Уведомление в Роскомнадзор об обработке персональных данных

Коротко. Любая компания или ИП, которые обрабатывают персональные данные — а сотрудники и их данные есть почти у всех, — по общему правилу обязаны уведомить Роскомнадзор о начале обработки. Это делается один раз перед началом обработки, бесплатно, через электронную форму на портале ведомства; после рассмотрения оператор попадает в публичный реестр операторов. Раньше действовал широкий перечень исключений, в том числе для данных работников, но поправки 2022 года его существенно сузили — сейчас безопаснее исходить из того, что уведомление нужно. Отдельно важно: подача уведомления не делает обработку законной сама по себе, она лишь регистрирует факт. Законность обеспечивают основания обработки, документы и реальные меры защиты.

Материал носит справочный характер и не является юридической консультацией. Нормы приводятся по состоянию на 2026 год; формы и требования Роскомнадзора меняются, перед подачей сверяйтесь с актуальными разъяснениями ведомства и с юристом.

Уведомление — регистрация факта обработки, а не разрешение на неё

Кто должен подавать уведомление

Обязанность установлена статьёй 22 Федерального закона № 152-ФЗ «О персональных данных»: оператор до начала обработки уведомляет уполномоченный орган по защите прав субъектов персональных данных, то есть Роскомнадзор.

Оператор — это тот, кто организует и определяет цели обработки. Практически это означает: если у вас есть хотя бы один работник, вы обрабатываете персональные данные и являетесь оператором. Клиентская база, заявки с сайта, резюме кандидатов, данные подрядчиков-физлиц — всё это тоже обработка.

Про исключения. В прежней редакции статьи 22 существовал заметный перечень случаев, когда уведомление не требовалось, — в частности, обработка данных работников в рамках трудовых отношений и обработка без средств автоматизации. Федеральным законом № 266-ФЗ от 14 июля 2022 года этот перечень был сокращён, и большинство операторов, ранее пользовавшихся исключениями, попали под общее правило. Поэтому подход «у нас только сотрудники, значит уведомлять не надо» сегодня устарел и рискован.

Отдельные категории — например обработка исключительно в целях однократного пропуска на территорию — остаются вне обязанности, но применять исключение к себе стоит только после проверки конкретной формулировки закона, а не по аналогии.

Когда подавать

До начала обработки. Формально уведомление подаётся заранее, а не после найма первого сотрудника.
Если обработка уже идёт, а уведомления нет — подавать нужно не откладывая. Позднее уведомление лучше отсутствующего: сам факт просрочки не устраняется подачей, но продолжающееся нарушение прекращается.
При изменении сведений — отдельное информационное письмо об изменениях, об этом ниже.

Как подать: порядок действий

Процедура электронная и бесплатная.

Соберите данные для формы. Реквизиты организации или ИП, адреса, сведения об ответственном за организацию обработки, перечень целей и категорий данных, правовые основания, сведения о мерах защиты, о местонахождении баз данных.
Откройте портал персональных данных Роскомнадзора. Форма уведомления заполняется в электронном виде на сайте ведомства; в ряде случаев возможна подача на бумаге, но электронная форма проще и отслеживается.
Заполните форму по разделам — сведения об операторе, цели, категории субъектов и данных, основания, меры, сроки обработки, местонахождение баз.
Отправьте и сохраните подтверждение об отправке с датой.
Дождитесь появления записи в реестре операторов. Роскомнадзор вносит сведения после рассмотрения; сроки зависят от загрузки территориального органа.
Проверьте свою запись в публичном реестре и сохраните её номер во внутренних документах.

Если в форме есть ошибки, ведомство может запросить уточнения — поэтому лучше указывать корректный рабочий адрес электронной почты и следить за ним.

Что писать в полях уведомления

Самая частая причина проблем — не отказ, а расхождение между уведомлением и реальностью. Формулируйте так, чтобы написанное совпадало с тем, что вы действительно делаете.

Поле	Как заполнять
Цель обработки	Конкретно и по существу: ведение кадрового учёта, расчёт заработной платы, исполнение договоров, ответ на обращения. Не «улучшение качества услуг»
Категории субъектов	Работники, кандидаты, клиенты — физические лица, чьи данные обрабатываются
Категории данных	Только те, что действительно собираются: ФИО, паспортные данные, СНИЛС, контакты. Лишнее в списке = заявленное обещание собирать лишнее
Правовое основание	Трудовой кодекс, конкретные федеральные законы, договор, согласие субъекта — со ссылками
Перечень действий	Сбор, запись, хранение, уточнение, использование, передача, удаление — как есть
Меры защиты	Организационные и технические меры в общем виде, без описания технических деталей систем
Местонахождение баз данных	Территория Российской Федерации, если базы здесь; при иных случаях — как есть
Ответственный	Лицо, назначенное приказом ответственным за организацию обработки

Важное практическое правило: сначала приведите в порядок реальность, потом описывайте её в уведомлении. Если вы указали, что не передаёте данные третьим лицам, а фактически используете внешний сервис, расхождение обернётся против вас при проверке.

