Если на сайте есть форма, которая собирает имя, телефон, email или адрес, — вы оператор персональных данных. Не «в каком-то смысле», а по закону № 152-ФЗ. И у оператора есть обязанность уведомить Роскомнадзор о намерении обрабатывать эти данные.
Многие узнают об этом задним числом. Разберём порядок так, чтобы уложиться в один вечер.
Это обзор процедуры, а не юридическая консультация. Формулировки закона и форма уведомления меняются — перед подачей сверьтесь с актуальной версией на портале Роскомнадзора.
Кому это нужно
Практически всем, у кого есть сайт с формой, интернет-магазин, личный кабинет, подписка на рассылку или база клиентов в CRM. Раньше существовал широкий список исключений — например, для данных работников или для данных, обрабатываемых без средств автоматизации. С 1 сентября 2022 года этот список заметно сузили, и большинство прежних оснований «не подавать» перестали работать.
Отдельно отметим: уведомление подаётся до начала обработки. Если обработка уже идёт, подать нужно всё равно — просто с опозданием.
Сколько стоит не подать
По части 10 статьи 13.11 КоАП РФ невыполнение или несвоевременное выполнение обязанности уведомить влечёт штраф:
| Кто | Размер |
|---|---|
| Граждане | 5 000 — 10 000 ₽ |
| Должностные лица | 30 000 — 50 000 ₽ |
| Юридические лица | 100 000 — 300 000 ₽ |
Индивидуальные предприниматели в этой части отдельно не выделены, поэтому по общему правилу отвечают как должностные лица.
Суммы не катастрофические, но подача занимает пару часов, и это редкий случай, когда соотношение усилия и риска очевидно.
Что подготовить заранее
Половина времени уходит не на заполнение, а на поиск данных. Соберите заранее:
- полное и сокращённое наименование, ИНН, ОГРН, юридический и фактический адрес;
- ФИО и контакты руководителя;
- ФИО, должность и контакты человека, ответственного за организацию обработки персональных данных — его нужно назначить приказом;
- перечень категорий данных, которые вы собираете;
- перечень категорий субъектов: клиенты, посетители сайта, работники, контрагенты;
- сведения о том, где физически находятся базы данных.
Последний пункт часто вызывает заминку. Ответ обычно звучит как «на сервере хостинг-провайдера в России» — и это нормально, но название и страну нужно указать. Требование о том, что базы с данными россиян размещаются на территории РФ, никуда не делось.
Цели обработки
Это поле — самое частое место, где уведомление возвращают на доработку. Цель должна быть конкретной и соответствовать тому, что вы реально делаете.
Плохо: «в целях осуществления уставной деятельности».
Нормально: «обработка обращений с сайта и обратная связь с потенциальными клиентами», «заключение и исполнение договоров», «направление информационных и рекламных рассылок с согласия субъекта», «кадровый учёт».
Здесь же работает принцип соразмерности: объём собираемых данных должен соответствовать заявленной цели. Если цель — перезвонить по заявке, паспортные данные в форме лишние — и как поле, и как строка в уведомлении.
Способы обработки и меры защиты
Способы описываются набором действий: сбор, запись, систематизация, накопление, хранение, уточнение, использование, передача, удаление. Отдельно отмечается, ведётся ли обработка с использованием средств автоматизации и передаются ли данные третьим лицам — например, сервису рассылок или CRM.
Меры защиты — раздел, который пугает больше всего, хотя от небольшой компании не ждут описания криптографии. Обычно достаточно перечислить то, что действительно сделано: назначен ответственный, утверждена политика обработки, издан приказ, определён круг лиц с доступом, ведётся учёт носителей, используется антивирус и разграничение прав, есть резервное копирование.
Важно: перечисляйте то, что есть. Уведомление — это заявление о фактах.
Как подать
Основной путь — электронная форма на портале персональных данных Роскомнадзора. Вы заполняете поля онлайн, система формирует документ. Дальше два варианта: подписать усиленной квалифицированной электронной подписью и отправить сразу, либо распечатать, подписать и отправить почтой в территориальное управление.
Если электронной подписи нет, второй путь рабочий — просто дольше. Отслеживать статус можно в реестре операторов на том же портале; появление записи и есть подтверждение.
Что сделать на сайте после подачи
Уведомление — половина дела. На сайте должно быть:
- Политика обработки персональных данных — отдельная страница, доступная с любой страницы сайта.
- Согласие рядом с формой. С 1 сентября 2025 года согласие оформляется отдельно от других документов, которые подтверждает пользователь. То есть один чекбокс «согласен с политикой и офертой и хочу получать рассылку» больше не подходит — это разные согласия.
- Непредзаполненные галочки. Заранее проставленный чекбокс согласием не считается.
- Форма, которая не собирает лишнего. Каждое поле должно быть объяснимо через заявленную цель.
Первые три пункта — вопрос текста и вёрстки, на пару часов работы. Четвёртый обычно оказывается самым полезным: короткая форма и заявок приносит больше. Об этом подробнее — в статье «Конверсия без давления».
Если нужно привести формы и политику на сайте в порядок, это доработка раздела по актуальному прайсу по нашему прайсу; отдельная проверка сайта целиком входит в технический аудит.
Оригинал опубликован на verstalabs.ru.