Уведомление в РКН об обработке персональных данных: когда и как действовать

Уведомление РКН об обработке персональных данных требуется не только крупным компаниям и не только владельцам сложных информационных систем. Обязанность зависит от фактической обработки: кто определяет ее цели, чьи данные получает, какие операции выполняет и используется ли автоматизация. Организация, ИП или физическое лицо могут быть операторами, если самостоятельно либо совместно определяют цели, состав данных и действия с ними (п. 2 ст. 3 Федерального закона №152-ФЗ).

Сначала бизнесу нужно описать реальные процессы, а затем переносить сведения о них в форму. Если начать с выпадающих списков на портале, легко забыть CRM, сотрудников, заявки с сайта, подрядчиков или зарубежный сервис. В результате запись в реестре не будет соответствовать политике, договорам и фактической работе.

Время чтения7 мин

АвторАртем Новиков, юрист

СтатусОбновлено 3 мая 2026 г.

Поможем с Вашей задачей

Подготовим решение под факты Вашей задачи и объясним, как им пользоваться.

Перейти к услуге

Короткий ответ

Оператор: лицо, которое самостоятельно или совместно определяет цели, состав данных и действия с ними (п. 2 ст. 3 Федерального закона №152-ФЗ).

По части 1 статьи 22 Закона №152-ФЗ оператор уведомляет Роскомнадзор до начала обработки, если не применяется одно из узких исключений части 2.
Исключения для обработки данных работников и для исполнения договора утратили силу с 1 сентября 2022 года. Это отражено в действующей статье 22 Закона №152-ФЗ. Небольшой размер бизнеса, отсутствие сайта или работа только со своими клиентами сами по себе от уведомления не освобождают.
Для каждой цели в уведомлении указывают соответствующие ей категории субъектов и данных, правовое основание, действия и способы обработки (ч. 3.1 ст. 22 Федерального закона №152-ФЗ). Универсальная цель «осуществление деятельности» не показывает, какие данные, о ком и для какой задачи фактически обрабатывает оператор.
Подача уведомления сама по себе не создает основание обработки и не заменяет обязанности по обеспечению выполнения закона и безопасности данных (ст. 6, ст. 18.1 и ст. 19 Федерального закона №152-ФЗ).
По части 7 статьи 22 изменения сообщают не позднее 15-го числа месяца, следующего за месяцем изменения. О прекращении обработки уведомляют в течение десяти рабочих дней.
Общее уведомление, уведомление о трансграничной передаче и сообщение об инциденте - три разные обязанности (ч. 1 ст. 22, ч. 3 ст. 12 и ч. 3.1 ст. 21 Федерального закона №152-ФЗ).

Главный принцип: сведения для реестра должны собираться из описания реальных процессов бизнеса. Форма фиксирует результат анализа, но не заменяет его.

Кто является оператором и кому нужно уведомление

Пункт 2 статьи 3 Закона №152-ФЗ определяет статус оператора через решения о целях обработки, составе данных и действиях с ними. Оператором может быть организация, ИП, государственный орган, муниципальный орган или физическое лицо.

Для физического лица есть важная граница: по пункту 1 части 2 статьи 1 Закона №152-ФЗ закон не применяется к обработке исключительно для личных и семейных нужд, если при этом не нарушаются права субъектов. Это не общее исключение для самозанятого, владельца сайта или человека, который ведет коммерческий проект. Как только обработка обслуживает бизнес, работников, клиентов или публичный сервис, ее нельзя считать личной только потому, что оператор не зарегистрировал организацию.

Поэтому вопрос, кому нужно подавать уведомление в Роскомнадзор об обработке персональных данных, решается не по организационно-правовой форме. Нужно определить, кто отвечает на три вопроса:

Зачем собираются данные?
Какие данные нужны для этой цели?
Что с ними происходит от получения до удаления?

Если интернет-магазин сам решает, какие сведения запросить у покупателя для заказа, поддержки и продвижения, он является оператором этих целей. CRM или сервис рассылки может обрабатывать данные по поручению интернет-магазина, но сам магазин из-за этого не перестает быть оператором. Если площадка самостоятельно определяет отдельную цель и порядок использования данных, ее роль анализируется отдельно.

