Уведомление Роскомнадзора в 2026 году: какие данные подготовить и как составить карту обработки

Павел Шабанов  |  📅 Актуализировано: 9 ноября 2026 года  |  ⏱️ Время чтения: 13 мин.

До подачи уведомления в Роскомнадзор составь карту обработки персональных данных: откуда поступают сведения, зачем они нужны, на каком основании используются, где хранятся и кому передаются. Разберём, какие данные подготовить для уведомления и как собрать их в карту обработки — от источников и целей до оснований, мест хранения баз и трансграничной передачи. Эти ответы помогут заполнить форму по фактическим процессам, а не по случайному образцу. Начни с сайта, CRM, кадров, бухгалтерии и подрядчиков — не только с формы заявки.

Кто обязан уведомить Роскомнадзор?

Уведомление подаёт оператор — тот, кто определяет цели обработки персональных данных, состав сведений и действия с ними; по общему правилу уведомить РКН нужно до начала обработки.

Статус возникает раньше записи в реестре

Компания нанимает работников, принимает заявки покупателей, хранит телефоны заказчиков — и уже обрабатывает персональные данные. Запись в реестре операторов ПДн не создаёт этот статус: он связан с реальной деятельностью. Поэтому вопрос «Мы зарегистрированы как оператор?» лучше разделить надвое: обрабатываешь ли ты данные и выполнил ли обязанность уведомить регулятора. Учебный пример. Оптовая компания продаёт только организациям, но менеджеры сохраняют ФИО, должности и рабочие телефоны закупщиков. Данные контрагента-юрлица и сведения о его сотруднике — разные вещи; B2B-модель не выводит контакты физических лиц из-под требований 152-ФЗ.

Исключение нужно подтвердить

В части 2 статьи 22 предусмотрены исключения из обязанности уведомлять. Но отсутствие сайта, небольшой оборот или работа без наёмных сотрудников сами по себе не доказывают, что исключение подходит твоему бизнесу. Перед подготовкой первичного уведомления проверь существующую запись по ИНН. Возможно, уведомление уже подавал бухгалтер или прежний юрист — тогда сначала нужна сверка сведений, а не повторная регистрация.

Действующая ч. 2 ст. 22 сохраняет три группы исключений:

• данные в определённых государственных информационных системах, созданных для безопасности государства и общественного порядка;
• обработка исключительно без средств автоматизации;
• определённая обработка в сфере транспортной безопасности.

Не переноси в современные рекомендации старые исключения для кадровой обработки или обработки в связи с договором: соответствующие пункты ч. 2 ст. 22 утратили силу с 1 сентября 2022 года.

Инвентаризация источников данных

Собери все точки получения персональных данных и проследи, куда сведения уходят после первого контакта. Проверять только сайт недостаточно: карта должна охватывать также кадровые процессы, CRM, документы и используемые сервисы.

Пройди путь заявки

Для первичного обхода используй такой список:

• Сайт: формы заявки, обратного звонка, регистрации и онлайн-записи
• Продажи: почта, телефония, мессенджеры, CRM и выгрузки менеджеров
• Маркетинг: рекламные формы, мероприятия, подписки и сервисы рассылок
• HR: резюме, анкеты, кадровая система и бумажные документы
• Бухгалтерия: договоры с физлицами, выплаты, отчётность
• Инфраструктура: облачные папки, резервные копии, интеграции и доступы подрядчиков

Это рабочий маршрут проверки, а не обязательный государственный классификатор.

Ищи незаметные копии

Учебный пример. Клиент оставляет телефон на сайте. Заявка одновременно попадает в почту, CRM и чат менеджеров, а затем — в таблицу руководителя. Для карты важны все эти переходы. Хранение, копирование, использование и предоставление доступа входят в обработку персональных данных, даже если сотрудник объясняет действие словами «просто переслал». Попроси команду показать процесс на тестовой заявке. Не ограничивайся ответом «у нас всё в CRM»: рядом нередко обнаруживается ещё одна таблица, которая давно живёт собственной жизнью.

