Уведомление в Роскомнадзор об обработке ПДн: порядок 2026

Уведомление в Роскомнадзор об обработке персональных данных подаёт любая организация и любой предприниматель до начала обработки: это часть 1 статьи 22 Федерального закона от 27.07.2006 № 152-ФЗ. Форма берётся из приложения № 1 к приказу Роскомнадзора от 28.10.2022 № 180, направить её можно тремя способами: на бумаге в территориальный орган, электронно с усиленной квалифицированной подписью или электронно через подтверждённую учётную запись ЕСИА. Сведения вносятся в реестр операторов в течение 30 дней. Работодатели попали под эту обязанность с 1 сентября 2022 года: прежние исключения для данных работников из части 2 статьи 22 утратили силу. Дальше всё определяет способ обработки: если кадровые данные проходят через 1С или любую другую программу, уведомление обязательно, а при обработке исключительно без средств автоматизации обязанности нет.

Разберём поля, в которых Роскомнадзор чаще всего требует уточнений: цели обработки, категории субъектов, правовое основание, срок обработки и место нахождения базы данных. Покажем три сохранившихся исключения и пять разных уведомлений по 152-ФЗ, которые путают между собой. Отдельно — проверка себя в реестре операторов по ИНН и почему режим коммерческой тайны не закрывает требования 152-ФЗ. Штрафы по частям 10 и 11 статьи 13.11 КоАП, сценарная таблица по типам компаний, стоимость и ответы на частые вопросы — во второй половине статьи.

Кто считается оператором и обязан уведомить Роскомнадзор

Оператор — это государственный орган, юридическое или физическое лицо, которое организует и осуществляет обработку персональных данных. Любая компания, где есть хотя бы один работник, под это определение попадает: фамилия, паспортные данные, СНИЛС, адрес, банковские реквизиты для зарплаты и сведения о состоянии здоровья для медосмотра — это персональные данные, и обработка начинается в момент, когда кадровик получает анкету кандидата.

До 1 сентября 2022 года работодатели пользовались исключением: пункт 1 части 2 статьи 22 152-ФЗ разрешал не уведомлять Роскомнадзор об обработке данных лиц, которых связывают с оператором трудовые отношения. Федеральный закон от 14.07.2022 № 266-ФЗ это исключение отменил вместе с пятью соседними. Компании, которые не подавали уведомление до 2022 года и с тех пор к теме не возвращались, формально обрабатывают данные без уведомления уже четвёртый год.

Обязанность не зависит от численности, оборота и наличия сайта. Она не зависит и от того, есть ли у вас служба информационной безопасности. Проверить статус можно за минуту: публичный реестр операторов персональных данных открыт без учётной записи и без запроса, поиск работает по ИНН и наименованию.

Когда уведомление подавать не нужно: три исключения из части 2 статьи 22

После поправок 266-ФЗ в части 2 статьи 22 152-ФЗ осталось три основания не уведомлять Роскомнадзор:

1. Данные в государственных информационных системах, созданных в целях защиты безопасности государства и общественного порядка.
2. Обработка исключительно без использования средств автоматизации. Это единственное исключение, на которое реально может сослаться обычный работодатель.
3. Обработка в соответствии с законодательством о транспортной безопасности в целях устойчивого и безопасного функционирования транспортного комплекса.

Второй пункт на практике почти не срабатывает. Обработка без средств автоматизации означает, что данные работников существуют только на бумаге: ни таблиц в Excel, ни кадровой программы, ни выгрузки ЕФС-1 в Социальный фонд, ни зарплатного реестра в банк. Как только сведения попадают в 1С или в облачный сервис, обработка становится автоматизированной, и исключение перестаёт действовать. Проверьте себя по простому признаку: если хотя бы один кадровый документ формируется программой, а не рукой, уведомление обязательно.

Пять уведомлений по 152-ФЗ, которые путают между собой

Закон предусматривает не одно уведомление, а несколько самостоятельных, с разными сроками и разными последствиями пропуска. Компании обычно подают первое и считают обязанность закрытой.

Из таблицы видно, где бизнес теряет больше всего: уведомление об изменении сведений привязано не к событию, а к календарю, и срок истекает через две-шесть недель после смены директора, адреса или кадровой системы. Уведомление о трансграничной передаче подаётся до передачи, а не по факту, поэтому подключение зарубежного сервиса найма или рассылки без предварительного уведомления нарушает закон уже в момент первой выгрузки.