Дерево обязанности

Есть ли сведения о конкретном или определяемом человеке? Имя, телефон, электронная почта, адрес доставки, профиль, запись обращения и совокупность идентификаторов могут быть персональными данными в контексте системы (п. 1 ст. 3 Федерального закона №152-ФЗ).
Определяет ли бизнес цель и состав обработки? Если да, есть признаки оператора.
Началась ли обработка или только планируется? По общему правилу уведомление требуется до начала (ч. 1 ст. 22 Федерального закона №152-ФЗ).
Используются ли сайт, CRM, таблицы, телефония, электронная почта или облачная система? Это указывает на автоматизированную либо смешанную обработку.
Относится ли вся обработка исключительно к одному исключению части 2 статьи 22 Федерального закона №152-ФЗ? Исключение проверяют узко и документируют.
Есть ли несколько целей? Для каждой цели сведения группируют отдельно по части 3.1 статьи 22 Федерального закона №152-ФЗ, а не объединяют в одну формулу.
Менялись ли процессы после прежней подачи? Тогда может требоваться уведомление об изменении сведений.

Кому обязанность особенно легко пропустить

Работодатель. Работники, соискатели, исполнители по ГПХ, родственники работников и пропускной режим создают несколько целей. Прежнее исключение для обработки в связи с трудовыми отношениями в действующей части 2 статьи 22 Федерального закона №152-ФЗ отсутствует.

Сайт без продаж. Форма обратной связи, аналитика с идентификаторами, запись на консультацию, чат и подписка могут образовывать обработку даже без интернет-магазина.

ИП без сотрудников. Данные клиентов, получателей доставки, представителей контрагентов и подписчиков не исчезают из-за отсутствия штата.

Офлайн-точка. Электронная запись, программа лояльности, видеонаблюдение, телефония и таблица клиентов могут использовать автоматизацию.

Компания, работающая с другими организациями и предпринимателями (B2B). Телефоны и почта представителей контрагента относятся к физическим лицам, хотя договор заключен между организациями.

Цифровой продукт. Аккаунт, технические журналы, поддержка, платежный провайдер, аналитика и антифрод требуют раздельного описания целей и получателей.

Исключения и почему их нельзя применять автоматически

С 1 сентября 2022 года пункты 1-6 части 2 статьи 22 Федерального закона №152-ФЗ утратили силу. В действующей редакции остаются узкие исключения для данных в определенных государственных информационных системах, обработки исключительно без средств автоматизации и обработки в предусмотренных законом случаях транспортной безопасности.

Три ошибочных аргумента

«У нас только сотрудники». Обработка по трудовому законодательству раньше была отдельным исключением, но в действующей части 2 статьи 22 Федерального закона №152-ФЗ его нет. Работодатель проверяет общую обязанность наравне с другими операторами.

«Данные нужны только для договора». Основание обработки по пункту 5 части 1 статьи 6 может позволять обрабатывать необходимые данные без согласия, но не освобождает от уведомления. Основание и обязанность сообщить о процессе регулируют разные вопросы.

«Все хранится на бумаге». Исключение относится к обработке, осуществляемой исключительно без использования средств автоматизации (п. 8 ч. 2 ст. 22 Федерального закона №152-ФЗ). Электронная почта, таблица, бухгалтерская система, мессенджер, поиск по базе или CRM требуют проверки всего процесса; сам по себе скан еще не дает автоматического ответа.

Как проверить полностью неавтоматизированную обработку

Нужно смотреть весь жизненный цикл, а не только основной архив. Электронный носитель или скан документа сам по себе еще не определяет способ обработки. Пункт 1 Положения, утвержденного Постановлением Правительства РФ №687, требует выяснить, выполняются ли поиск, уточнение, извлечение, использование, уничтожение и другие операции при непосредственном участии человека.

Если сведения из анкеты затем системно заносят в таблицу, электронный календарь, CRM или реестр и обрабатывают средствами вычислительной техники, весь процесс уже нельзя считать исключительно неавтоматизированным только из-за бумажного начала. Даже при применимости исключения оператор сохраняет остальные обязанности по закону, включая законность целей, конфиденциальность, безопасность и работу с обращениями субъектов.