Реестр операторов: как проверить себя

Реестр операторов, осуществляющих обработку персональных данных, публичный. По нему можно:

проверить, есть ли ваша организация и в каком виде записаны сведения;
посмотреть, как заполняют формулировки другие операторы — полезно как ориентир, но не как образец для копирования;
проверить контрагента перед передачей ему данных: отсутствие записи — сигнал уточнить, как он вообще работает с ПДн.

Ищите себя по ИНН — так надёжнее, чем по названию, особенно если название неуникальное.

Изменения и прекращение обработки

Уведомление — не разовое действие «подал и забыл». О части изменений нужно сообщать:

смена наименования, адреса, реквизитов;
смена ответственного за организацию обработки;
появление новых целей обработки или новых категорий данных;
изменение места нахождения баз данных;
прекращение обработки — об этом также направляется уведомление.

Практика простая: при любом изменении в перечисленном — направлять информационное письмо об изменении сведений. Отдельно отметьте себе, что новая цель обработки почти всегда означает необходимость обновить и внутренние документы, а не только уведомление.

Чего нельзя делать

Считать уведомление разрешением. Оно не заменяет ни правовое основание, ни политику обработки, ни согласия там, где они нужны. Что именно требуется помимо уведомления — в 152-ФЗ и учёт рабочего времени и как оформить контроль сотрудников.
Указывать данные «с запасом». Перечислять категории, которые вы не собираете, — значит брать на себя лишние обязательства и подставляться под несоответствие.
Описывать в уведомлении технические детали систем защиты. Достаточно общего перечня мер: излишняя конкретика не требуется и не полезна.
Начинать обработку новой категории данных без обновления сведений. Особенно это касается расширения мониторинга: любая новая категория собираемых данных — это новая цель и новое основание, см. 152-ФЗ и мониторинг сотрудников.
Забывать про уведомление сотрудников. Уведомление в Роскомнадзор и информирование работников — разные вещи. О втором — уведомление о мониторинге сотрудников.
Держать данные дольше, чем нужно. Сроки обработки заявляются в уведомлении, а на практике часто игнорируются: см. сроки хранения персональных данных.

Общая рамка законности контроля за работой — в статье законно ли следить за сотрудниками в России. Если вы выбираете инструмент аналитики и хотите заранее сократить объём собираемых данных, посмотрите подход с агрегатами: обезличенная аналитика сотрудников и тарифы.

Чек-лист

Определено, являетесь ли вы оператором (при наличии работников — почти наверняка да).
Проверено, не попадаете ли вы под сохранившиеся исключения — по тексту закона, а не по аналогии.
Назначен приказом ответственный за организацию обработки.
Приведены в порядок цели, категории данных и основания — до заполнения формы.
Уведомление подано через портал Роскомнадзора, подтверждение сохранено.
Запись найдена в публичном реестре, её номер зафиксирован внутри компании.
Настроен порядок: при изменении сведений направляется информационное письмо.
Проверено, что заявленное в уведомлении совпадает с фактической обработкой.

FAQ

Кто обязан подавать уведомление в Роскомнадзор? Операторы персональных данных — организации и ИП, которые определяют цели обработки. При наличии хотя бы одного работника вы обрабатываете ПДн и по общему правилу обязаны уведомить.

Нужно ли уведомление, если обрабатываются только данные сотрудников? Ранее для этого случая действовало исключение, но после поправок 2022 года перечень исключений существенно сокращён. Сейчас безопаснее исходить из необходимости уведомления и проверять текст закона в актуальной редакции.

Сколько стоит подача уведомления? Бесплатно. Госпошлина за уведомление об обработке персональных данных не предусмотрена.

Как подать уведомление электронно? Через электронную форму на портале персональных данных Роскомнадзора: заполнить разделы о операторе, целях, категориях данных, основаниях и мерах, отправить и сохранить подтверждение.

Что будет, если не подать уведомление? Это нарушение требований законодательства о персональных данных с административной ответственностью. Дополнительно отсутствие уведомления обычно означает, что и остальные документы по обработке не в порядке — а это самостоятельные риски.

Нужно ли уведомлять об изменениях? Да: при смене реквизитов, ответственного, целей, категорий данных или места нахождения баз, а также при прекращении обработки направляется соответствующее уведомление.

Заменяет ли уведомление согласие работника? Нет. Это разные инструменты: уведомление адресовано регулятору, согласие — субъекту данных. Когда согласие действительно необходимо, разобрано в статье согласие на обработку персональных данных сотрудника.

Как проверить, есть ли компания в реестре операторов? Найти себя в публичном реестре Роскомнадзора по ИНН — так надёжнее, чем по названию, — и сверить, что записанные сведения соответствуют действительности.

Опубликовано: 12 августа 2026 г.