Что изменилось с 30 мая 2025 года
Коротко: штраф за неуведомление Роскомнадзора о начале обработки персональных данных вырос с 3 000-5 000 рублей до 100 000-300 000 рублей для организаций. Разница - в шестьдесят раз.
До мая 2025 года за необъявленную обработку персональных данных компании грозил штраф по ст. 19.7 КоАП - 3 000-5 000 рублей. Небольшой: многие просто платили и не меняли ничего. Это видели и законодатели.
30 ноября 2024 года Государственная Дума приняла Федеральный закон N 420-ФЗ. Он ввёл в КоАП ст. 13.11 ч. 10: отдельный состав именно за неуведомление Роскомнадзора о намерении обрабатывать персональные данные. С 30 мая 2025 года норма вступила в силу.
| Нарушение | До 30.05.2025 | С 30.05.2025 |
|---|---|---|
| Не подал уведомление о начале обработки ПДн | ст. 19.7 КоАП: 3 000-5 000 руб. | ч. 10 ст. 13.11 КоАП: до 300 000 руб. для организации |
| Не уведомил РКН об утечке ПДн | ст. 19.7 КоАП: 3 000-5 000 руб. | ч. 11 ст. 13.11 КоАП: 1 000 000-3 000 000 руб. для организации |
По нашему замеру Вордстата от 06.09.2026, запрос «фз 152 ст 9» набирает 390 точных показов в месяц. Судя по форумам - большинство этих поисков идут от компаний, которые либо только начали разбираться с темой, либо уже получили претензию. И часто выясняется, что вопрос с уведомлением не закрыт.
Добровольная подача уведомления сейчас - самый дешёвый путь. Как это сделать - дальше по шагам.
Кто считается оператором персональных данных
Коротко: оператор - это любое лицо, которое организует или осуществляет обработку персональных данных. Если у вас есть сайт с формой захвата, CRM с контактами клиентов или трудовые договоры с сотрудниками - вы оператор.
152-ФЗ «О персональных данных» называет оператором государственный орган, муниципальный орган, юридическое лицо или физическое лицо, которое «организует и (или) осуществляет обработку персональных данных» (ст. 3).
Обработка персональных данных - это любое действие с ними: сбор, запись, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление, уничтожение.
Оператором на практике оказываются:
- интернет-магазины, которые хранят имена и телефоны покупателей
- B2B-компании с CRM, где ведутся контакты клиентов
- работодатели, у которых есть личные дела сотрудников
- любой сайт с формой обратной связи или онлайн-записью
- сервисы аналитики и рекомендательные системы
По ст. 22 152-ФЗ оператор обязан уведомить Роскомнадзор о намерении обрабатывать персональные данные до того, как начнёт это делать. Не после, не «когда дойдут руки» - именно до.
Что требует ст. 9 152-ФЗ о согласии на обработку
Коротко: ст. 9 152-ФЗ обязывает получить от субъекта согласие на обработку его данных - конкретное, предметное, информированное, сознательное и однозначное. Без согласия (или другого законного основания из ст. 6) обработка незаконна.
Статья 9 федерального закона «О персональных данных» - одна из ключевых для операторов. Она устанавливает, что субъект персональных данных «принимает решение о предоставлении его персональных данных и даёт согласие на их обработку свободно, своей волей и в своём интересе».
Согласие по ст. 9 152-ФЗ должно быть:
- конкретным - указывать, какие именно данные обрабатываются
- предметным - описывать цель обработки
- информированным - субъект понимает, кто и зачем обрабатывает данные
- сознательным - без давления, ошибки или введения в заблуждение
- однозначным - галочка «прочитал» без описания что именно - не считается
Согласие можно давать в электронной форме (нажатие кнопки с чётким описанием) или в письменной. Для особых категорий данных - здоровье, биометрия, религиозные взгляды - только в письменной.
Важный момент: бремя доказывания лежит на операторе. Если РКН спросит «есть ли согласие» - именно вы доказываете, что оно есть и соответствует требованиям ст. 9. Если согласия нет или оно оформлено неправильно - это отдельный состав нарушения по ч. 1 ст. 13.11 КоАП.
Для B2B-компаний с отделом продаж особую роль играет согласие сотрудников на обработку их персональных данных в рабочих целях - в том числе на использование телефонных номеров. Если номера ваших менеджеров попали в открытые каталоги и их оттуда собирают без ведома сотрудников - это уже обработка данных без согласия, но уже на стороне того, кто собирает.
