Генератор152ФЗ · Журнал
Уведомление в Роскомнадзор о намерении осуществлять обработку персональных данных
Аннотация
Рассмотрены правовые и организационные аспекты уведомления Роскомнадзора о намерении обрабатывать персональные данные. Проанализированы требования ст. 22 152-ФЗ и приказа Роскомнадзора № 180. Обобщены типичные ошибки заполнения уведомления и информационного письма по материалам территориальных органов Роскомнадзора. Установлена определяющая роль политики в отношении обработки персональных данных при заполнении формы на Портале персональных данных. Обоснована целесообразность конструктора «ГЕНЕРАТОР152ФЗ» для согласованной подготовки политики, согласий и уведомления. Сформулированы практические рекомендации операторам по снижению риска ошибок при регистрации в Реестре.
Ключевые слова: персональные данные, оператор персональных данных, уведомление в Роскомнадзор, Реестр операторов, типичные ошибки заполнения, политика обработки персональных данных, 152-ФЗ, конструктор документов, ГЕНЕРАТОР152ФЗ.
Abstract
Abstract. The legal and organizational aspects of notifying Roskomnadzor of intention to process personal data were examined. The requirements of Article 22 of Federal Law No. 152-FZ and Roskomnadzor Order No. 180 were analysed. Typical errors in completing the notification and the informational letter were summarised based on materials of Roskomnadzor territorial bodies. The decisive role of the policy on personal data processing when completing the form on the Personal Data Portal was established. The advisability of the GENERATOR152FZ constructor for consistent preparation of the policy, consents, and notification was substantiated. Practical recommendations for operators on reducing registration errors in the Operator Register were formulated.
Keywords: personal data, personal data operator, Roskomnadzor notification, operator register, typical filling errors, personal data processing policy, 152-FZ, document constructor, GENERATOR152FZ.
Введение
В условиях стремительной цифровизации всех сфер общественной жизни вопросы защиты персональных данных приобретают не просто теоретическую, но и сугубо практическую значимость для миллионов субъектов предпринимательской деятельности. Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» устанавливает императивное требование: оператор персональных данных обязан до начала обработки уведомить уполномоченный орган по защите прав субъектов персональных данных о своём намерении осуществлять такую обработку (ч. 1 ст. 22). Исключения из этого правила предусмотрены ч. 2 ст. 22 Закона № 152-ФЗ, однако для подавляющего большинства операторов подача уведомления является обязательной процедурой.
Практика правоприменения свидетельствует, что значительная часть операторов сталкивается с трудностями при заполнении уведомления. Это приводит к возврату документов, задержкам во внесении в реестр и, как следствие, к рискам привлечения к административной ответственности по ст. 13.11 Кодекса Российской Федерации об административных правонарушениях, предусматривающей штрафы до 75 000 руб. для должностных лиц и до 500 000 руб. — для юридических лиц. Типичные ошибки подробно разбирают и территориальные органы Роскомнадзора в методических материалах для операторов.
Цель настоящего исследования — систематизировать требования к содержанию уведомления о намерении осуществлять обработку персональных данных, типичные ошибки заполнения и практические ориентиры для оператора с упором на внутреннюю документацию и на роль цифровых инструментов при снижении риска возврата формы.
1. Нормативно-правовая основа подачи уведомления
Правовой механизм уведомления о намерении осуществлять обработку персональных данных регламентируется ст. 22 Федерального закона № 152-ФЗ. Формы уведомлений утверждены приказом Роскомнадзора от 28.10.2022 № 180 «Об утверждении форм уведомлений о намерении осуществлять обработку персональных данных, об изменении сведений, содержащихся в уведомлении о намерении осуществлять обработку персональных данных, о прекращении обработки персональных данных». Указанным приказом утверждены три формы: уведомление о намерении осуществлять обработку (приложение № 1), уведомление об изменении сведений (приложение № 2) и уведомление о прекращении обработки (приложение № 3).