Что подготовить до заполнения формы

Уведомление работает как декларация оператора: при подаче документы к нему не прикладываются, а при проверке Роскомнадзор сверяет фактическую практику с тем, что опубликовано в реестре. Поэтому сначала собирается комплект, и только потом заполняется форма. Иначе в реестре окажутся сведения, которые ваша организация не подтверждает документами.

1. Приказ о назначении ответственного за организацию обработки персональных данных. Обязанность юридического лица назначить такое лицо установлена статьёй 22.1 152-ФЗ. Фамилия, имя, отчество и контакты ответственного идут прямо в уведомление и становятся общедоступными.
2. Политика или правила обработки персональных данных. Оператор, собирающий данные через интернет, обязан опубликовать этот документ и обеспечить к нему неограниченный доступ по части 2 статьи 18.1 152-ФЗ.
3. Перечень целей обработки. Кадровый учёт, воинский учёт, охрана труда, пропускной режим, видеонаблюдение, подбор персонала и рассылка вакансий — это разные цели, и по каждой указывают свой набор сведений.
4. Перечень категорий субъектов. Работники, кандидаты, бывшие работники, члены семьи работника для льгот и вычетов, исполнители по договорам ГПХ, контрагенты, посетители офиса.
5. Сведения о месте нахождения базы данных. Часть 5 статьи 18 152-ФЗ требует обеспечить запись, систематизацию и хранение данных граждан России в базах на территории Российской Федерации. Уточните у провайдера, где физически стоят серверы вашей кадровой системы.
6. Описание мер по обеспечению безопасности. Опирается на статьи 18.1 и 19 152-ФЗ и на постановление Правительства РФ от 01.11.2012 № 1119 об уровнях защищённости.

В практике Добыто сверка перечня документов и видов подписи идёт до запуска, а не после: мы закладываем пилотную группу перед раскаткой на всю компанию и на ней проверяем, что фактический маршрут документа совпадает с описанным в локальном акте.

Мария Ж, юрист со стажем более 20 лет: «Если в компании исторически сложился обмен кадровыми документами по электронной почте, его нужно либо закрепить локальным актом, либо переводить в КЭДО. Промежуточное состояние, когда все переписываются, но нигде это не описано, оказывается самым уязвимым. Перед подачей уведомления проверьте, описан ли у вас фактический порядок обмена хотя бы в одном действующем локальном акте.»

Соберите согласие на обработку персональных данных под свои цели

Почему режим коммерческой тайны не закрывает требования 152-ФЗ

Режим коммерческой тайны вводится по Федеральному закону от 29.07.2004 № 98-ФЗ и защищает интересы обладателя информации. Защита персональных данных по 152-ФЗ защищает интересы работника и кандидата. Это два независимых режима: положение о коммерческой тайне и подписки о неразглашении не заменяют ни уведомление в Роскомнадзор, ни политику обработки персональных данных, ни согласия.

Пожалуйста, подпишитесь на нас в мессенджерах

Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.

Канал в MAX Канал в Telegram

Есть и прямое ограничение. Часть 1 статьи 5 98-ФЗ запрещает относить к коммерческой тайне сведения о численности и составе работников, о системе оплаты труда, об условиях труда и о наличии вакансий. Попытка закрыть кадровые данные одним режимом коммерческой тайны не работает: часть сведений закон объявляет открытыми, а персональные данные конкретного человека всё равно защищаются по своим правилам.

Образцы документов оператора персональных данных

Комплект закрывает подготовку перед подачей уведомления, начинать удобнее с правил обработки персональных данных: из них вытягиваются цели, категории и сроки для формы.

Как заполнить уведомление: поля, в которых ошибаются

Состав сведений задан частью 3 статьи 22 152-ФЗ, а часть 3.1 добавляет требование раскрывать по каждой цели обработки категории данных, категории субъектов, правовое основание, перечень действий и способы обработки. Ошибка почти всегда в одном из четырёх мест.

Цель обработки. Формулировка «ведение кадрового учёта» закрывает трудовые отношения и не закрывает подбор персонала, видеонаблюдение и пропускной режим. Если кандидатов вы обрабатываете до заключения договора, это отдельная цель с отдельной категорией субъектов и отдельным правовым основанием — согласием, а не Трудовым кодексом.

Правовое основание. Для работников это Трудовой кодекс РФ, прежде всего глава 14 со статьями 86-90, трудовой договор и локальные акты. Для кандидатов и членов семьи работника основанием служит согласие по статье 9 152-ФЗ. Для воинского учёта — 53-ФЗ о воинской обязанности и военной службе. Подставлять во все строки «152-ФЗ» неверно: сам закон о персональных данных основанием обработки не является, он устанавливает правила.

