Уведомление в Роскомнадзор об обработке персональных данных в 2026 году в Нурсултан

Уведомление в Роскомнадзор об обработке персональных данных — обязанность, о которой многие вспоминают только после письма от РКН. Причина простая: долгие годы существовала удобная лазейка «если обрабатываем данные только своих работников, уведомлять не нужно». Эта лазейка закрыта. Если вы обрабатываете персональные данные с помощью компьютеров, подать уведомление нужно почти в каждом случае, а пропуск срока теперь стоит дороже, чем раньше.

В статье разбираем, кто обязан подать уведомление, что в нём указывают (по частям ст. 22 152-ФЗ), как действовать пошагово, в какой срок сообщать об изменениях и о прекращении обработки, чем уведомление о намерении обрабатывать данные отличается от уведомлений о трансграничной передаче и об утечке, и какие предусмотрены штрафы. Для организаций и предпринимателей в Нурсултан и по всей России правила одинаковы.

Кто обязан подавать уведомление

По ч. 1 ст. 22 152-ФЗ оператор до начала обработки обязан уведомить Роскомнадзор о намерении обрабатывать персональные данные. Исключения перечислены в ч. 2 и очень узкие. Не уведомлять вправе только оператор, который:

• обрабатывает данные в государственных информационных системах персональных данных, созданных для защиты безопасности государства и общественного порядка (п. 7);
• ведёт обработку исключительно без использования средств автоматизации — на бумаге, без компьютеров (п. 8);
• обрабатывает данные в целях транспортной безопасности (п. 9).

Пункты 1–6 ч. 2, где раньше значились работники, договорные отношения, общедоступные данные и т. д., утратили силу с 01.09.2022. Поэтому фраза «уведомление не нужно, если мы обрабатываем только данные сотрудников» ошибочна. Организация или ИП, у которых есть хотя бы один работник и бухгалтерская программа или таблица в электронном виде, обрабатывают данные автоматизированно и подпадают под обязанность.

Обратите внимание на слово «исключительно». Достаточно набрать список сотрудников в Word или завести клиентов в телефонной книге с синхронизацией, и обработка перестаёт быть неавтоматизированной.

Что указывается в уведомлении: ч. 3 ст. 22

Уведомление составляется в письменной форме или как электронный документ и подписывается уполномоченным лицом (ч. 3 ст. 22). Форму устанавливает РКН (ч. 8 ст. 22). Содержание определено законом.

Главная трудность не форма, а содержание: чтобы корректно заполнить уведомление, нужно знать, какие цели и данные у вас есть, кто ответственный, где хранятся базы и какие подрядчики получают данные. Фактически уведомление пересказывает ваши внутренние документы. Если политики и перечня целей нет, сначала подготовьте их.

Как подать уведомление: пошагово

Закон не фиксирует единый сервис подачи: ч. 3 ст. 22 говорит о бумажном носителе или электронном документе, подписанном уполномоченным лицом, а форму утверждает РКН. Актуальную форму и способ отправки проверьте на официальном сайте Роскомнадзора перед подачей.

1. Составьте перечень целей. Для каждой — категории данных и субъектов, основание (согласие, договор, закон), действия и способы обработки.
2. Назначьте ответственного за организацию обработки приказом (для юрлица — ст. 22.1) и соберите его контакты.
3. Определите место хранения баз данных граждан РФ и наличие трансграничной передачи (облачные сервисы, зарубежные рассылки, аналитика).
4. Опишите меры по ст. 18.1 и 19 в общей форме, укажите, используются ли СКЗИ.
5. Определите дату начала обработки. Подача — до неё; если вы уже обрабатываете данные, подавайте без отлагательств.
6. Подпишите документ у уполномоченного лица (руководитель, представитель по доверенности) и направьте по актуальной форме РКН.
7. Сохраните подтверждение. РКН вносит сведения в реестр операторов в течение 30 дней (ч. 4 ст. 22); подача бесплатна (ч. 5).