Практический вывод: если применимость исключения зависит от полного отсутствия электронных средств на всех этапах, сначала проверьте фактический процесс. Уведомление не является разрешением, но ошибочный отказ от подачи может повлечь ответственность.

Когда подавать первичное уведомление

Часть 1 статьи 22 Федерального закона №152-ФЗ устанавливает момент - до начала обработки. Новому бизнесу нужно провести проверку до запуска первого процесса, в котором появляются данные: найма, приема заявок, регистрации пользователей, программы лояльности или подключения CRM.

Для уже работающего оператора отсутствие старой подачи не превращает текущую дату в «новое начало». Нужно восстановить процессы, подготовить достоверные сведения и устранить нарушение без попытки указать вымышленную дату. Если сведения уже подавались, сначала проверяют запись в реестре и решают, нужен первичный документ или изменение.

Когда включать проверку в проект

До первого найма или сбора резюме.
До публикации формы, регистрации или личного кабинета.
До загрузки клиентской базы в CRM или сервис рассылки.
До передачи данных подрядчику, если она образует новый процесс.
До запуска программы лояльности, записи, доставки или видеонаблюдения.
До изменения продукта, если появляются новые цели, субъекты, данные или системы.

Как описать цели, субъектов, данные и основания

По части 3.1 статьи 22 Федерального закона №152-ФЗ для каждой цели указываются категории персональных данных, категории субъектов, правовое основание, перечень действий и способы обработки. Поэтому каждую строку нужно заполнять вместе с остальными сведениями об этой цели.

Карта одной цели

Бизнес-процесс. Что компания делает на практике: принимает заказ, нанимает сотрудника, оказывает поддержку или направляет рекламу.
Цель. Какой определенный результат обработки нужен: заключить и исполнить договор, рассмотреть кандидата, ответить на обращение.
Субъекты. Чьи данные участвуют: клиенты, посетители сайта, работники, соискатели, представители контрагентов.
Данные. Только категории, необходимые для цели. Не нужно отмечать паспорт, адрес или доход «на всякий случай».
Основание. Конкретная норма, договор, обязанность закона или согласие. Основание должно соответствовать каждому действию.
Действия и способы. Сбор, запись, хранение, использование, передача, удаление; автоматизированная, неавтоматизированная или смешанная обработка; сети, через которые передаются данные.
Окончание. Срок или событие прекращения, после которого данные уничтожаются либо продолжают обрабатываться при наличии другого основания (ч. 7 ст. 5 Федерального закона №152-ФЗ).

Пример: заказ в интернет-магазине

Цель «подготовка, заключение и исполнение договора» может относиться к покупателю и получателю заказа. Для оформления нужны имя, контакты, состав заказа и адрес доставки, если выбрана доставка. Передача курьерской службе должна следовать из процесса и договорных ролей. Рекламная рассылка после покупки является другой целью и не должна прятаться внутри исполнения договора.

Пример: подбор персонала

Цель относится к соискателям и сведениям, необходимым для рассмотрения кандидата. Если резюме сохраняются в кадровом резерве после закрытия вакансии, нужно отдельно определить основание, срок и доступ. Нельзя автоматически переносить все сведения из резюме в будущую трудовую обработку.

Основание не выбирают по удобству

Статья 6 Закона №152-ФЗ содержит несколько оснований. Согласие не является универсальным ответом: если обработка необходима для договора или обязанности закона, это нужно отразить честно. Если данные используют для самостоятельной рекламы, профилирования или публикации, прежнее основание может не покрывать новую цель.

Информационные системы, хранение, меры защиты и ответственный

Форма уведомления включает место нахождения баз данных, сведения об организации хранения, меры по выполнению обязанностей и обеспечению безопасности, использование средств шифрования и сведения об ответственном лице (ч. 3 ст. 22 Закона №152-ФЗ). Состав полей установлен частью 3 статьи 22 Федерального закона №152-ФЗ и утвержденной формой уведомления.