Как связать цели и категории?

Для каждой цели отдельно укажи, чьи данные используются, какие именно сведения нужны и какие действия с ними выполняются. В форме РКН для нескольких целей предусмотрены отдельные блоки.

Цель — это результат

Фраза «обработка персональных данных» не объясняет, зачем бизнесу информация. Сформулируй конкретный результат: заключить договор, исполнить заказ, вести кадровый учёт, подобрать работника или направлять рекламные предложения. РКН рекомендует отражать цели фактической деятельности. Если подходящего варианта нет в списке формы, можно выбрать «иная» и описать одну конкретную цель. Не объединяй всё формулировкой «ведение деятельности компании». Она удобна своей всеядностью. Именно поэтому почти бесполезна для проверки.

Раздели людей и сведения

Категории субъектов — это группы людей: работники, соискатели, покупатели-физлица, представители контрагентов. Категории и перечни данных описывают информацию: ФИО, телефон, адрес доставки, сведения об образовании. Проверяй необходимый минимум. Для обратного звонка объяснить необходимость телефона просто; необходимость паспортного скана — уже значительно сложнее. Отдельно отметь сведения о здоровье и другие специальные категории, а также возможную биометрию. Не присваивай категорию автоматически по названию файла: значение имеют содержание информации и способ её использования.

«Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки».

Правовой ориентир: Федеральный закон № 152-ФЗ, часть 5 статьи 5.

Правовые основания обработки

Подбери основание под конкретную цель: закон, договор, согласие или другой применимый случай из статьи 6; одно универсальное согласие не заменяет эту работу.

Не собирай согласия «на всякий случай»

Для необходимых действий по исполнению договора с покупателем основание может следовать из договора. Для выполнения обязанностей работодателя — из законодательства; для рекламного использования контактов потребуется отдельная проверка оснований и согласий. При этом договор между двумя компаниями не превращает автоматически любую обработку данных их сотрудников в исполнение договора с субъектом. Проверь роль человека и конкретное основание по статье 6. Записывай в карте не просто «152-ФЗ», а применимый случай и подтверждающий документ. Например: договор с физлицом для оформления заказа либо конкретные обязанности работодателя для кадрового учёта.

Отдели согласие от других документов

С 1 сентября 2025 года согласие на обработку ПДн должно оформляться отдельно от иной информации и документов, которые человек подтверждает или подписывает. Политика обработки данных объясняет правила, но не подменяет согласие там, где оно необходимо. Для электронной формы дополнительно продумай, как доказать действие пользователя и сохранить действовавший текст согласия. Учебный пример. Покупатель сообщает телефон для доставки. Позже магазин решает отправлять на него рекламные предложения. Новая цель требует самостоятельной проверки: контакт для исполнения заказа не даёт автоматического разрешения на маркетинг.

Где находятся базы и подрядчики?

Установи фактическое местонахождение баз данных и роль каждого получателя: название CRM или адрес сайта не заменяют сведения о размещении инфраструктуры. Форма уведомления предусматривает информацию о базах и организациях, ответственных за хранение.

Запроси сведения о размещении

Для каждого сервиса зафиксируй:

• Наименование поставщика и договор
• Назначение системы и состав данных
• Страну и адрес размещения соответствующей базы
• Наличие резервных копий и дополнительных хранилищ
• Доступ технической поддержки и других привлечённых лиц
• Документ, которым подтверждены ответы

Не подставляй юридический адрес провайдера вместо адреса размещения базы без проверки. Это могут быть разные места. При сборе ПДн российских граждан действует ограничение, установленное частью 5 статьи 18: нельзя выполнять перечисленные в ней операции с использованием зарубежных баз, кроме прямо предусмотренных законом исключений. Согласие клиента не отменяет требования локализации. Схема «сначала запись в зарубежную базу, затем копирование в российскую» сама по себе не обеспечивает соблюдение требования локализации.

