Когда ИП становится оператором персональных данных и обязан уведомить РКН
Вопрос почти всегда звучит как «когда мне регистрироваться оператором» — и в самой формулировке заложено недоразумение. Оператором не регистрируют: им становятся автоматически в момент, когда начинают определять цели обработки данных. Уведомление в Роскомнадзор — не заявка на статус, а информирование о том, что вы им уже стали. Разбираю, в какой конкретно момент это происходит у ИП, какие исключения работают на практике и почему найти себя в реестре у вас не получится.
Оператор — это не статус, который получают, а факт, который наступает
Главное недоразумение в формулировке вопроса. «Зарегистрироваться оператором» нельзя, потому что оператором не назначают и не признают — им становятся автоматически в момент, когда начинают определять цели и состав обрабатываемых данных.
Статья 3 152-ФЗ определяет оператора как лицо, которое организует и (или) осуществляет обработку персональных данных и определяет цели обработки. Никакого заявления, одобрения или включения в список для этого не требуется. Уведомление в Роскомнадзор — не заявка на получение статуса, а информирование о том, что вы им уже стали.
Формулировка «я пока не оператор, потому что не подавал уведомление» неверна ровно наоборот: вы уже оператор, а неподанное уведомление — это самостоятельное нарушение по ст. 13.11 ч. 10 КоАП.
Момент, когда обязанность возникает
Обработка — это практически любое действие с данными: сбор, запись, хранение, уточнение, использование, передача, удаление. Для ИП обязанность наступает в первый же из следующих моментов, смотря что случится раньше:
- На сайте появилась форма, собирающая имя, телефон, email — даже одна форма обратной связи;
- завели базу клиентов в CRM, таблице или мессенджере — записи о заказах с контактами;
- подписали первый трудовой договор — кадровые данные работника;
- запустили рассылку — база email-адресов;
- поставили счётчик аналитики — идентификаторы посетителей.
Уведомление подаётся до начала обработки (ст. 22 152-ФЗ). Крайнего срока в законе нет, но это не льгота: если обработка уже идёт, а уведомление не подано, нарушение длится всё это время.
Исключения есть, но под бизнес они почти не подходят
С 1 сентября 2022 года (поправки ФЗ-266) перечень оснований не уведомлять сократился до узкого набора. Для предпринимателя практически применимо только одно.
| Исключение | Подходит ли ИП с сайтом |
|---|---|
| Обработка без средств автоматизации — только бумажные носители | Нет, если есть сайт, CRM, таблица или почта. Компьютер — уже средство автоматизации |
| Обработка для личных и семейных нужд, без распространения | Нет — коммерческая деятельность не личные нужды |
| Безопасность государства, общественный порядок, транспортная безопасность | Нет |
Бумажная запись клиентов в блокнот формально под исключение попадает — но ровно до момента, когда те же контакты окажутся в телефоне, почте или таблице. На практике у действующего бизнеса это исключение не работает.
Что подать и куда
Уведомление подаётся через портал pd.rkn.gov.ru в электронной форме или на бумаге в территориальный орган РКН. Для ИП понадобятся ФИО, ИНН (двенадцатизначный), ОГРНИП, адрес, email, перечень целей обработки, категории данных и субъектов, сведения о мерах защиты. Пошаговый разбор заполнения — в статье «Как подать уведомление в Роскомнадзор».
Если сайт использует зарубежные сервисы — аналитику, рассыльщик, CRM, шрифты с иностранного CDN — требуется второе, самостоятельное уведомление о намерении осуществлять трансграничную передачу. Оно не заменяется основным. С 26 июля 2026 года (ФЗ-265) адекватность страны определяется только перечнем Роскомнадзора: в страны из перечня передачу можно начинать сразу после подачи уведомления, в остальные — нужно дождаться решения РКН, срок рассмотрения 10 рабочих дней. США в перечень не входят.
