Уведомление об обработке персональных данных подаётся в Роскомнадзор до того, как оператор начнёт обрабатывать данные: до приёма первого работника, до сбора анкет кандидатов, до запуска формы обратной связи на сайте. Форма утверждена приказом Роскомнадзора от 28.10.2022 № 180, направить её можно через портал pd.rkn.gov.ru, через Госуслуги или на бумаге в территориальный орган по месту регистрации. Сведения вносятся в реестр операторов в течение 30 дней. Исключений в части 2 статьи 22 152-ФЗ осталось три, и кадровая обработка ни под одно из них не попадает: льгота для трудовых отношений отменена с 1 сентября 2022 года. Объём работы определяет одно различие: обрабатываете вы данные сами или передаёте их подрядчику по поручению. Во втором случае в уведомлении появляется отдельный блок сведений, а к нему — договор поручения.
Разберём сложные поля формы: правовое основание по каждой цели, категории субъектов, меры защиты по статьям 18.1 и 19, срок или условие прекращения обработки. Покажем, как за минуту проверить, числится ли компания в реестре, и что делать, если уведомление подано три года назад, а с тех пор сменились адрес, ответственный и система. Сроки уведомлений об изменениях, прекращении обработки, трансграничной передаче и утечках, размеры штрафов по статье 13.11 КоАП, стоимость подключения КЭДО и ответы на частые вопросы — во второй половине статьи.
Кто считается оператором и с какого момента считается просрочка
Оператор по 152-ФЗ — это лицо, которое определяет цели обработки, состав данных и совершаемые с ними действия. Организационно-правовая форма роли не играет: под определение попадают юридические лица, индивидуальные предприниматели, самозанятые и физические лица, нанимающие работников. Как только компания приняла резюме, завела личную карточку или выгрузила табель, она уже оператор.
Просрочка начинается не с даты регистрации юрлица, а с первого фактического действия с данными. Закон формулирует обязанность как уведомление о намерении, то есть уведомление направляется заранее, а не по итогам первого месяца работы. На практике почти все опоздавшие компании выглядят одинаково: ООО зарегистрировано, директор оформлен единственным работником, зарплата платится, уведомление не подано, потому что «сотрудников почти нет».
Проверить своё положение можно за минуту. Введите ИНН в поиске по реестру операторов персональных данных на портале Роскомнадзора: если карточки нет, уведомление либо не подавалось, либо не прошло рассмотрение. Заодно посмотрите дату внесения и состав сведений в карточке — расхождение с реальностью потребует отдельного уведомления об изменениях.
Разные роли в одном процессе закон разводит жёстко. Работодатель, который определяет, зачем он собирает данные работников, — оператор. Сервис КЭДО, который хранит и подписывает документы по договору с работодателем, — лицо, обрабатывающее данные по поручению оператора. Уведомление подаёт оператор, а сведения о поручении он указывает в своей форме.
| Ситуация | Нужно ли уведомление | Что критично |
|---|---|---|
| ООО с одним директором в штате | Да | Кадровый учёт ведётся в программе, значит обработка автоматизированная |
| ИП без работников, но с клиентской базой | Да | Цель обработки указывается по клиентам, а не по работникам |
| Самозанятый, ведущий запись клиентов в приложении | Да | Обязанность распространена и на самозанятых |
| Компания передала кадровый учёт на аутсорсинг | Да, подаёт заказчик | В форме заполняется блок о поручении обработки, нужен договор |
| Обособленные подразделения в нескольких регионах | Да, одно уведомление от юрлица | Подаётся по месту регистрации, адреса обработки перечисляются |
| Кадровые документы ведутся только на бумаге, без программ | Нет | Любая выгрузка в 1С или Excel лишает освобождения |
Пятая строка снимает частый вопрос про филиалы: уведомление подаёт юридическое лицо целиком, отдельные формы на каждое подразделение не нужны, но адреса, по которым фактически обрабатываются данные, перечисляются в форме.
Когда уведомление не подаётся: три исключения и их реальные границы
После вступления в силу 266-ФЗ в части 2 статьи 22 152-ФЗ осталось три основания не уведомлять: данные включены в государственные информационные системы, созданные для защиты безопасности государства и общественного порядка; обработка ведётся исключительно без средств автоматизации; обработка предусмотрена законодательством о транспортной безопасности для устойчивого функционирования транспортного комплекса. Прежний перечень был длиннее и прямо освобождал работодателей по данным работников. Этой строки больше нет.
