы данных, при этом указываются все.
Надо ли отражать в уведомлении данные кандидатов, которым отказали
Да, кандидаты указываются как отдельная категория субъектов. Если резюме и анкеты хранятся в базе после отказа, для этого нужно согласие с указанным сроком, поскольку цель подбора на конкретную вакансию уже достигнута. Срок хранения такой базы и условие её удаления попадают в поле о сроке или условии прекращения обработки.
Как проверить, что компания уже есть в реестре, если уведомление подавал уволившийся сотрудник
Поиск в реестре операторов ведётся по ИНН, наименованию и регистрационному номеру, доступ к нему открытый. В карточке видны дата внесения, цели обработки и категории данных: по ним сверяется, совпадают ли сведения с текущими процессами. Расхождения закрываются уведомлением об изменении сведений в срок до 15-го числа следующего месяца.