Что собрать по каждой системе

Название и назначение системы.
Какие цели и категории данных в ней реализуются.
Где находится база, кто предоставляет инфраструктуру и в какой стране выполняются операции.
Кто имеет доступ внутри компании.
Какие подрядчики получают доступ и на каком основании.
Как данные поступают, передаются, резервируются и удаляются.
Какие организационные и технические меры действуют фактически.
Кто отвечает за актуальность описания и реагирование на изменения.

Статья 18.1 требует от оператора правовых, организационных и внутренних мер, а статья 19 - необходимых мер безопасности. В уведомлении не следует обещать технологию, которой нет. Слишком общая формула бесполезна, но выдуманная конкретика создает противоречие с фактической системой.

Ответственный за организацию обработки

Организация назначает ответственное лицо по правилам статьи 22.1 Закона №152-ФЗ. Это не обязательно сотрудник с отдельной должностью «по персональным данным», но у него должны быть полномочия и доступ к информации о процессах. Указание имени в форме без реальной роли не обеспечивает контроль изменений.

Место базы и локализация

Часть 5 статьи 18 устанавливает требования к использованию баз в России при сборе персональных данных граждан РФ, в том числе через Интернет. Поле уведомления о базе нельзя заполнять только по юридическому адресу облачного провайдера. Нужны сведения о фактической инфраструктуре и договорной стороне, ответственной за хранение.

Сайт, формы, CRM, сотрудники и подрядчики

Источники, которые нужно проверить

Формы сайта. Обратная связь, заказ, регистрация, запись, заявка на вакансию, комментарий и подписка.

Личный кабинет. Профиль, история заказов, роли пользователей, документы, обращения и технические журналы.

CRM и телефония. Контакты, записи звонков, этапы сделки, заметки менеджеров, сообщения и аналитика.

Платежи и доставка. Получатели, адреса, чеки, платежные идентификаторы и передача партнерам.

Маркетинг. Рассылки, аудитории, рекламные кабинеты, программы лояльности и профилирование.

Работники. Кадровые документы, учет времени, выплаты, обучение, контроль доступа и корпоративные системы.

Соискатели и ГПХ. Резюме, тестовые задания, реквизиты исполнителей, акты, доступы и хранение после завершения.

Поддержка. Переписка, вложения, записи обращений, история ошибок и данные третьих лиц внутри сообщения.

Подрядчики. Хостинг, облако, CRM, рассылка, аналитика, колл-центр, доставка и разработчик с техническим доступом.

Если подрядчик обрабатывает данные по поручению, часть 3 статьи 6 требует определить перечень данных и операций, цели, конфиденциальность, безопасность, подтверждение мер и сообщение об инцидентах. Строка в уведомлении не заменяет такие условия.

Как подготовить и подать уведомление

Формы первичного уведомления, изменения и прекращения утверждены приказом Роскомнадзора от 28 октября 2022 года №180. Актуальные способы подачи и электронные формы находятся на портале персональных данных Роскомнадзора.

Порядок работы

Проверить наличие оператора в реестре по наименованию и ИНН.
Составить перечень целей и ответственных за процессы внутри бизнеса.
Для каждой цели сопоставить субъектов, данные, основания, действия и способы.
Составить перечень систем, баз, подрядчиков и способов передачи.
Сверить сведения с политикой, согласиями, договорами и локальными актами.
Определить фактические меры защиты и ответственного.
Заполнить официальную форму и проверить, не противоречат ли друг другу указанные цели, данные, субъекты, основания и способы обработки.
Подать документ одним из доступных на портале способов с надлежащим подписанием.
Сохранить отправленную версию, подтверждение подачи и дату следующей проверки.

Как проверить форму до отправки

Не читайте поля изолированно. Выберите одну цель и последовательно проверьте субъектов, данные, основание, действия, систему, получателя и срок. Если человек или система появляются только в одном поле, вероятен пропуск. Затем сравните уведомление с тем, что увидят посетитель сайта, работник и подрядчик.

Не копируйте чужое уведомление. Запись другой компании может относиться к иным формам, подрядчикам, основаниям и инфраструктуре. Даже близкий бизнес не подтверждает Ваши факты.