Сколько стоит не уведомить
| Нарушение | Самозанятый | ИП | Организация |
|---|---|---|---|
| Не уведомил РКН о начале обработки ст. 13.11 ч. 10 КоАП |
5 000–10 000 ₽ | 30 000–50 000 ₽ | 100 000–300 000 ₽ |
Суммы — по ст. 13.11 КоАП в редакции ФЗ-420, действующей с 30 мая 2025 года. Само по себе неуведомление стоит недорого. Риск в другом: обращение в РКН по любому поводу — жалоба клиента, проверка сайта — вскрывает сразу весь набор. Отсутствие политики (ч. 3), ненадлежащее согласие (ч. 2, для ИП 100 000–300 000 ₽) и неуведомление считаются отдельными составами и складываются.
Как проверить, подано ли уведомление
Неочевидный момент, на котором спотыкаются почти все: найти себя в публичном реестре операторов у ИП не получится. Открытый поиск на портале РКН не отображает физических лиц и индивидуальных предпринимателей — у них двенадцатизначный ИНН, и такие записи в выдаче не показываются.
Это техническая особенность реестра, а не признак того, что уведомление не принято. Проверять статус нужно по входящему номеру обращения, полученному при подаче, или запросом в территориальный орган. Организацию с десятизначным ИНН в том же поиске найти можно — отсюда и путаница.
Что делать, если обработка уже идёт, а уведомление не подано
Ситуация массовая и не безнадёжная. Порядок действий:
- Подать первичное уведомление сейчас — крайнего срока в законе нет, а длящееся нарушение прекращается фактом подачи.
- Проверить, что публичная часть на месте: политика опубликована и доступна по постоянной ссылке, у форм отдельный чекбокс согласия.
- Если используются зарубежные сервисы — подать отдельное уведомление о трансграничной передаче.
- Собрать внутренние документы: приказ о назначении ответственного, положение о защите ПДн, перечень обрабатываемых данных. При проверке запрашивают именно их, а на сайте их нет.
Порядок именно такой: сначала уведомление, потом документы. Подача уведомления не влечёт автоматической проверки, а вот жалоба субъекта при отсутствии уведомления — вполне.
Уведомление в РКН и документы для ИП
Заполните анкету — получите заполненное уведомление в Роскомнадзор с вашими реквизитами, политику конфиденциальности и согласие. С инструкцией по подаче. От 590 ₽.
Получить документы — от 590 ₽Часто задаваемые вопросы
Автоматически, в момент начала определения целей и состава обрабатываемых данных. Для ИП это первый из моментов: появление формы на сайте, заведение базы клиентов, подписание первого трудового договора, запуск рассылки или установка счётчика аналитики. Никакой регистрации или одобрения для получения статуса не требуется.
Формально обработка без средств автоматизации подпадает под исключение. На практике оно перестаёт действовать, как только те же контакты попадают в телефон, почту, таблицу или CRM — компьютер является средством автоматизации. У действующего бизнеса с сайтом это исключение не работает.
Крайнего срока в законе нет — уведомление подаётся до начала обработки (ст. 22 152-ФЗ). Но это не отсрочка: если обработка уже идёт, а уведомление не подано, нарушение длится всё это время и прекращается только фактом подачи. Штраф по ст. 13.11 ч. 10 КоАП для ИП — 30 000–50 000 ₽.
Публичный поиск по реестру не отображает физических лиц и ИП: у них двенадцатизначный ИНН, такие записи в открытой выдаче не показываются. Это техническая особенность реестра, а не признак того, что уведомление не принято. Статус проверяется по входящему номеру обращения, полученному при подаче.
Нет, требуется второе, самостоятельное уведомление о намерении осуществлять трансграничную передачу. С 26 июля 2026 года адекватность страны определяется только перечнем Роскомнадзора: в страны из перечня передачу можно начинать сразу после подачи, в остальные — после решения РКН, срок рассмотрения 10 рабочих дней. США в перечень не входят.