Исключение про отсутствие автоматизации работает только буквально. Слово «исключительно» означает, что любая обработка через программу лишает освобождения целиком, а не по отдельным процессам. Ведение табеля в Excel, расчёт зарплаты в 1С, рассылка приказов по электронной почте, хранение сканов паспортов в облачной папке — каждое из этих действий переводит компанию в общий режим. Работающая на практике конструкция «бумажный кадровый учёт» встречается у совсем небольших работодателей, и даже у них бухгалтерия обычно ведётся в программе.
Внимание: если работодатель сам организует массовую регистрацию работников в сервисе и передаёт туда их данные, сервис действует по поручению оператора. Собрать согласие на такую передачу обязан работодатель, а не сервис.
Второй частый самообман — надежда на малый оборот. Ни численность работников, ни выручка, ни статус субъекта малого предпринимательства освобождения не дают. Реестр операторов Роскомнадзора уже содержит более двух с половиной миллионов записей, и подавляющая часть из них — обычные компании и предприниматели без специальных режимов обработки.
Мария Ж, юрист со стажем более 20 лет: «Оценка соответствия требованиям 152-ФЗ обязательна, но проводить её можно двумя способами. Компания вправе провести проверку самостоятельно и оформить акт оценки соответствия требованиям либо привлечь лицензиата ФСТЭК и получить аттестат. Если своего подразделения по информационной безопасности нет, третье лицо стоит привлечь хотя бы для того, чтобы убедиться: аттестация в вашем случае не требуется, а самостоятельная оценка оформлена правильно.»
Что подготовить до подачи: шесть пунктов, которые определят содержание формы
Форма уведомления не заполняется по памяти. Каждое поле опирается на внутренний документ, и если документа нет, поле придётся заполнять приблизительно, а потом переделывать. Разберите шесть блоков заранее.
В проектах Добыто этот разбор идёт до настройки системы: пока не зафиксированы цели и категории данных, маршрут согласования строить не на чем.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
- Перечень целей обработки. Ведение кадрового учёта, исполнение трудового договора, подбор персонала, пропускной режим, исполнение договоров с клиентами, продвижение услуг. По каждой цели дальше указываются свой состав данных и своё правовое основание.
- Категории субъектов и категории данных по каждой цели. Работники, кандидаты, бывшие работники, члены семей работников для льгот и вычетов, клиенты, посетители офиса. Отдельно проверьте, нет ли специальных категорий: сведения о здоровье попадают в компанию с медицинскими справками и медосмотрами.
- Правовое основание по каждой цели. Кадровая обработка держится в основном на трудовом законодательстве и договоре, а не на согласии. Согласие требуется там, где обработка выходит за пределы обязанностей работодателя: проверка кандидата, публикация фотографии на сайте, передача данных в сторонние сервисы.
- Локальные нормативные акты. Правила обработки персональных данных, приказ об их утверждении, лист ознакомления, приказ о назначении ответственного за организацию обработки. Без них поле про меры по статьям 18.1 и 19 заполнить нечем.
- Места фактической обработки и хранения. Адреса офисов, площадки серверов, страна размещения базы данных, реквизиты подрядчиков, которым передаются данные по поручению.
- Срок или условие прекращения обработки. Формулировка привязывается к архивным срокам и к достижению цели, а не к произвольной дате.
Соберите согласия работников на актуальном бланке
Согласие оформляется письменно, содержит цели, состав данных, срок действия и порядок отзыва. Конструктор ниже собирает бланк в .docx: заполните цели и срок, скачайте готовый файл и передайте кадровой службе.
Отдельная строка нужна для передачи данных в сервис КЭДО, если регистрацию работников проводит работодатель. Когда работник регистрируется сам, он даёт согласие сервису напрямую, и в кадровый комплект оно не попадает.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Первый вопрос при подключении звучит просто: происходит ли что-то с персональными данными работников и участвует ли работодатель в передаче. Если работник регистрируется в сервисе сам, сервис собирает согласие с него и отвечает за эту обработку. Если работодатель организует массовую регистрацию через интеграцию, передача данных идёт от него, и отношения оформляются как поручение обработки. Посмотрите на свой сценарий регистрации до того, как заполнять форму уведомления.»
Что писать в уведомлении: разбор полей, на которых обычно спотыкаются
Приказ Роскомнадзора от 28.10.2022 № 180 утвердил три формы: уведомление о намерении осуществлять обработку, уведомление об изменении ранее поданных сведений и уведомление о прекращении обработки. Формы применяются с 26 декабря 2022 года, старые бланки не принимаются.