Как проверить результат в реестре

Часть 4 статьи 22 Федерального закона №152-ФЗ предусматривает внесение сведений в реестр в течение тридцати дней с даты поступления уведомления. На портале есть проверка состояния уведомления и публичный реестр операторов.

После подачи проверьте

Зарегистрировано ли обращение и сохранено ли подтверждение.
Совпадают ли наименование, ИНН и адрес оператора.
Все ли заявленные цели появились в записи.
Нет ли устаревших сведений из прежней версии.
Совпадает ли дата начала обработки с фактической историей, которую можно подтвердить.
Назначена ли следующая проверка после изменения продукта, систем или подрядчиков.

Запись в реестре не является сертификатом соответствия. Роскомнадзор вносит сведения оператора, а при неполноте или недостоверности вправе запросить уточнение (ч. 4 и 6 ст. 22 Федерального закона №152-ФЗ). Законность процессов оценивается отдельно.

Изменение сведений и прекращение обработки

По части 7 статьи 22 Федерального закона №152-ФЗ об изменениях сообщают не позднее 15-го числа месяца, следующего за месяцем, в котором они возникли. О прекращении обработки сообщают в течение десяти рабочих дней с даты прекращения.

Что может потребовать обновления

Новая цель, например рекламная рассылка или программа лояльности;
Новая категория субъектов, например соискатели или пользователи приложения;
Новые данные или действия с ними;
Подключение CRM, облака, колл-центра или иного обработчика;
Изменение места базы или организации хранения;
Начало или прекращение трансграничной передачи;
Смена ответственного и контактов;
Прекращение конкретных процессов или всей обработки оператором.

Прекращение одного сервиса не означает автоматически прекращение всех целей обработки. Для каждой оставшейся цели отдельно проверяют основание и срок, а при достижении цели данные по общему правилу подлежат уничтожению либо обезличиванию, если иное не предусмотрено законом (ч. 7 ст. 5 Федерального закона №152-ФЗ).

Типовые ошибки, несоответствия документам и штрафы

Как возникает риск

Цель шире факта. В уведомлении написано «осуществление деятельности», поэтому невозможно проверить необходимость данных и основания. Решение - разделить процессы по результату обработки.

В уведомлении меньше сведений, чем в политике. Уведомление перечисляет меньше целей и получателей, чем публичные документы и сайт. Решение - сверить документы и устранить противоречия.

Заявлены лишние данные. Оператор отмечает паспорт, доход или здоровье без реального процесса. Решение - подтверждать каждую категорию источником и целью.

Не указан подрядчик. CRM или служба доставки фактически получает доступ, но договор и карта передачи этого не отражают. Решение - определить роль и поручение.

Придуманы меры. Текст формы обещает контроль или шифрование, которых нет. Решение - описать фактические меры и отдельно составить план улучшения.

Пропущено изменение. Продукт подключил новый сервис, но реестр остался прежним. Решение - проверять обработку персональных данных перед запуском изменений.

Уведомление считают разрешением. Процесс не имеет основания или собирает лишнее, хотя оператор есть в реестре. Решение - отдельно проверить статьи 5, 6, 9, 18.1 и 19 Закона №152-ФЗ (ст. 5, ст. 6, ст. 9, ст. 18.1 и ст. 19 Закона №152-ФЗ).

Перепутаны три уведомления. Общее уведомление не заменяет трансграничное и сообщение об инциденте. Решение - вести отдельный календарь обязанностей.

Штраф за неподачу уведомления РКН

Часть 10 статьи 13.11 КоАП РФ предусматривает штраф за невыполнение или несвоевременное выполнение обязанности. Для граждан он составляет от 5 000 до 10 000 рублей, для должностных лиц - от 30 000 до 50 000 рублей, для юридических лиц - от 100 000 до 300 000 рублей (ч. 10 ст. 13.11 КоАП РФ).

По примечанию 1 к статье 13.11 индивидуальные предприниматели по части 10 несут ответственность как юридические лица (примечание 1 к ст. 13.11 КоАП РФ). Для ИП поэтому применяется диапазон от 100 000 до 300 000 рублей (примечание 1 к ст. 13.11 КоАП РФ). Квалификацию конкретного лица и редакцию нормы проверяют на дату события.