Срок или условие прекращения обработки. Здесь удобнее ссылаться не на календарные годы, а на архивные сроки. Документы по личному составу хранятся 50 или 75 лет: 75 лет для законченных делопроизводством до 1 января 2003 года и 50 лет для более поздних. Графики отпусков и табели учёта рабочего времени — 5 лет, штатные расписания и локальные акты — постоянно.

Место нахождения базы данных. Указывается страна, а при использовании облачного сервиса — место фактического размещения серверов оператора этого сервиса. Договор с российским юридическим лицом сам по себе не доказывает, что данные лежат в России.

Все три типа обращений заполняются онлайн: электронные формы уведомлений на портале персональных данных Роскомнадзора сгруппированы по назначению — начало обработки, изменение сведений, прекращение обработки, и там же выкладывается официальное руководство по заполнению полей.

Как подать уведомление в Роскомнадзор: пошаговая инструкция

1. Шаг 1. Определите, попадаете ли вы под одно из трёх исключений части 2 статьи 22 152-ФЗ. Если обработка автоматизированная, переходите дальше.
2. Шаг 2. Издайте приказ о назначении ответственного за организацию обработки персональных данных и утвердите политику обработки, если этих документов ещё нет.
3. Шаг 3. Выпишите все цели обработки и по каждой цели — категории данных, категории субъектов, правовое основание, перечень действий и способы обработки.
4. Шаг 4. Выберите способ подачи: бумажная форма в территориальный орган Роскомнадзора по месту регистрации, электронная форма с усиленной квалифицированной подписью или электронная форма через подтверждённую учётную запись ЕСИА.
5. Шаг 5. Заполните форму из приложения № 1 к приказу Роскомнадзора от 28.10.2022 № 180, раскрыв по каждой цели категории данных, категории субъектов, правовое основание, перечень действий и способы обработки.
6. Шаг 6. Отправьте уведомление и сохраните подтверждение отправки с датой. Дата подачи должна быть не позже даты начала обработки, указанной в форме.
7. Шаг 7. Через 30 дней проверьте запись о себе в реестре операторов и сверьте опубликованные сведения с тем, что вы отправляли.
8. Шаг 8. Поставьте в кадровый календарь контроль: при любом изменении сведений уведомление об изменении подаётся не позднее 15-го числа следующего месяца.

Мария Ж, соучредитель сервиса КЭДО Добыто: «Локальный акт создаётся, проходит согласование, утверждается, и только после этого с ним знакомят работников. Дальше за его актуальностью нужно следить и вовремя запускать процедуру актуализации, иначе документ расходится с практикой. Сверьте дату утверждения своей политики обработки персональных данных с текущим перечнем целей и систем: если после утверждения вы сменили кадровую программу, политика уже неточна.»

Что происходит после подачи и как проверить себя в реестре

Уполномоченный орган вносит сведения в реестр операторов в течение 30 дней с даты поступления уведомления. Это часть 4 статьи 22 152-ФЗ. Сведения о мерах по обеспечению безопасности в реестр не включаются и публично не отображаются, остальные данные становятся общедоступными, включая фамилию и контакты ответственного за организацию обработки.

Если сведения оказались неполными, Роскомнадзор вправе потребовать уточнения до внесения записи в реестр. Это часть 6 статьи 22. Государственная пошлина за рассмотрение уведомления не взимается: часть 5 статьи 22 прямо говорит, что расходы на оператора не возлагаются.

Пожалуйста, подпишитесь на нас в мессенджерах

Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.

Канал в MAX Канал в Telegram

Проверка себя в реестре занимает минуту и не требует учётной записи. Достаточно найти организацию по ИНН и сверить три вещи: перечень целей обработки, категории субъектов и дату последнего изменения сведений. Если реестр показывает одну цель, а в компании давно появились видеонаблюдение и подбор персонала, готовьте уведомление об изменении сведений.

Важный нюанс из практики: это первое, что мы объясняем на внедрении в Добыто, и почти всегда это оказывается неожиданностью. Компания рассчитывает полностью убрать бумагу и получает гибрид. Приказ об увольнении и акт об ознакомлении с ним оформляются только на бумаге по статье 22.1 ТК РФ, позиция подтверждена письмом Минтруда России от 12.01.2023 № 14-6/ООГ-97. Значит, бумажный кадровый архив у вас остаётся и после перехода на КЭДО, и место его хранения тоже относится к обработке персональных данных.