Посмотреть, как закрыть периметр
Кто обязан уведомить, а кто освобождён
Коротко: уведомлять РКН должны почти все. Исключения по ч. 2 ст. 22 152-ФЗ - узкие и касаются только конкретных случаев обработки, не компании целиком.
Часть 2 ст. 22 152-ФЗ перечисляет случаи, когда уведомление не требуется:
- Обработка данных исключительно для выполнения трудового договора с сотрудниками (зарплата, отпуска, кадровый учёт).
- Данные получены из общедоступных источников, которые сам субъект сделал публичными.
- Обработка включает только фамилию, имя, отчество и один из трёх реквизитов: контактный телефон, или e-mail, или адрес - и только для однократного контакта без занесения в базу.
- Данные обрабатываются для нужд национальной безопасности, обороны или транспортной безопасности.
- Обработка без автоматизации: данные вносятся вручную в бумажные документы и не попадают в базы.
- Данные о членах некоммерческой организации - только для внутренних целей этой организации.
- Обработка персональных данных, разрешённых субъектом для распространения - при соблюдении условий ст. 10.1.
На практике исключение N 1 (кадровый учёт) освобождает работодателей только для этой конкретной цели. Если та же компания ещё и ведёт базу клиентов - она обязана уведомить РКН о клиентской обработке, даже если HR-часть подпадает под исключение.
Если сомневаетесь - безопаснее уведомить. Роскомнадзор не штрафует за «лишнее» уведомление. Штрафует за отсутствие.
Какие статьи 152-ФЗ ещё важны при работе с базами клиентов - разбирали в материале «Обработка персональных данных при обзвоне: что законно».
Что включить в уведомление
Коротко: уведомление содержит 18 обязательных сведений. Ключевые - наименование оператора, цель обработки, категории данных и субъектов, меры защиты. Всё это заполняется через стандартную форму, ничего придумывать не надо.
Состав уведомления установлен ч. 3 ст. 22 152-ФЗ. Оператор указывает:
- наименование и адрес
- цель обработки персональных данных
- категории данных (имена, контакты, финансовые данные и т.д.)
- категории субъектов (клиенты, сотрудники, посетители сайта и т.д.)
- правовое основание обработки (ст. 9 - согласие, или иное основание из ст. 6)
- перечень действий с данными (сбор, хранение, передача и т.д.)
- способы обработки (автоматизированная, неавтоматизированная, смешанная)
- описание мер безопасности
- ФИО ответственного лица или наименование организации, ответственной за организацию обработки
- начало и конец сроков обработки
Важно: уведомление подаётся один раз - до начала обработки. Если что-то изменилось (новая цель, новые категории данных, смена ответственного) - нужно подать изменение к уведомлению.
Один операторский реестровый номер РКН присваивает одной компании. Компания с несколькими направлениями обработки (клиенты + сотрудники + партнёры) включает все их в одно уведомление.
Пошагово: как подать уведомление
Коротко: проще всего через личный кабинет на pd.rkn.gov.ru - авторизация через Госуслуги, форма на русском, занимает 20-30 минут при готовых ответах.
Шаг 1. Подготовьте данные
Перед тем как открывать форму, выпишите:
- все цели, с которыми вы обрабатываете ПДн (продажи, кадры, маркетинг, техподдержка)
- все категории данных, которые собираете
- все категории субъектов
- способы хранения (облако, локальные серверы, CRM-система)
- фамилию ответственного за защиту ПДн в вашей компании
Если не знаете, что включить - начните с самого очевидного: контакты клиентов, данные сотрудников. Неполное уведомление хуже, чем отсутствие уведомления, потому что его могут признать ненадлежащим. Лучше включить всё, с чем реально работаете.
Шаг 2. Зайдите на pd.rkn.gov.ru
Портал Роскомнадзора по персональным данным. Авторизация через Госуслуги. После входа - раздел «Операторам», кнопка «Подать уведомление».
Альтернативы: сервис 152DOC, интеграция с 1С, бумажная форма в территориальный орган РКН. Электронная подача через портал - самый быстрый способ получить подтверждение.
Шаг 3. Заполните форму
Форма состоит из 18 разделов. Большинство - выбор из готовых вариантов, не свободный текст. На заполнение уходит 20-30 минут, если данные под рукой.