Неподача - только один возможный состав. Статья 13.11 КоАП РФ отдельно предусматривает составы, связанные с основанием и целью обработки, согласием, локализацией, уведомлениями и неправомерным доступом. Поэтому задача не сводится к попаданию в реестр.

Чем это отличается от уведомления о трансграничной передаче

Общее уведомление по статье 22. Описывает намерение обрабатывать персональные данные и полный набор целей оператора. По общему правилу подается до начала обработки.

Уведомление по статье 12. Относится к трансграничной передаче иностранному получателю. Перед подачей собирают сведения, предусмотренные законом; Роскомнадзор может ограничить или запретить передачу. Подробный порядок разобран в статье «Уведомление о трансграничной передаче».

Сообщение об инциденте по статье 21. Направляется при неправомерной или случайной передаче, которая повлекла нарушение прав субъектов. Первичная информация и результаты внутреннего расследования имеют отдельные сроки.

В общем уведомлении указывается наличие или отсутствие трансграничной передачи, но это поле не заменяет специальную процедуру статьи 12 (п. 10 ч. 3 ст. 22 и ч. 3-4 ст. 12 Федерального закона №152-ФЗ).

Как обязанность уведомлять меняется в четырех ситуациях

1. Сайт только принимает заявки

ООО «Ромашка» получает имя, телефон и текст вопроса, отправляет данные в CRM и отвечает клиенту. Компания имеет признаки оператора, поскольку определяет цель и состав данных (п. 2 ст. 3 Федерального закона №152-ФЗ). Отсутствие онлайн-оплаты не устраняет обязанность проверить уведомление.

2. Есть только работники

Компания хранит кадровые документы, ведет расчет выплат и использует корпоративную систему. Прежнее исключение для трудовой обработки в действующей части 2 статьи 22 Федерального закона №152-ФЗ отсутствует. Цели кадрового учета и исполнения обязанностей работодателя нужно описать предметно.

3. Бумажная запись превращается в таблицу

Администратор записывает клиента в бумажный журнал, а вечером переносит телефон в электронный календарь. При такой электронной стадии нельзя опираться на исключение для обработки, осуществляемой исключительно без средств автоматизации (п. 8 ч. 2 ст. 22 Федерального закона №152-ФЗ); оценивается весь процесс.

4. Компания меняет российскую CRM

Новый сервис хранит данные в другом центре обработки, а техническая поддержка получает доступ. Нужно проверить поручение, место базы, меры, получателя и срок уведомления об изменениях. Одной смены названия системы во внутреннем списке недостаточно.

Самостоятельный чек-лист

Проверили наличие компании или ИП в реестре по ИНН.
Перечислили все цели, а не только сайт.
Для каждой цели определили категории субъектов.
Для каждой категории оставили только необходимые данные.
Указали конкретное правовое основание.
Перечислили фактические действия и способы обработки.
Учли CRM, почту, телефонию, таблицы, облака и архивы.
Проверили работников, соискателей и исполнителей по ГПХ.
Проверили формы, аккаунты, поддержку, маркетинг и доставку.
Определили подрядчиков и договорные поручения.
Подтвердили место баз и организацию хранения.
Описали только действующие меры безопасности.
Назначили реального ответственного.
Сверили уведомление с политикой, согласиями и договорами.
Разделили общее, трансграничное и инцидентное уведомления.
Определили события для будущей проверки и назначили ответственного.

Что подготовить для проверки юристом

Ссылку на сайт или доступ к непубличному прототипу от лица обычного пользователя.
Краткий список бизнес-процессов с данными людей.
Текущую запись в реестре и отправленные уведомления, если они есть.
Политику, формы согласий и относящиеся локальные документы.
Список CRM, облаков, сервисов рассылки, телефонии, аналитики и поддержки.
Сведения о базах, хостинге и географии хранения.
Договоры с ключевыми обработчиками или относящиеся условия.
Список категорий работников и иных лиц с доступом.
Фактически применяемые меры безопасности.
Планируемые изменения, которые еще не запущены.