Разбери роль подрядчика

Не каждый получатель данных работает по поручению оператора. Один сервис обрабатывает сведения для твоей цели, другой самостоятельно определяет свои цели и основания. Если обработка поручена другому лицу, договор должен охватывать требования части 3 статьи 6: состав данных, действия, цели, конфиденциальность, безопасность и взаимодействие при инцидентах. Практический смысл хорошо виден в постановлении Верховного суда от 21 января 2026 года № 5-АД25-119-К2. Суд отклонил довод Минтруда о невиновности из-за проникновения злоумышленника через инфраструктуру подрядчика: доказательств необходимых мер со стороны оператора не хватило. Это решение 2026 года по инциденту 2023 года, а не пример назначения новых штрафов за утечки.

Таблица «Карта обработки ПДн»

Веди карту по процессам, а не только по программам: одна CRM может обслуживать несколько целей с разными основаниями и сроками. Такой подход помогает сопоставить фактическую обработку, документы и уведомление.

Учебный образец карты

Ниже — структура для заполнения, не готовые сведения для копирования в уведомление. Записи об основаниях и сроках нужно проверить применительно к своему бизнесу.

Карта обработки ПДн: учебный образец для заполнения. Структура подготовлена по требованиям статей 5, 6, 18.1 и 22 Федерального закона № 152-ФЗ и инструкции РКН по заполнению уведомления. Закон не требует вести документ именно с названием «Карта обработки ПДн» — таблица помогает собрать и согласовать сведения для выполнения установленных обязанностей.

Процесс и источник	Цель и субъекты	Сведения	Основание для проверки	Системы и получатели	Срок и завершение
Заказ услуги через сайт	Заключение договора; заказчики-физлица	Имя, телефон, содержание обращения	Заключение договора по инициативе субъекта — если сценарий соответствует этому основанию	Сайт, почта, CRM; установить провайдеров и размещение баз	Разделить срок обработки обращения и хранения договорных документов
Контакт закупщика в CRM	Работа с представителем контрагента	ФИО, должность, рабочие контакты	Определить применимый случай статьи 6 и подтверждающие обстоятельства	CRM, почта, телефония; проверить интеграторов	Установить критерий актуальности контакта и порядок удаления
Резюме кандидата	Подбор персонала; соискатели	Контакты, образование, опыт	Проверить согласие и допустимые условия обработки	Почта, HR-система, кадровое агентство	Разделить текущий подбор и кадровый резерв
Кадровые документы	Трудовые отношения и обязательный учёт; работники	Реквизиты документов, сведения для выплат и учёта	Применимые нормы трудового и другого законодательства	Кадровая система, бухгалтерия, архив; проверить аутсорсинг	Применить сроки для соответствующих документов
Подписка на рекламу	Рекламные сообщения; подписчики	Имя, email или телефон, сведения о согласии	Проверить согласия на обработку и рекламу	CRM, сервис рассылок, подключённые интеграции	Определить обработку отзыва и прекращение рассылки

Добавь доказательства и владельца

К рабочей версии таблицы добавь ответственного за процесс, ссылку на документ-основание, подтверждение размещения базы и выявленный пробел. Отдельно перечисли операции: сбор, запись, хранение, использование, предоставление доступа, удаление. В форме РКН действия и способы обработки указываются по каждой цели. Если в ячейке написано «уточнить у IT», это нормальный промежуточный результат. Но не финальная информация для подачи. Если карта заполнена, но есть сомнения в основаниях, адресах баз или роли подрядчиков, используй её как основу экспресс-проверки данных для уведомления. Для обсуждения достаточно описаний процессов — клиентскую базу передавать не нужно.

Когда нужна трансграничная проверка?

Проверь трансграничную передачу, если сведения могут поступать иностранному получателю за пределами России, включая передачу через подключённые сервисы. Общее уведомление об обработке не заменяет отдельную процедуру по статье 12.

Посмотри за пределы основной системы

Включи в проверку иностранные сервисы рассылок, облачные документы, аналитику, поддержку, интеграционные платформы и ИИ-инструменты. Не делай вывод только по языку интерфейса или происхождению бренда. Установи получателя, страну, состав сведений и фактическую схему передачи. Особенно внимательно проверь автоматизацию: форма может сохранять заявку в российской CRM, но параллельно отправлять её через дополнительный сервис. На схеме всё красиво. В карте — ещё один получатель.

