Самое частое возражение, которое я слышу на аудитах: «мы маленькие, реестр РКН не про нас». Это неправда уже несколько лет. Если на вашем сайте есть хотя бы одна форма, которая собирает имя и телефон, вы оператор персональных данных, и уведомление в Роскомнадзор для вас обязательно. Разберу, кого это касается, как подать и что грозит молчунам.
Кто считается оператором
Оператор по 152-ФЗ: любой, кто определяет цели и состав обработки персональных данных. Организационная форма не имеет значения: ООО, ИП и самозанятый равны перед законом. Форма заявки на лендинге, корзина в интернет-магазине, запись на консультацию, подписка на рассылку, даже виджет обратного звонка: всё это сбор персональных данных, а значит, вы оператор.
Исключения в законе остались, но после поправок 2022 года они сузились до почти теоретических случаев. Обработка данных только своих работников без передачи третьим лицам, например. Сайт с формами под исключения не попадает практически никогда.
Как подать уведомление
Хорошая новость: это бесплатно и занимает около часа, если знать, что писать. Уведомление подаётся через форму на портале Роскомнадзора, электронно с подтверждением через Госуслуги либо на бумаге.
В уведомлении указываются: цели обработки, категории данных и субъектов, правовые основания, перечень действий с данными, меры защиты, сведения о месте хранения баз данных и об ответственном за организацию обработки. И вот здесь начинается настоящая работа: каждая строчка уведомления должна совпадать с тем, что реально происходит на сайте и в вашей CRM.
Главная ошибка: подать уведомление и остановиться
Уведомление это витрина, за которой должны стоять документы: политика обработки, согласия под каждую цель, локальные акты, назначенный ответственный. Подать уведомление без этого хозяйства значит пригласить проверяющего и показать ему пустой склад. Несовпадение заявленных целей с реальностью сайта: одна из самых частых претензий при проверках.
Что будет, если не подавать
С 30 мая 2025 года за неподачу уведомления действует отдельный состав в статье 13.11 КоАП: для компаний штраф до 300 тысяч рублей, для должностных лиц и ИП меньше, но тоже ощутимо. При этом штраф за само уведомление не закрывает других рисков: обработка без согласий и без политики наказывается отдельными частями той же статьи, и штрафы прилетают одновременно организации и её руководителю.
План действий на неделю
- Проверьте себя в реестре операторов на сайте РКН: возможно, уведомление подавали до вас.
- Опишите реальные процессы: какие формы есть, куда попадают данные, какие сервисы подключены.
- Приведите в порядок документы: политика, согласия, приказ об ответственном.
- Подайте уведомление, сверив каждый пункт с реальностью.
- Поставьте напоминание: при изменении сведений уведомление нужно актуализировать.
Если не уверены, что процессы описаны правильно, начните с аудита: я смотрю сайт и документы глазами проверяющего и отдаю список правок по степени риска.