Согласно ч. 3 ст. 22 Закона № 152-ФЗ, уведомление должно содержать, в частности: наименование и адрес оператора; цель обработки персональных данных; категории персональных данных и категории субъектов; правовые основания; перечень действий с персональными данными; способы обработки; описание мер, предусмотренных статьями 18.1 и 19 Закона; сведения об ответственном за организацию обработки (для оператора – юридического лица; в электронной форме на Портале персональных данных соответствующий блок для ИП и физического лица не отображается); дату начала обработки; срок или условие прекращения обработки; сведения о трансграничной передаче; сведения о местонахождении базы данных.
Часть 3.1 ст. 22 Закона конкретизирует требования к указанию категорий персональных данных и субъектов. Важно подчеркнуть, что сам Федеральный закон № 152-ФЗ не может служить правовым основанием обработки персональных данных в смысле указываемых в уведомлении актов. В качестве правового основания должны указываться конкретные нормы иных федеральных законов, договоры, согласие субъекта персональных данных (п. 1 ч. 1 ст. 6) и иные случаи, предусмотренные ч. 1 ст. 6. Данное требование является одним из наиболее часто нарушаемых, что влечёт за собой возврат уведомления на доработку.
2. Структура и содержание уведомления на Портале персональных данных
Электронная форма уведомления размещена на Портале персональных данных Роскомнадзора: https://pd.rkn.gov.ru/operators-registry/notification/form/. Процесс заполнения формы включает несколько последовательных этапов. Оператору доступны три способа подачи уведомления: в бумажном виде с последующим направлением в территориальный орган Роскомнадзора; в электронном виде с использованием усиленной квалифицированной электронной подписи (УКЭП); в электронном виде с использованием средств аутентификации ЕСИА.
2.1. Сведения об операторе
В разделе «Сведения об операторе» необходимо выбрать тип оператора (юридическое лицо, индивидуальный предприниматель, государственный орган, муниципальный орган, физическое лицо, иностранный гражданин). В зависимости от выбранного типа открываются соответствующие поля для заполнения. Информация указывается без сокращений согласно данным регистрации в налоговой инспекции, паспортным данным и действующим классификаторам (ФИАС и др.). Адрес оператора выбирается из справочника ФИАС, за исключением полей для ручного ввода («Дом», «Корпус», «Стр./Вл.», «Кв./Офис» и «Иные сведения»). Обязательно указание почтового индекса.
2.2. Цели обработки персональных данных
Одна из наиболее сложных для заполнения частей формы — блок «Цели обработки персональных данных». Оператору необходимо указать цели фактически осуществляемой деятельности, в рамках которой обрабатываются персональные данные. Если нужной цели нет в выпадающем списке, следует выбрать значение «иная» и ввести конкретную цель в текстовом поле. При обработке персональных данных в нескольких целях предусмотрена возможность добавления дополнительных целей с помощью кнопки «Добавить цель обработки».
Для каждой цели необходимо заполнить:
- категории персональных данных — все данные, которые оператор собирает для обработки (персональные, специальные, биометрические); следует отметить все применимые категории из представленного перечня;
- категории субъектов — лица, персональные данные которых обрабатываются (работники, соискатели, клиенты, контрагенты, посетители сайта и др.);
- правовое основание — выбор из предусмотренных ч. 1 ст. 6 Закона № 152-ФЗ случаев;
- перечень действий — операции, совершаемые с персональными данными (сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление, уничтожение, распространение и иные действия);
- способы обработки — выбор из трёх групп: автоматизированная / неавтоматизированная / смешанная; с передачей по внутренней сети / без передачи; с передачей по сети «Интернет» / без передачи.
3. Типичные ошибки при заполнении уведомления и информационного письма
Практический ориентир для оператора дают разъяснения территориальных органов Роскомнадзора о примерах и частых ошибках при заполнении уведомления об обработке персональных данных и информационного письма о внесении изменений в сведения Реестра операторов. Ниже обобщены положения, опубликованные, в частности, Управлением Роскомнадзора по Брянской области.
Чтобы не пропускать обязательные поля, ведомство рекомендует заполнять уведомление (информационное письмо) через Портал персональных данных и предварительно ознакомиться с примерами заполнения. Важно различать два документа: в информационном письме обязательны лишь поля, в которые вносятся изменения, но каждое изменяемое поле заполняется полностью — сведения в реестре заменяются новым текстом, а не «дописываются» к старому.