Ответственный за организацию обработки. В форме указываются фамилия, имя, отчество и контактные данные конкретного человека. Назначается он приказом. Практика показывает, что это поле устаревает первым: ответственный увольняется, приказ переписывают, а уведомление не обновляют.
Меры по обеспечению безопасности. Здесь описываются меры, предусмотренные статьями 18.1 и 19 152-ФЗ: назначение ответственного, издание документа о политике обработки, внутренний контроль, ознакомление работников, определение угроз и уровня защищённости, применяемые средства защиты. Общая фраза «принимаются необходимые меры» — основание для запроса уточнений по части 6 статьи 22.
Место нахождения базы данных. Базы, содержащие данные граждан России, размещаются на территории России. В уведомлении указывается страна размещения, а при облачной поставке — площадка провайдера. Спрос на локальное развёртывание в последние годы вырос именно из-за требований информационной безопасности, и на выбор варианта поставки стоит смотреть до подачи уведомления, а не после.
Срок или условие прекращения обработки. Кадровые документы живут долго: графики отпусков и табели хранятся пять лет, трудовые договоры и приказы по личному составу — 50 или 75 лет, штатные расписания и локальные акты хранятся постоянно. Формулировка вида «до истечения сроков хранения, установленных законодательством об архивном деле» точнее, чем конкретная дата.
Факт: оценка соответствия по 152-ФЗ проводится либо самостоятельно с оформлением акта оценки соответствия требованиям, либо через лицензиата ФСТЭК с выдачей аттестата. Для государственных организаций и высоких уровней защищённости сертифицированные средства защиты обязательны.
Шаблоны документов, на которые опирается уведомление
Комплект закрывает поля формы про меры защиты и ответственного; начните с правил обработки персональных данных, остальное подстраивается под них.
| Документ | Скачать |
|---|---|
| Правила обработки персональных данных | Скачать |
| Согласие на обработку персональных данных | Скачать |
| Приказ об утверждении локального нормативного акта | Скачать |
| Лист ознакомления с локальными нормативными актами | Скачать |
| Матрица ответственности отдела кадров | Скачать |
Как подать уведомление в Роскомнадзор
Электронная подача идёт через форму уведомления на портале персональных данных: система проверяет обязательные поля и выдаёт печатную версию. Для отправки в электронном виде понадобится подтверждённая учётная запись на Госуслугах и электронная подпись; бумажный вариант распечатывается, подписывается руководителем и направляется в территориальный орган по месту регистрации.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Как подать уведомление об обработке персональных данных: пошаговая инструкция
- Шаг 1. Проверьте по ИНН, нет ли компании в реестре операторов. Если запись есть, вместо первичного уведомления подаётся уведомление об изменении сведений.
- Шаг 2. Утвердите правила обработки персональных данных приказом и назначьте ответственного за организацию обработки. Ознакомьте работников под подпись.
- Шаг 3. Выпишите цели обработки, а по каждой цели — категории субъектов, категории данных, правовое основание, перечень действий и способы обработки. Этот блок в форме заполняется по каждой цели отдельно.
- Шаг 4. Заполните форму из приложения № 1 к приказу № 180: реквизиты оператора, ответственный, меры защиты, дата начала обработки, срок или условие прекращения, место нахождения базы данных, сведения о поручении обработки и о трансграничной передаче.
- Шаг 5. Отправьте форму через портал с электронной подписью либо распечатайте, подпишите у руководителя и передайте в территориальный орган. Сохраните подтверждение отправки.
- Шаг 6. Через 30 дней проверьте карточку в реестре. Если сведений нет, уточните статус: по части 6 статьи 22 ведомство вправе запросить уточнения при неполных или недостоверных данных.
В практике Добыто мы разбираем этот комплект вместе с положением о КЭДО: цели, состав данных и меры защиты в двух документах должны совпадать, иначе при проверке расхождение видно сразу.