Ключевые источники

Когда обязанность лучше проверить до подачи

Если Вы не уверены, нужно ли уведомление, сначала опишите один фактический процесс обработки. Это особенно важно, когда в одной форме предстоит указать сведения о сайте, работниках, CRM и подрядчиках: они не должны противоречить друг другу и работе бизнеса. Мы изучим Ваш процесс, определим, возникает ли обязанность уведомлять, и дадим письменный список сведений для формы.

Состав и границы работы находятся на странице услуги «Консультация по уведомлению РКН об обработке персональных данных». Заполнение и подача формы вместо Вас, полный аудит процессов и подготовка локальных документов в эту консультацию не входят.

Проверьте, как Вы поняли тему

Для результата 90% нужно правильно ответить минимум на 9 из 10 вопросов.

Частые вопросы

Нужно ли ООО подавать уведомление РКН?

Организационно-правовая форма не дает автоматического ответа. Если ООО определяет цели и состав обработки, оно является оператором (п. 2 ст. 3 Федерального закона №152-ФЗ). По общему правилу уведомление подается до начала обработки, если вся соответствующая обработка не попадает в узкое исключение (ч. 1-2 ст. 22 Федерального закона №152-ФЗ).

Нужно ли уведомление ИП без сотрудников?

Отсутствие работников не исключает данные клиентов, получателей доставки, представителей контрагентов, подписчиков и посетителей сайта. Проверять нужно фактические цели и способы обработки.

Освобождает ли исполнение договора от уведомления?

Нет. Договор может быть правовым основанием для необходимых действий по пункту 5 части 1 статьи 6, но прежнее исключение из уведомления утратило силу с 1 сентября 2022 года (п. 5 ч. 1 ст. 6 и ст. 22 Закона №152-ФЗ). Действующая обязанность и исключения закреплены в статье 22 Закона №152-ФЗ.

Можно ли подать одно уведомление на все цели?

Подается один документ оператора, но внутри него каждая цель должна быть связана со своими субъектами, данными, основаниями, действиями и способами (ч. 3.1 ст. 22 Федерального закона №152-ФЗ). Сливать разные процессы в одну неопределенную цель не следует.

Что делать, если обработка уже началась?

Нужно восстановить достоверные сведения, проверить реестр и подать надлежащий документ без вымышленной истории. Одновременно проверяют законность процессов и документы, потому что поздняя подача не исправляет остальные нарушения автоматически.

Нужно ли перечислять каждую программу?

Уведомление требует сведения о базах, хранении, мерах и способах. Для подготовки полезен полный внутренний перечень систем. То, как конкретные сведения группируются в форме, зависит от устройства обработки данных и фактических ролей участников.

Как быстро запись появится в реестре?

Закон предусматривает внесение сведений в течение тридцати дней с даты поступления уведомления (ч. 4 ст. 22 Федерального закона №152-ФЗ). Состояние обращения и запись нужно проверить на официальном портале.

Заменяет ли уведомление политику и согласие?

Нет. Оно сообщает Роскомнадзору сведения об обработке. Основания, меры по обеспечению выполнения закона, публичная политика, поручения обработчикам и безопасность регулируются отдельно (ст. 6, ст. 18.1 и ст. 19 Федерального закона №152-ФЗ).

Нужно ли подавать новое уведомление при смене CRM?

Не всегда новая первичная форма, но изменение может затронуть место базы, организацию хранения, способы, получателей или меры. Тогда сведения обновляют в срок части 7 статьи 22 (ч. 7 ст. 22 Закона №152-ФЗ).

Федеральный закон №152-ФЗ, статья 3 - оператор и обработка.
Федеральный закон №152-ФЗ, статья 6 - основания и поручение обработки.
Федеральный закон №152-ФЗ, статья 12 - трансграничная передача.
Федеральный закон №152-ФЗ, статьи 18, 18.1 и 19 - локализация, организационные и технические меры.
Федеральный закон №152-ФЗ, статья 22 - обязанность, состав сведений, реестр, изменения и прекращение.
КоАП РФ, статья 13.11 - ответственность.
Приказ Роскомнадзора №180 - формы уведомлений.
Электронные формы Роскомнадзора и реестр операторов - подача и проверка.