3.1. Оформление и реквизиты оператора
При бумажной подаче уведомление должно быть оформлено на бланке оператора либо заверено печатью организации на подписи руководителя (уполномоченного лица), зарегистрировано с исходящим номером и датой. Наименование в тексте не должно расходиться с бланком, печатью и сведениями ЕГРЮЛ (ЕГРИП). Адрес указывают полно (включая почтовый индекс); различают почтовый адрес регистрации и адрес фактического осуществления деятельности.
Документ должен подписывать уполномоченный субъект: единоличный исполнительный орган по уставу; руководитель по положению; либо представитель по доверенности с соответствующим полномочием (к уведомлению прилагают подтверждение полномочий). Отдельно указывают исполнителя и его контактные данные для обратной связи.
3.2. Правовые основания и локальные акты
Частая ошибка — указать в поле правового основания только Федеральный закон № 152-ФЗ. Закон регулирует отношения, связанные с обработкой, но сам по себе не даёт оператору правового основания обработки. Необходимо привести отраслевые нормативные акты с реквизитами (дата, номер, название), а также локальные акты оператора — положение (политику) об обработке персональных данных, приказы, инструкции и иные документы, на которые оператор опирается в деятельности.
3.3. Категории персональных данных и субъектов
Перечень категорий персональных данных должен быть полным и исчерпывающим; недопустимы обороты «и др.», «и т. п.», «другая информация». Паспорт, водительское удостоверение, свидетельство о рождении, военный билет, документ об образовании и подобные объекты — материальные носители, а не категории персональных данных. В уведомлении указывают конкретные категории сведений (ФИО, дата и место рождения, адрес, образование, профессия, доходы и т. д.). Если позиций справочника Портала недостаточно (например, реквизиты документа, удостоверяющего личность, ИНН, СНИЛС), их перечисляют в поле «Другие категории персональных данных».
Категории субъектов вытекают из целей обработки: указывают физические лица и виды отношений с ними (трудовые, гражданско-правовые, договорные и др.). Нельзя подменять субъектов юридическими лицами и нельзя оставлять открытые формулировки «и др.». Категорию «члены семьи работника» указывают, если фактически обрабатываются их данные (свидетельства о рождении/браке, справки с места учёбы ребёнка, анкеты с сведениями о родственниках и т. п.).
3.4. Меры по статьям 18.1 и 19 Закона
Ошибка — копировать текст из примеров заполнения без адаптации к своей деятельности. Нужно указать конкретные организационные и технические меры, которые оператор реально применяет. Правовые меры не следует дублировать и в поле правовых оснований, и в описании мер — достаточно одного места. При использовании средств криптографической защиты (в том числе для ЭП) указывают наименование, регистрационные номера, производителя и сведения об уровнях защиты; при классификации ИСПДн — класс системы.
4. Роль Политики оператора в отношении обработки персональных данных
Качественное заполнение уведомления невозможно без предварительной разработки внутренних документов оператора, в первую очередь — Политики в отношении обработки персональных данных. Именно Политика определяет цели, правовые основания, категории обрабатываемых данных и субъектов, перечень действий и способы обработки, а также меры по обеспечению безопасности.
Разработка Политики должна предшествовать подаче уведомления, поскольку сведения, указываемые в уведомлении, должны строго соответствовать содержанию Политики и иных локальных нормативных актов оператора. Несоответствие между внутренними документами и уведомлением может быть расценено как нарушение требований законодательства.
В Политике должны быть определены:
- цели обработки персональных данных;
- перечень обрабатываемых персональных данных;
- категории субъектов, чьи данные обрабатываются;
- правовые основания обработки;
- перечень действий с персональными данными;
- сроки и условия прекращения обработки;
- меры по обеспечению безопасности персональных данных.