Раздели две обязанности

Передача за рубеж и локализация — разные вопросы. Выполнение одного требования не означает автоматического выполнения другого. Если установлено, что процесс включает трансграничную передачу, оператор по общему правилу обязан до её начала направить отдельное уведомление в РКН. До подачи необходимо получить предусмотренные ст. 12 сведения об иностранном получателе и проверить применимые ограничения. Порядок начала передачи зависит, в частности, от государства назначения и предусмотренных законом ограничений. Для проверки используй действующую статью 12 закона № 152-ФЗ, а не старый ответ из форума.

Ответственный, сроки и безопасность

До подачи проверь, кто отвечает за обработку, как установлены сроки хранения и какие меры защиты действительно работают. Эти сведения нужно согласовать с документами и фактическими настройками.

Назначь человека с полномочиями

Для организации предусмотрено назначение ответственного за организацию обработки ПДн. Его задача не сводится к подписи под уведомлением: нужны контроль требований, взаимодействие с работниками и работа с обращениями. Проверь приказ, обязанности, доступ к информации о процессах и возможность добиваться исправлений. Формальный ответственный без полномочий — удобная строка в документе, но слабый механизм управления. Не смешивай обязательность назначения с утверждением об отдельном универсальном штрафе «за отсутствие DPO». Квалификация нарушения требует анализа конкретных обстоятельств.

Подтверди сроки и меры

Для каждой цели запиши срок либо понятное условие завершения обработки. Договорные, кадровые, маркетинговые данные и резервные копии нельзя без разбора объединять правилом «храним бессрочно». Описание безопасности тоже должно соответствовать реальности: доступы, учётные записи, резервирование, обновления, обучение, контроль подрядчиков. РКН проверяет не только текст политики, но и процессы. Отдельно подготовь реагирование на инцидент: закон предусматривает первичное уведомление в течение 24 часов и сообщение о результатах внутреннего расследования в течение 72 часов с момента выявления соответствующего инцидента. Отсчёт начинается с выявления инцидента оператором, Роскомнадзором или иным заинтересованным лицом — 72 часа отсчитываются от выявления, а не после истечения первых 24 часов. Под инцидентом понимается установленный факт неправомерной или случайной передачи, предоставления, распространения либо несанкционированного доступа к персональным данным, повлекший нарушение прав субъектов, а не любой технический сбой.

Какие штрафы действуют в 2026 году?

За нарушение обязанности уведомить о намерении обрабатывать ПДн коммерческой организации или ИП грозит от 100 000 до 300 000 рублей; другие нарушения оцениваются отдельно.

Не смешивай разные составы

Отсутствие основания, нарушение требований к письменному согласию и утечка — не одно правонарушение. Особенно опасно переносить штраф за отсутствие обязательного письменного согласия на любую ошибку в интернет-чекбоксе.

Ориентиры ответственности для коммерческих организаций по статье 13.11 КоАП РФ на 9 ноября 2026 года. Приведены отдельные составы; условия применения и примечания проверяются по тексту статьи.

Нарушение	Норма	Размер штрафа
Неисполнение или несвоевременное исполнение обязанности уведомить о намерении обрабатывать ПДн	Часть 10	100 000–300 000 рублей.
Обработка в непредусмотренных законом случаях либо несовместимая с целями сбора	Часть 1	150 000–300 000 рублей.
Отсутствие согласия в письменной форме, когда такая форма обязательна, либо нарушение требований к его содержанию	Часть 2	300 000–700 000 рублей.
Утечка обычных ПДн при достижении установленных порогов по субъектам и/или идентификаторам	Части 12–14	3–5 млн, 5–10 млн или 10–15 млн рублей — в зависимости от масштаба.
Повторное нарушение, предусмотренное частями 12–14	Часть 15	1–3% установленной законом выручки, минимум 20 млн, максимум 500 млн рублей.