Что делать после подачи: изменения, прекращение, трансграничная передача и утечки
Первичное уведомление закрывает вход в реестр, дальше начинается сопровождение. Четыре события требуют отдельного обращения в Роскомнадзор, и сроки у них разные.
| Событие | Срок обращения | Основание |
|---|---|---|
| Начало обработки | До начала обработки, внесение в реестр в течение 30 дней | Части 1 и 4 статьи 22 152-ФЗ |
| Изменение ранее поданных сведений | Не позднее 15-го числа месяца, следующего за месяцем изменений | Часть 7 статьи 22 152-ФЗ |
| Прекращение обработки | 10 рабочих дней с даты прекращения, исключение из реестра в течение 30 дней | Части 4.1 и 7 статьи 22 152-ФЗ |
| Трансграничная передача | Отдельное уведомление до начала передачи, рассмотрение до 10 рабочих дней | Статья 12 152-ФЗ |
| Инцидент с неправомерной передачей данных | 24 часа на сообщение об инциденте, 72 часа на результаты внутреннего расследования | Часть 3.1 статьи 21 152-ФЗ |
Из таблицы следует практический вывод про смену подрядчика: переход на другой сервис КЭДО меняет сведения о поручении обработки и о месте нахождения базы данных, поэтому после миграции уведомление об изменениях подаётся до 15-го числа следующего месяца.
Мария Ж, HR-эксперт с 13-летним стажем: «Локальный акт не заканчивается утверждением. Он проходит согласование, ознакомление, а дальше за его актуальностью нужно следить и по истечении срока запускать процедуру пересмотра. С правилами обработки персональных данных та же логика: сменили систему, добавили цель, поменяли ответственного — пересматриваете документ и следом обновляете сведения в реестре.»
Лайфхак: сверяйте выгрузку журнала действий в кадровой системе до начала спора или проверки, а не после. Журнал показывает всё: дату выдачи ключа, вход под чужой учётной записью, отсутствие активности работника при формально подписанном документе.
Сколько стоит ошибка: штрафы за неуведомление и смежные нарушения
С 30 мая 2025 года действует отдельный состав за неуведомление. Часть 10 статьи 13.11 КоАП: невыполнение или несвоевременное выполнение обязанности уведомить уполномоченный орган о намерении осуществлять обработку персональных данных наказывается штрафом на граждан 5 000-10 000 рублей, на должностных лиц 30 000-50 000 рублей, на юридических лиц 100 000-300 000 рублей. До этой поправки нарушение квалифицировалось по общей норме о непредставлении сведений, и суммы были на порядок ниже.
Рядом стоит часть 11 той же статьи: неуведомление о факте неправомерной или случайной передачи данных обойдётся юридическому лицу в 1-3 млн рублей, должностному лицу в 400 000-800 000 рублей. Штрафы за саму утечку выше, а при повторном нарушении применяется оборотный расчёт: от 1 до 3 процентов годовой выручки, не менее 20 млн и не более 500 млн рублей.
Прямой штраф — не единственная статья расходов. Отсутствие записи в реестре означает, что вся сопутствующая документация тоже, скорее всего, не выстроена: нет правил обработки, нет ответственного, нет актуальных согласий. Проверка, начавшаяся с проверки реестра, продолжается по всему комплекту, и каждое нарушение оценивается отдельно. Для компании на 300 человек восстановление комплекта с нуля занимает недели работы кадровой и юридической служб, а к этому добавляется пересбор согласий.
Мария Ж, судебный эксперт по трудовому праву: «Отсутствие громких дел по оборотным штрафам не означает, что норма не работает. Внимание к защите данных выросло за последние два года на порядок: специалисты по информационной безопасности приходят на первые же встречи по проекту и задают вопросы раньше, чем бизнес-подразделения. Проверьте свои документы по обработке данных до того, как это сделает регулятор.»
Мы в Добыто закладываем сверку уведомления и положения о КЭДО в подготовку к внедрению: расхождение между тем, что заявлено в реестре, и тем, как данные реально движутся в системе, обнаруживается на этом этапе, а не во время проверки.
Стоимость подключения КЭДО и тарифы Добыто
Стоимость зависит от численности подключаемых сотрудников, набора видов электронной подписи и потребности в интеграции с учётной системой.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт», до 25 сотрудников | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес», без ограничения по численности | от 50 ₽ за сотрудника / мес | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» | 30 000 ₽ в год за 50 сотрудников | годовой период |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API | по запросу | по запросу |
| Электронные подписи ПЭП и УНЭП для сотрудников | входят в тариф | на всех тарифах |
| УКЭП для сотрудников | через партнёров — удостоверяющие центры | по запросу |
| Модуль интеграции с 1С:ЗУП | входит в тариф «Бизнес» | установка и настройка за 1 день |
Итоговый расчёт складывается из численности и выбранного набора функций: кастомные шаблоны, электронный архив и приоритетная поддержка входят в тариф «Бизнес», выделенный сервер и персональный менеджер — в «Корпорацию». Актуальные условия и состав каждого пакета опубликованы на странице тарифов ДОБЫТО КЭДО.