Мария Ж, судебный эксперт по трудовому праву: «Журнал действий не выборочный, он показывает всё: и то, что работает на работодателя, и то, что против него. Смотреть его надо до того, как спор начался, а не после. Мы проводим такую сверку перед проверками и при увольнениях, на которых ожидаем конфликт.»

Сколько стоит ошибка: штрафы по статье 13.11 КоАП

С 30 мая 2025 года ответственность за неуведомление выделена в отдельные составы. Часть 10 статьи 13.11 КоАП РФ наказывает невыполнение или несвоевременное выполнение обязанности уведомить уполномоченный орган о намерении обрабатывать персональные данные: граждане — от 5 000 до 10 000 рублей, должностные лица — от 30 000 до 50 000 рублей, юридические лица — от 100 000 до 300 000 рублей.

Часть 11 той же статьи касается неуведомления об установленном факте неправомерной или случайной передачи персональных данных, то есть об утечке: граждане — от 50 000 до 100 000 рублей, должностные лица — от 400 000 до 800 000 рублей, юридические лица — от 1 до 3 миллионов рублей. Разница в двух порядках объясняет, почему регламент действий при инциденте пишут раньше, чем случается инцидент: на первичное уведомление закон даёт 24 часа.

Для субъектов малого и среднего предпринимательства при впервые совершённом правонарушении штраф подлежит замене на предупреждение по статье 4.1.1 КоАП РФ, если нет вреда и имущественного ущерба. Рассчитывать на это как на стратегию не стоит: замена не работает, если организация уже получала предупреждение или штраф по статье 13.11.

Что критично в разных ситуациях

Универсального набора действий здесь нет: объём обязанностей зависит от того, какие цели обработки реально есть в компании и куда уходят данные.

Две строки таблицы закрывают большую часть спорных случаев, с которыми приходят компании: кандидаты и исполнители по ГПХ считаются отдельными категориями субъектов, и правовое основание у них другое. Если в вашем уведомлении указана одна категория «работники», уведомление об изменении сведений нужно готовить уже сейчас.

Персональные данные в КЭДО: как это отражается в уведомлении

Переход на кадровый электронный документооборот меняет три поля уведомления: перечень действий с персональными данными, способы обработки и описание мер по обеспечению безопасности. Появляются передача данных по каналу связи, хранение в электронном архиве и обработка в информационной системе оператора или подрядчика.

Технические требования к такой системе складываются из нескольких блоков: аутентификация работника, обмен персональными данными по зашифрованному каналу, подписание усиленной электронной подписью и хранение документов. При этом остаётся требование части 5 статьи 18 152-ФЗ о размещении базы данных на территории Российской Федерации, и если сервис КЭДО облачный, место размещения серверов указывается в уведомлении по фактическому расположению.

В Добыто КЭДО подписанный документ уходит в электронный архив, доступ к нему получают только сотрудники с соответствующими правами, а маршрут согласования и статус каждого участника видны в карточке документа. Мы разводим во времени выдачу электронной подписи работнику и первые кадровые действия с ней: совпадение даты выдачи подписи и даты подписания значимого документа суд читает не в пользу работодателя.

Кейс из практики: спор об увольнении работника, подавшего заявление через систему КЭДО, прошёл четыре инстанции. Положение о кадровом электронном документообороте у работодателя было, перечень документов и категорий работников утверждён, порядок создания личного кабинета принят. Кассация акты отменила, потому что в материалах не оказалось сведений о порядке идентификации работника при подписании, и при новом рассмотрении решением от 20.01.2023 по делу № 2-33/2023 работник выиграл. Перевесили три обстоятельства: подпись выдали в день подписания заявления, фактически подписывал другой человек, и всё это зафиксировала информационная система самого работодателя.

Мария Ж, специалист по цифровой подписи и КЭДО: «Оценивается не подпись работника в журнале ознакомления, а его фактическая способность работать в системе. Когда за работника документы подписывает кто-то другой, потому что сам он не разобрался, работодатель теряет всю доказательственную конструкцию. Проверьте по журналу действий, совпадает ли активность работника с датами подписанных от его имени документов.»

Стоимость КЭДО для работы с персональными данными работников

Уведомление в Роскомнадзор подаётся бесплатно, расходы возникают на стороне инфраструктуры: кадровая система, электронные подписи и хранение. Стоимость зависит от численности и от того, нужна ли интеграция с учётной системой.

Итоговая сумма складывается из численности, выбранного набора функций и необходимости интеграции с учётной системой. Полный состав каждого пакета и условия перехода между тарифами указаны на странице тарифов ДОБЫТО КЭДО, там же оговорена минимальная оплата по тарифу «Бизнес».

