Когда ИП становится оператором персональных данных и обязан уведомить РКН
Вопрос почти всегда звучит как «когда мне регистрироваться оператором», и в самой формулировке есть ошибка. Оператором не регистрируют, им становятся сами, когда начинают определять цели обработки данных. Уведомление в Роскомнадзор не заявка на статус. Им вы сообщаете, что уже стали оператором.
Оператором становятся без регистрации
«Зарегистрироваться оператором» нельзя, потому что оператором не назначают и не признают. Им становятся в тот момент, когда начинают определять цели и состав обрабатываемых данных.
Статья 3 152-ФЗ называет оператором лицо, которое организует и (или) осуществляет обработку персональных данных и определяет ее цели. Заявление, одобрение или включение в список для этого не нужны. Уведомлением в Роскомнадзор вы сообщаете о статусе, который у вас уже есть.
Мысль «я пока не оператор, потому что не подавал уведомление» неверна с точностью до наоборот. Вы уже оператор, а неподанное уведомление само по себе нарушение по ч. 10 ст. 13.11 КоАП.
Когда возникает обязанность уведомить
Обработкой считается почти любое действие с данными, например сбор, запись, хранение, уточнение, использование, передача и удаление. У ИП обязанность наступает в первый из этих моментов, смотря что случится раньше:
- На сайте появилась форма, которая собирает имя, телефон или почту. Хватит и одной формы обратной связи.
- Вы завели базу клиентов в CRM, таблице или мессенджере, то есть записи о заказах с контактами.
- Подписали первый трудовой договор, и у вас появились кадровые данные работника.
- Запустили рассылку по базе адресов почты.
- Поставили счетчик аналитики, который собирает идентификаторы посетителей.
Уведомление подают до начала обработки (ч. 1 ст. 22 152-ФЗ). Отдельного срока для тех, кто опоздал, в законе нет, и это не льгота. Если обработка уже идет, а уведомления нет, нарушение длится все это время.
Исключения почти не подходят бизнесу
С 1 сентября 2022 года (поправки ФЗ-266) оснований не уведомлять осталось мало, и предпринимателю на практике может подойти только одно.
| Исключение | Подходит ли ИП с сайтом |
|---|---|
| Обработка без средств автоматизации, только на бумаге | Нет, если есть сайт, CRM, таблица или почта. Компьютер уже средство автоматизации |
| Обработка для личных и семейных нужд. Это не исключение, на нее закон вообще не распространяется | Нет, коммерческая деятельность к личным нуждам не относится |
| Безопасность государства, общественный порядок, транспортная безопасность | Нет |
Блокнот с записями клиентов формально под исключение попадает, но только пока те же контакты не окажутся в телефоне, почте или таблице. У действующего бизнеса это исключение почти никогда не работает.
Что подать и куда
Уведомление подают через портал pd.rkn.gov.ru в электронной форме или на бумаге в территориальный орган РКН. ИП понадобятся ФИО, двенадцатизначный ИНН, ОГРНИП, адрес, почта, цели обработки, категории данных и субъектов, сведения о мерах защиты. Как заполнить форму по шагам, описано в статье «Как подать уведомление в Роскомнадзор».
Если сайт использует зарубежные сервисы, например аналитику, сервис рассылок, CRM или шрифты с иностранного CDN, нужно второе, самостоятельное уведомление о намерении осуществлять трансграничную передачу. Основное его не заменяет. С 26 июля 2026 года (ФЗ-265) адекватность страны определяет только перечень Роскомнадзора. В страны из перечня передачу можно начинать сразу после подачи уведомления, в остальные только после того, как истекут 10 рабочих дней на рассмотрение уведомления (ч. 11 ст. 12 152-ФЗ). Разрешений РКН не выдает. США в перечень не входят.