Для расчёта под конкретную численность и формат поставки условия уточняются индивидуально: параметры облачного и локального размещения влияют и на цену, и на то, какие сведения о месте нахождения базы данных попадут в уведомление.
Выводы
Обязанность уведомить Роскомнадзор возникает у любого работодателя, который ведёт кадровый учёт хотя бы в одной программе, и возникает она до первого действия с данными, а не после. Три оставшихся исключения из части 2 статьи 22 152-ФЗ к обычной компании не применяются. Заполнение формы упирается не в сам бланк, а в подготовку: цели, категории данных, правовые основания, локальные акты и меры защиты. После внесения в реестр обязанность не заканчивается, потому что изменения сведений, прекращение обработки, трансграничная передача и инциденты требуют отдельных обращений в свои сроки.
Мы в Добыто выстраиваем кадровый электронный документооборот так, чтобы заявленное в реестре совпадало с фактическим движением документов: состав обрабатываемых данных, места хранения, порядок передачи в сервис и сроки хранения описываются в положении о КЭДО теми же формулировками, что и в уведомлении.
Частые вопросы
Нужно ли подавать уведомление, если в компании работает только директор и он же учредитель
Да. Директор — работник, с ним заключён трудовой договор, на него ведутся личная карточка, табель и расчёт зарплаты. Если хотя бы один из этих документов формируется в программе, обработка автоматизированная и уведомление подаётся на общих основаниях. Единственное реально доступное исключение — обработка исключительно без средств автоматизации, а оно исчезает при первой же выгрузке в учётную систему.
Что делать, если компания работает несколько лет, а уведомление так и не подано
Подать его сейчас, указав фактическую дату начала обработки. Подделывать дату смысла нет: она сверяется с датой регистрации юрлица и датой первых кадровых документов. Состав правонарушения по части 10 статьи 13.11 КоАП формулируется как невыполнение или несвоевременное выполнение обязанности, то есть поздняя подача сама по себе от ответственности не освобождает, но прекращает длящееся нарушение и снимает основной риск при проверке.
Требуется ли отдельное уведомление на каждый филиал или обособленное подразделение
Нет. Оператором выступает юридическое лицо целиком, уведомление подаётся одно, по месту его регистрации. Адреса, по которым фактически ведётся обработка, перечисляются внутри формы. Если подразделение открылось после подачи, сведения обновляются уведомлением об изменениях не позднее 15-го числа следующего месяца.
Нужно ли уведомлять Роскомнадзор о передаче данных в сервис КЭДО или бухгалтерию на аутсорсинге
Отдельное уведомление не подаётся, но сведения о поручении обработки указываются в общей форме, а само поручение оформляется договором с перечнем действий и требованиями к защите данных. Оператором остаётся заказчик: он определяет цели, он же собирает согласия там, где они требуются. Смена подрядчика меняет эти сведения и требует уведомления об изменениях.
Влияет ли уведомление на обязанность определять уровень защищённости и проводить оценку соответствия
Это разные обязанности, но связанные. В поле о мерах безопасности перечисляются меры по статьям 18.1 и 19 152-ФЗ, включая определение угроз и уровня защищённости. Оценка соответствия проводится либо самостоятельно с оформлением акта оценки соответствия требованиям, либо через лицензиата ФСТЭК с выдачей аттестата. Для государственных организаций и высоких уровней защищённости применение сертифицированных средств защиты обязательно.
Как понять, что уведомление приняли, и что делать при запросе уточнений
Сведения вносятся в реестр в течение 30 дней с даты поступления уведомления, после чего карточка оператора находится по ИНН в открытом поиске. Если срок прошёл, а записи нет, вероятен запрос уточнений: часть 6 статьи 22 позволяет ведомству требовать уточнения при неполных или недостоверных сведениях. Уточнённая форма подаётся тем же способом, что и первичная, а срок рассмотрения отсчитывается заново.
Нужно ли подавать уведомление о прекращении обработки при ликвидации компании
Да, и срок здесь короче общего: 10 рабочих дней с даты прекращения обработки. Форма отдельная, она утверждена приложением № 3 к приказу № 180. Исключение сведений из реестра занимает до 30 дней. Обязанность сохраняется и при смене вида деятельности, если обработка по заявленным целям прекращается полностью.