Кроме Политики, оператору необходимо разработать иные документы, предусмотренные статьями 18.1 и 19 Закона № 152-ФЗ. Для юридического лица в их число входит приказ о назначении ответственного за организацию обработки персональных данных (ст. 22.1) и должностная инструкция; для ИП и самозанятого – локальные акты об установлении ответственности Оператора за организацию обработки и Порядок исполнения соответствующих функций (без назначения по ст. 22.1). Далее – правила обработки, перечни, правила доступа в помещения, порядок уничтожения, журналы учёта и иные документы; для организованной системы защиты ПДн их число может исчисляться десятками наименований.
5. Использование конструкторов документов для подготовки к подаче уведомления
Значительные трудозатраты и высокие риски ошибок при самостоятельной разработке внутренней документации и заполнении уведомления делают актуальным использование специализированных программных решений — конструкторов документов. Среди таких инструментов особого внимания заслуживают сервисы «Генератор 152‑ФЗ» и «Конструктор документов», представляющие единую платформу для автоматизированной подготовки комплекта документов по 152-ФЗ.
Сервисы ориентированы на снижение правовых рисков оператора: шаблоны актуализируются с учётом изменений законодательства, а заполнение строится на ответах пользователя о фактической деятельности, без необходимости самостоятельно конструировать юридические формулировки.
Работа с сервисом, как правило, включает три этапа: выбор комплекта документов; ответы на вопросы о деятельности оператора; получение готового комплекта в формате, пригодном для утверждения и использования.
5.1. Тарифные комплекты
Базовый комплект (для сайтов, блогов, интернет-магазинов, ИП, самозанятых) включает: Политику в отношении обработки персональных данных; Пользовательское соглашение; шаблоны согласий для сайта; инструкцию по размещению и использованию документов; рекомендации для бизнеса.
Комплект «Бизнес» дополнительно содержит: для ЮЛ – приказ о назначении ответственного и должностную инструкцию; для ИП и самозанятого – решение/приказ об установлении ответственности Оператора и Порядок исполнения функций по организации обработки; а также правила обработки персональных данных, перечни обрабатываемых ПДн и должностей, расширенный комплект согласий, обязательство о неразглашении, чек-лист для самопроверки.
Комплект «Премиум» включает всё из комплекта «Бизнес», а также: план мероприятий по обеспечению безопасности информации; перечень информационных систем персональных данных; правила доступа в помещения обработки; правила работы с обезличенными данными; порядок уничтожения персональных данных; оценку вреда субъектам; документы внутреннего контроля и аудита; журналы учёта; документы по СКЗИ и инструкцию пользователя по защите информации ограниченного доступа.
Использование конструктора не заменяет самостоятельной проверки оператором соответствия документов фактической обработке, однако существенно сокращает время подготовки согласованного комплекта, на основе которого заполняется уведомление на Портале персональных данных.
6. Практические рекомендации по заполнению уведомления и организации документооборота
На основе анализа нормативных требований, разъяснений территориальных органов Роскомнадзора о типичных ошибках и правоприменительной практики можно сформулировать следующие рекомендации.
6.1. Тщательная подготовка
До начала заполнения формы необходимо иметь утверждённую Политику обработки персональных данных и иные внутренние документы, содержащие сведения, подлежащие указанию в уведомлении. Конструкторы документов позволяют упростить этот этап и повысить полноту комплекта.
6.2. Точность указания сведений
Все данные об операторе должны соответствовать регистрационным документам. Адрес выбирается строго из справочника ФИАС.
6.3. Корректный выбор правового основания
Федеральный закон № 152-ФЗ не может быть указан в качестве правового основания. Необходимо ссылаться на конкретные нормы иных законов, договоры или согласие субъекта персональных данных (п. 1 ч. 1 ст. 6), а также на отраслевые и локальные акты с полными реквизитами.
6.4. Полнота указания категорий данных и субъектов
Следует отметить все категории персональных данных и субъектов, которые фактически обрабатываются, без сокращений «и др.»; документы-носители не подменять категориями сведений. Пропуск категорий может повлечь признание уведомления неполным.
6.5. Описание мер безопасности
В поле описания мер, предусмотренных статьями 18.1 и 19 Закона № 152-ФЗ, необходимо указать конкретные меры, реализуемые оператором, включая сведения о наличии шифровальных (криптографических) средств и их наименованиях — без копирования типовых примеров «вслепую».