Частая ошибка: в поле «правовое основание» ставить только «согласие» (ст. 9 152-ФЗ), забывая про другие законные основания. Если данные сотрудников обрабатываются в рамках трудового договора - основание будет другим: п. 5 ч. 1 ст. 6 (необходимость для исполнения договора). Смешивайте правовые основания правильно под каждую цель.
Шаг 4. Получите регистрационный номер
После подачи уведомления в электронной форме РКН присваивает компании регистрационный номер оператора и включает в реестр. Номер присылают на e-mail в течение нескольких рабочих дней. Сохраните его: при проверке вас попросят его предъявить.
Проверить себя в реестре можно по адресу pd.rkn.gov.ru - раздел «Реестр операторов».
Если нарушение уже есть: три варианта
Коротко: добровольное исправление сейчас - дешевле всего. Ждать, пока РКН придёт первым - значит рисковать не только штрафом, но и предписанием, которое остановит работу на период устранения.
Вариант 1. Подать уведомление прямо сейчас
Если вы не уведомили РКН, но нарушений больше пока нет (данные не утекали, согласия по ст. 9 оформлены) - просто подайте уведомление через pd.rkn.gov.ru. Самостоятельная подача до начала проверки - это смягчающее обстоятельство. Дело до штрафа может и не дойти.
РКН при плановой проверке смотрит на дату регистрации в реестре. Если вы там есть - формально обязанность выполнена. Точную дату начала обработки никто не проверяет по умолчанию: нет жалоб, нет инцидентов - значит, повода не появится.
Вариант 2. Дождаться предупреждения
По ч. 10 ст. 13.11 КоАП при первом нарушении возможно предупреждение вместо штрафа. Если предупреждение получено - у вас есть срок на исправление. Подайте уведомление в этот срок, и до штрафа в 300 000 рублей дело не дойдёт.
Рисковать с этим вариантом или нет - решать вам. Предупреждение гарантировано только для первичных нарушений и при отсутствии отягчающих обстоятельств (например, утечки данных параллельно).
Вариант 3. Обратиться к специалисту по 152-ФЗ
Если у вас сложная структура обработки (несколько юрлиц, трансграничная передача данных, специальные категории ПДн) - лучше не заполнять форму самостоятельно. Неверно поданное уведомление хуже, чем его отсутствие: вас внесут в реестр, но при проверке выяснится, что уведомление не соответствует фактической обработке, и получите двойной вопрос.
Про типичные ошибки при работе с базами контактов и 152-ФЗ - в статье «Что законно при покупке контактов».
Как Роскомнадзор находит нарушителей
Коротко: плановые проверки - раз в 3 года. Но чаще РКН реагирует на жалобы, утечки, публичные инциденты и обращения конкурентов. Не быть в реестре оператора - это видимо: реестр открытый.
Роскомнадзор - основной регулятор по 152-ФЗ. Проверки бывают плановые и внеплановые.
Плановые - по графику, раз в три года для большинства операторов. Анонс выходит на сайте proverki.gov.ru. Если вы в реестре и данные актуальны - плановая проверка, как правило, проходит без сюрпризов.
Внеплановые - по поводу: жалоба субъекта данных (ваш клиент или сотрудник написал в РКН), публичная утечка данных (попала в СМИ или в реестр утечек), прокурорское предписание, обращение ФСБ или Минцифры.
Реестр операторов на pd.rkn.gov.ru открытый: любой может проверить, есть ли ваша компания там. Если вас нет - это видно конкурентам, которые захотят написать жалобу, и субъектам данных, чьи права нарушены.
С 2025 года РКН активно пользуется информацией от Госуслуг: сервис виден, кто работает с данными физлиц в том или ином качестве. Поэтому «тихо не уведомить» становится сложнее.
Что ещё проверяют на той же проверке
Коротко: уведомление - только первый вопрос. Инспектор смотрит на согласия по ст. 9, на политику обработки ПДн, на технические меры защиты и локальные акты компании.
Если РКН пришёл проверять уведомление - одним уведомлением не отделаться. Стандартный перечень документов, которые запрашивают при проверке:
- Уведомление об обработке ПДн - и его соответствие фактической обработке.
- Согласия субъектов по ст. 9 - для каждого направления обработки, отдельно по каждой цели.