Тариф можно повысить или понизить в любое время, при повышении разница пересчитывается пропорционально оставшемуся периоду. Для расчёта под конкретную численность цифры из таблицы умножаются на штат с учётом минимального платежа.

Выводы

Обязанность уведомить Роскомнадзор возникает у любой компании с автоматизированной обработкой данных работников, и старое исключение для трудовых отношений не действует с сентября 2022 года. Форма подаётся бесплатно, запись в реестре появляется в течение 30 дней, а дальше главным становится не сам факт подачи, а совпадение опубликованных сведений с реальной практикой: цели, категории субъектов, место хранения базы и сроки обработки. Отдельно контролируются изменения сведений, трансграничная передача и инциденты — у каждого свой срок и своя ответственность вплоть до 3 миллионов рублей.

Мы в Добыто ежедневно работаем с кадровыми персональными данными: собираем согласия, ведём маршруты подписания, храним документы в электронном архиве и настраиваем выгрузку журналов действий, по которым потом подтверждается законность обработки. Если кадровые процессы переводятся в электронный вид, описание мер безопасности и перечня действий для уведомления удобнее готовить одновременно с настройкой системы.

Частые вопросы

Нужно ли подавать уведомление, если в компании работает только директор

Да. Директор — такой же субъект персональных данных: его паспортные данные, СНИЛС и реквизиты счёта обрабатываются для начисления зарплаты и отчётности. Исключений по численности часть 2 статьи 22 152-ФЗ не содержит, а единственное подходящее основание — обработка исключительно без средств автоматизации — не работает, если отчётность в Социальный фонд и налоговую формируется программой.

Что делать, если уведомление не подавали с 2022 года

Подать его сейчас, указав фактическую дату начала обработки. Ответственность по части 10 статьи 13.11 КоАП РФ наступает за невыполнение или несвоевременное выполнение обязанности, поэтому добровольная подача не отменяет состав, но для субъектов малого и среднего предпринимательства при первом нарушении штраф заменяется предупреждением по статье 4.1.1 КоАП РФ. Одновременно стоит привести в порядок приказ об ответственном и политику обработки, чтобы заявленные сведения подтверждались документами.

Нужно ли отдельное уведомление на каждое обособленное подразделение

Уведомление подаёт оператор, то есть юридическое лицо, а не подразделение. В форме указываются наименование и адрес оператора, а сведения о местах обработки и о месте нахождения базы данных раскрываются внутри уведомления. При появлении нового адреса обработки сведения обновляются уведомлением об изменении не позднее 15-го числа следующего месяца.

Можно ли включить согласие на обработку данных в текст трудового договора

Для целей, прямо связанных с исполнением трудового договора, отдельное согласие вообще не требуется: основанием служат Трудовой кодекс РФ и сам договор. Согласие нужно там, где цель выходит за пределы трудовых отношений: проверка кандидата, передача данных в сторонние организации, размещение фотографии на сайте. Такое согласие должно быть конкретным и информированным по статье 9 152-ФЗ, а значит содержать цель, перечень данных и порядок отзыва, и включение его одной строкой в договор этому требованию не отвечает.

Как работнику узнать, какие его данные обрабатывает работодатель

Работник вправе запросить у оператора сведения об обработке своих персональных данных, включая цели, способы, перечень обрабатываемых данных и сроки обработки. Дополнительно можно посмотреть запись организации в публичном реестре операторов по ИНН: там видны заявленные цели, категории субъектов и фамилия ответственного за организацию обработки. Если ответ на запрос не получен или сведения в реестре расходятся с тем, что происходит на практике, работник вправе обратиться с жалобой в Роскомнадзор.

Отменяет ли уведомление необходимость модели угроз и аттестации системы

Нет. Уведомление содержит только описание мер по обеспечению безопасности, а сами требования установлены статьями 18.1 и 19 152-ФЗ и постановлением Правительства РФ от 01.11.2012 № 1119 об уровнях защищённости. Состав мер зависит от определённого уровня защищённости, и в реестре эти сведения не публикуются, но предъявляются при проверке.

Нужно ли уведомлять о прекращении обработки при ликвидации организации

Да, уведомление о прекращении обработки подаётся в течение 10 рабочих дней с даты прекращения по части 7 статьи 22 152-ФЗ. На практике его готовят вместе с решением о ликвидации, потому что после исключения из ЕГРЮЛ подавать уведомление уже некому, а запись в реестре операторов останется активной.