6.6. Сведения о базе данных
Необходимо указать страну и адрес центра обработки данных (ЦОД), где находится база данных, содержащая персональные данные граждан РФ. Если ЦОД не является собственным, требуется указать сведения об организации, ответственной за хранение данных.
6.7. Проверка перед отправкой
После заполнения всех полей система выполняет валидацию. При обнаружении ошибок они подсвечиваются. Рекомендуется внимательно проверить все поля перед отправкой.
6.8. Мониторинг изменений законодательства
Законодательство о персональных данных динамично развивается. Операторам рекомендуется использовать актуальные версии внутренних документов и регулярно проводить аудит документационной базы; при существенных изменениях — подавать уведомление об изменении сведений (форма по приказу № 180), заполняя изменяемые поля полностью.
6.9. Фиксация статуса уведомления
После отправки уведомления необходимо сохранить номер и ключ, присвоенные системой, для последующей проверки статуса на Портале персональных данных в разделе «Реестр операторов / Проверка состояния уведомления».
Заключение
Подача уведомления о намерении осуществлять обработку персональных данных является обязательным этапом для большинства операторов. Корректное заполнение уведомления требует не только знания законодательных требований, но и наличия качественно разработанной внутренней документации, в первую очередь Политики в отношении обработки персональных данных.
Практика показывает, что использование специализированных конструкторов документов позволяет существенно снизить риски ошибок и обеспечить соответствие уведомления требованиям Роскомнадзора. Сервисы «Генератор 152‑ФЗ» и «Конструктор документов» предлагают комплексное решение — от базовой Политики до полного комплекта локальных актов. Автоматизация подготовки документов, актуальность шаблонов и согласованность комплекта делают такие инструменты востребованными среди операторов всех категорий — от индивидуальных предпринимателей до крупных организаций.
В условиях ужесточения контроля за соблюдением законодательства о персональных данных своевременная и правильная подача уведомления становится важным элементом правовой гигиены оператора. Разъяснения территориальных органов о типичных ошибках заполнения позволяют заранее исключить наиболее частые причины возврата документов. Наблюдения из практики и типичные сценарии возврата – в заметке «Почему Роскомнадзор возвращает уведомление». Таким образом, корректность уведомления определяется согласованностью с Политикой и внутренними актами, а не удачной формулировкой одного поля формы.
Список литературы
- Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» (ред. от 24.06.2025) // Собрание законодательства РФ. — 2006. — № 31 (ч. 1). — Ст. 3451.
- Приказ Роскомнадзора от 28.10.2022 № 180 «Об утверждении форм уведомлений о намерении осуществлять обработку персональных данных, об изменении сведений, содержащихся в уведомлении о намерении осуществлять обработку персональных данных, о прекращении обработки персональных данных» // Официальный интернет-портал правовой информации. — URL: http://publication.pravo.gov.ru (дата обращения: 30.07.2026).
- Информация о заполнении электронной формы уведомления о намерении осуществлять обработку персональных данных // Портал персональных данных Роскомнадзора. — URL: https://pd.rkn.gov.ru/operators-registry/notification/form/ (дата обращения: 30.07.2026).
- Примеры и частые ошибки при заполнении уведомления об обработке персональных данных, информационного письма о внесении изменений в сведения в реестре операторов персональных данных // Управление Роскомнадзора по Брянской области. — URL: https://32.rkn.gov.ru/directions/p39115/p39085/p19001/p13324/ (дата обращения: 30.07.2026).
- Рекомендации по составлению документа, определяющего политику оператора в отношении обработки персональных данных // Официальный сайт Роскомнадзора. — URL: https://rkn.gov.ru (дата обращения: 30.07.2026).
- Генератор 152‑ФЗ — конструктор документов по персональным данным // Сайт сервиса. — URL: https://генератор152фз.рф/ (дата обращения: 30.07.2026).
- Конструктор документов // Сайт сервиса. — URL: https://конструктордокументов.рф/ (дата обращения: 30.07.2026).
- Кодекс Российской Федерации об административных правонарушениях от 30.12.2001 № 195-ФЗ // Собрание законодательства РФ. — 2002. — № 1 (ч. 1). — Ст. 1.