- Политика обработки персональных данных - публичный документ на сайте компании (требование ст. 18.1 152-ФЗ).
- Положение об обработке персональных данных - внутренний нормативный акт.
- Приказ о назначении ответственного - лицо, отвечающее за организацию обработки ПДн.
- Журналы инструктажа сотрудников - работники, имеющие доступ к ПДн, должны быть ознакомлены с требованиями закона.
- Технические меры защиты - какие средства защиты используются, есть ли сертификация.
Если чего-то из этого нет - каждый пункт может стать отдельным составом нарушения. Поэтому принцип простой: начинать с уведомления, но не заканчивать им.
Одна из зон, которую часто не проверяют сами компании: данные сотрудников в открытом доступе. Если телефоны ваших менеджеров есть в 2ГИС, Авито, LinkedIn, HeadHunter или на агрегаторах бизнес-контактов - их оттуда собирают и обрабатывают третьи лица без каких-либо согласий. Это нарушение ст. 9 152-ФЗ - со стороны того, кто собирает. Но если источником данных стал ваш сайт или ваша система - вопросы придут к вам.
Персональные данные сотрудников: отдельный риск по ст. 9
Коротко: телефоны менеджеров - это персональные данные по 152-ФЗ. Если они в открытом каталоге, их могут собирать без согласия. Если это данные вашего сайта - вопросы при проверке придут к вам.
По ст. 3 152-ФЗ персональные данные - «любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу». Имя менеджера + его рабочий телефон - это персональные данные. Имя менеджера + телефон + компания + должность - тем более.
Когда кто-то парсит открытые каталоги, сайты работодателей, 2ГИС или LinkedIn и собирает контакты сотрудников в базу для последующего обзвона - он обрабатывает персональные данные. Часто без правовых оснований: нет ни согласия субъекта, ни договора с ним, ни иного законного основания из ст. 6 152-ФЗ.
Если источником попадания данных в такие базы стал ваш сайт (открытые страницы «Контакты», карточки менеджеров) - при проверке инспектор может поинтересоваться, как данные попали в публичный доступ и на каком основании.
Именно здесь заходит техническая защита. StopParsing защищает номера телефонов сотрудников от сбора парсинговыми системами - делает их значительно труднее доступными для автоматических сборщиков данных. Сервис работает строго в правовом поле 152-ФЗ: закрывает только ваши данные.
Чеклист: что проверить прямо сейчас
Восемь вопросов, на каждый нужен ответ «да» или понимание, что делать дальше.
По уведомлению (ст. 22 152-ФЗ):
- Вы есть в реестре операторов на pd.rkn.gov.ru?
- Уведомление отражает все цели обработки (клиенты, сотрудники, маркетинг)?
- Если что-то изменилось - подали изменение к уведомлению?
По согласиям (ст. 9 152-ФЗ):
- Для каждой цели обработки есть правовое основание - согласие или иное из ст. 6?
- Форма согласия на сайте содержит конкретную цель, категории данных и возможность отозвать?
- Согласия сотрудников оформлены под те виды обработки, которые не покрываются трудовым договором?
По технической защите и документам:
- Политика обработки ПДн опубликована на сайте?
- Назначен ответственный за обработку ПДн, есть приказ?
По вопросам о связи 152-ФЗ и парсинга сайтов - читайте материал «Парсинг сайтов и 152-ФЗ: что законно».
Источники
- Федеральный закон от 27.07.2006 N 152-ФЗ «О персональных данных», ред. от 08.08.2024. consultant.ru
- Ст. 9 152-ФЗ «Согласие субъекта персональных данных». consultant.ru
- Ст. 22 152-ФЗ «Уведомление об обработке персональных данных». consultant.ru
- Федеральный закон от 30.11.2024 N 420-ФЗ (поправки к КоАП, ч. 10-18 ст. 13.11). consultant.ru
- 1С:ИТС. С 30 мая 2025 года вырастут штрафы за нарушения при обработке персональных данных. its.1c.ru
- Клерк. Не подали уведомление в РКН - готовьтесь к штрафу в 300 000 рублей. klerk.ru
- Роскомнадзор. Уведомление об обработке персональных данных. pd.rkn.gov.ru
- Роскомнадзор. Ответственность за непредставление уведомления. 54.rkn.gov.ru
Другие сервисы для B2B-компаний с персональными данными и отделом продаж - на LEADLIFE.