Штраф за неподанное уведомление
| Нарушение | Самозанятый | ИП | Организация |
|---|---|---|---|
| Не уведомил РКН о начале обработки ст. 13.11 ч. 10 КоАП |
5000-10 000 ₽ | 100 000-300 000 ₽ | 100 000-300 000 ₽ |
Суммы приведены по ст. 13.11 КоАП в редакции ФЗ-420, которая действует с 30 мая 2025 года. По ч. 10 ИП отвечает как организация, это прямо сказано в примечании 1 к статье. Для самозанятого сумма небольшая, но риск в другом. Любое обращение в РКН, например жалоба клиента или проверка сайта, вскрывает сразу все нарушения. Отсутствие политики (ч. 3), обработка без законного основания, например счетчики без согласия (ч. 1, для ИП 50 000-100 000 ₽), и неуведомление считаются отдельными составами. Если их нашли за одну проверку РКН, назначат один штраф по самой строгой части. Для ИП это неуведомление, 100 000-300 000 ₽ (ч. 5 и 6 ст. 4.4 КоАП).
Как проверить, подано ли уведомление
Себя в реестре операторов можно найти поиском на портале РКН по ИНН, предприниматели в открытом поиске видны. Сведения вносят в реестр в течение 30 дней после подачи уведомления (ч. 4 ст. 22 152-ФЗ), поэтому сразу после подачи записи может не быть.
Если за это время запись не появилась, проверьте статус по входящему номеру обращения, полученному при подаче, или запросом в территориальный орган. Роскомнадзор мог попросить уточнить сведения до внесения в реестр (ч. 6 ст. 22).
Что делать, если обработка уже идет, а уведомление не подано
Это частая ситуация, и ее можно исправить в таком порядке:
- Подайте первичное уведомление сразу. Длящееся нарушение прекращается с подачей.
- Проверьте, что публичная часть на месте. Политика опубликована и открывается по постоянной ссылке, у форм есть ссылка на нее, а галочка согласия стоит там, где нужно согласие, например у рассылки.
- Если используете зарубежные сервисы, подайте отдельное уведомление о трансграничной передаче.
- Соберите внутренние документы, то есть приказ о назначении ответственного, положение о защите ПДн и перечень обрабатываемых данных. При проверке запрашивают именно их, а на сайте их нет.
Начинайте с уведомления, документы потом. Сама подача уведомления проверку не вызывает, а жалоба клиента при неподанном уведомлении вполне может.
Уведомление в РКН и документы для ИП
Заполните анкету и получите уведомление в Роскомнадзор с вашими реквизитами, политику конфиденциальности и согласие, а к ним инструкцию по подаче. От 590 ₽.
Получить документы — от 590 ₽Часто задаваемые вопросы
Автоматически, когда начинает определять цели и состав обрабатываемых данных. Для ИП это первый из таких моментов, например появление формы на сайте, база клиентов, первый трудовой договор, запуск рассылки или установка счетчика аналитики. Регистрация или одобрение для этого не нужны.
Формально обработка без средств автоматизации подпадает под исключение. Но оно перестает действовать, как только те же контакты попадают в телефон, почту, таблицу или CRM, потому что компьютер уже средство автоматизации. У действующего бизнеса с сайтом это исключение не работает.
Срок один, до начала обработки (ч. 1 ст. 22 152-ФЗ). Другого срока для тех, кто опоздал, закон не дает. Если обработка уже идет, а уведомления нет, нарушение длится все это время и прекращается только подачей. Штраф по ч. 10 ст. 13.11 КоАП для ИП 100 000-300 000 ₽, по этой части ИП отвечает как организация.
Сведения вносят в реестр в течение 30 дней после подачи уведомления (ч. 4 ст. 22 152-ФЗ), поэтому сразу после подачи записи может не быть. Если срок прошел, а записи нет, проверьте статус по входящему номеру обращения. Роскомнадзор мог запросить уточнение сведений (ч. 6 ст. 22). Предприниматели в открытом поиске по ИНН видны.
Нет, нужно второе, самостоятельное уведомление о намерении осуществлять трансграничную передачу. С 26 июля 2026 года адекватность страны определяет только перечень Роскомнадзора. В страны из перечня передачу можно начинать сразу после подачи, в остальные только после того, как истекут 10 рабочих дней на рассмотрение уведомления. Разрешений РКН не выдает, а США в перечень не входят.