Сравнение режимов 2025 и 2026

Контрольная сверка перед подачей

Перед отправкой сопоставь карту обработки, документы, настройки сервисов и сведения уведомления: расхождения нужно выявить до подачи, а не после запроса РКН.

Пройди последовательность проверки

1. Проверь запись в реестре. Найди организацию или ИП по ИНН, сохрани текущие сведения.
2. Собери источники. Проверь сайт, продажи, HR, бухгалтерию и дополнительные сервисы.
3. Раздели цели. Для каждой укажи субъектов, сведения, операции и способы обработки.
4. Подтверди основания. Найди договоры, нормы закона, согласия и доказательства их получения.
5. Установи размещение баз. Получи подтверждения от IT и поставщиков.
6. Проверь подрядчиков. Определи роли, доступы, договорные условия и возможную трансграничную передачу.
7. Сверь защиту и сроки. Убери из проекта заявления о мерах, которые ещё не внедрены.
8. Подготовь уведомление. Перенеси проверенные сведения в актуальную форму и сохрани подтверждение отправки.

Для подачи используй официальную форму Роскомнадзора. Портал предусматривает электронные варианты через ЕСИА или УКЭП, а также бумажный способ.

Не подменяй фактическую дату

Если обработка уже началась, указывай фактическую дату начала, а не удобную будущую. РКН прямо предусматривает фактическую дату в инструкции по заполнению; поздняя подача не превращает прошлый период в своевременное уведомление. После подачи поддерживай сведения в актуальном состоянии. При изменении указанных сведений уведомление об изменениях направляют не позднее 15-го числа следующего месяца — этот порядок приведён в инструкции РКН. При прекращении обработки оператор уведомляет РКН в течение десяти рабочих дней с даты прекращения. Первичную карту небольшого бизнеса разумно собрать самостоятельно: команда лучше знает свои реальные маршруты данных. Подрядчика полезно подключить там, где начинаются спорные основания, неизвестное размещение баз или зарубежные передачи. Не покупай заполнение формы вместо проверки процессов. Начни с одной заявки и проследи её до удаления. Получить экспресс-проверку данных для уведомления. Подготовь карту, перечень сервисов и существующую запись в реестре, если она есть. Отдельно выпиши сомнения: основания, категории, базы, подрядчики, трансграничная передача. Для первичного разбора используй обезличенные описания — без паспортов, резюме и выгрузки клиентской базы.

Часто задаваемые вопросы

Нужно ли уведомление ИП без сотрудников?

Отсутствие работников не освобождает от уведомления автоматически. Если ИП обрабатывает данные клиентов или других физических лиц, нужно проверить обязанность по статье 22 и применимость исключений.

Что указать, если используется несколько CRM?

Опиши все относящиеся к уведомлению процессы и базы, а не только основную CRM. Сначала установи цели, сведения и размещение систем; затем перенеси информацию в соответствующие разделы формы.

Можно ли написать одну цель «ведение бизнеса»?

Лучше разделить конкретные цели фактической деятельности. Форма РКН позволяет добавить несколько целей и указать для каждой категории, основания, действия и способы обработки.

Нужно ли согласие каждого покупателя?

Не всегда: обработка необходимых данных может опираться на договор или закон. Но рекламное использование контакта нужно проверять отдельно; покупка сама по себе не даёт универсального разрешения на рассылки.

Можно ли подать уведомление без адресов баз?

Не заполняй сведения о размещении баз предположениями. Запроси подтверждение у поставщика или администратора: форма предусматривает местонахождение базы и информацию об ответственном за хранение.

Компания в реестре — значит, требования выполнены?

Нет, запись в реестре не заменяет проверку законности обработки и безопасности. Цели, основания, согласия, сроки, подрядчики и фактические процессы остаются самостоятельными предметами контроля.

Читайте также — темы для продолжения

• Уведомление Роскомнадзора об обработке ПДн: пошаговая инструкция для компании
• Реестр операторов ПДн: как проверить запись и обновить сведения
• CRM и персональные данные: основания, доступы и сроки хранения