РКН вправе потребовать уточнения представленных сведений (ч. 6 ст. 22). Лучше сразу заполнить уведомление так, чтобы оно совпадало с политикой на сайте: расхождения — типичная причина уточняющих запросов.

Изменения сведений и прекращение обработки: сроки

Здесь ошибаются чаще всего, поэтому приводим точно по ч. 7 ст. 22:

Пример: ответственного сменили 12 марта — об изменении нужно уведомить не позднее 15 апреля. Десять рабочих дней на изменения — распространённая, но неверная версия: это срок только для уведомления о прекращении обработки.

Три разных уведомления: не путайте

Трансграничная передача

Если вы передаёте данные за границу (облачный сервис, зарубежный хостинг, иностранный подрядчик), до начала передачи нужно подать отдельное уведомление (ч. 3 ст. 12). В нём указывают оператора, дату и номер уведомления по ст. 22, ответственного, основание и цель, категории данных и субъектов, страны и дату оценки соблюдения получателем конфиденциальности и безопасности (ч. 4). До подачи нужно получить от получателя сведения о мерах защиты и условиях прекращения обработки, данные о получателе и, если страны нет в перечне, информацию о праве этой страны (ч. 5).

С 26.07.2026 (265-ФЗ) в перечень адекватных стран входят государства, чьё регулирование и меры соответствуют положениям Конвенции Совета Европы; одного участия в Конвенции недостаточно. В страны из перечня можно передавать после уведомления, не дожидаясь решения РКН; в прочие — нельзя до истечения сроков, кроме защиты жизни и здоровья.

Утечки и инциденты

При неправомерной или случайной передаче, распространении или доступе к данным, повлекшей нарушение прав субъектов, оператор обязан уведомить РКН: в течение 24 часов — об инциденте, предполагаемых причинах и вреде, принятых мерах и контактном лице; в течение 72 часов — о результатах внутреннего расследования и лицах, чьи действия стали причиной (ч. 3.1 ст. 21). Срок идёт с момента выявления инцидента оператором, РКН или иным заинтересованным лицом. Способ такого уведомления закон не называет, уточняйте у РКН.

Штрафы за уведомления: КоАП ст. 13.11

* По примечаниям к ст. 13.11 в частях 10–18 «должностное лицо» — только госоргана, муниципального органа или НКО; коммерческий оператор отвечает как юридическое лицо, а ИП по частям 1.1 и 8–18 — как юридическое лицо.

Штрафы по частям 10 и 11 введены законом, действующим с 30.05.2025. Они не заменяют ответственность за другие нарушения: если проверка обнаружит, что оператор не уведомил РКН, но ведёт обработку, ему могут вменить и другие составы.

Типовые ошибки

• ✗ «Мы обрабатываем только данные сотрудников — уведомление не нужно». → Это исключение утратило силу с 01.09.2022.
• ✗ Подать уведомление и забыть о нём. → Об изменениях — до 15-го числа следующего месяца; о прекращении — в течение 10 рабочих дней.
• ✗ «Изменения — в течение 10 рабочих дней». → Десять рабочих дней только для прекращения обработки.
• ✗ Не учесть зарубежные сервисы. → При трансграничной передаче нужно отдельное уведомление по ст. 12.
• ✗ Уведомление не совпадает с политикой и реальностью. → Согласуйте цели, подрядчиков и место хранения баз во всех документах.

Чем поможет МелданаСБ

Готовим уведомление под вашу обработку: помогаем разложить цели, данные, основания и подрядчиков, оформляем текст по форме и подсказываем следующие шаги. Документы готовит специалист на основе отработанных типовых решений; работа дистанционная, условия одинаковы для Нурсултан и других регионов. Технические меры защиты (уровень защищённости, модель угроз) ведём в формате методического сопровождения или с партнёром-лицензиатом ФСТЭК.

Частые вопросы

Уведомление — часть пакета. Если документов ещё нет, начните с политики обработки ПДн, а при необходимости закройте весь контур комплектом документов по ПДн. Текст нормы — на consultant.ru (ст. 22 152-ФЗ); нужна помощь — свяжитесь с нами.