Для подачи уведомления нужен не общий сайт ведомства, а [раздел электронных форм на портале персональных данных Роскомнадзора](https://pd.rkn.gov.ru/operators-registry/notification/form/). Там можно сформировать бумажный документ, подписать электронный документ усиленной квалифицированной электронной подписью или пройти авторизацию через ЕСИА — учётную запись Госуслуг.
Но правильный адрес решает только навигационную часть задачи. Уведомление должно описывать то, что компания действительно делает с данными посетителей: собирает контакты через формы и чат, передает их в CRM, записывает звонки, отправляет рассылки, хранит резервные копии и предоставляет доступ внешним обработчикам.
Материал актуализирован на 20 августа 2026 года и не заменяет юридическую консультацию. Перед подачей необходимо сверить формулировки с действующими редакциями нормативных актов и фактической архитектурой конкретного сайта.
Где бизнес теряет время: форму заполняют до инвентаризации сайта
Типичный ошибочный порядок выглядит так: на сайт устанавливают форму заявки, чат-виджет, квиз, аналитику и передачу лидов в CRM, а затем заполняют уведомление по найденному шаблону. В документе остается общая цель вроде «ведения хозяйственной деятельности», хотя фактически компания обрабатывает обращения, анализирует поведение посетителей и использует контакты для продаж.
Последствия проявляются позже. Приходится повторно разбирать интеграции, искать редакции согласий, выяснять местонахождение баз и подавать сообщение об изменении сведений. Если первоначальное уведомление отсутствовало или было направлено несвоевременно, для юридического лица предусмотрен штраф от 100 тыс. до 300 тыс. рублей; индивидуальные предприниматели по этой части отвечают как юридические лица — ч. 10 и примечание к ст. 13.11 КоАП РФ.
Массовая подача документов перед вступлением санкций уже показала цену откладывания. 30 мая 2025 года Роскомнадзор получил 390 тыс. уведомлений за сутки при обычной нагрузке 500–800 уведомлений в день. Число зарегистрированных уведомлений за месяц выросло с 970 тыс. до 1,28 млн. Это административная статистика ведомства, а не оценка рынка: она показывает, насколько резко растет нагрузка, когда бизнес начинает действовать непосредственно перед изменением ответственности.
Готовность определяет не запись в реестре, а матрица трёх доказательств
Главный практический вывод: факт отправки уведомления не доказывает законность каждого контакта в CRM.
Для контакта, который компания собирается использовать в продажах или маркетинге, должны одновременно сходиться три доказательства:
- Есть законное основание обработки персональных данных и возможность его подтвердить.
- Фактическая обработка контакта соответствует целям, категориям данных, операциям и системам, описанным в уведомлении Роскомнадзора.
- Если контакту направляют рекламу по сетям электросвязи, отдельно подтверждено предварительное согласие на рекламные сообщения.
Эту проверку удобно называть матрицей трёх доказательств. Ее задача — связать государственное уведомление не с абстрактным комплектом документов, а с конкретными контактами и маршрутами данных на сайте.
Готовность базы можно измерять долей контактов, для которых закрыты все применимые пункты матрицы. Если контакт не используется для рекламы, в третьем пункте должна быть зафиксирована блокировка рекламных коммуникаций, а не молчаливое предположение, что согласие не понадобится.
Портал Роскомнадзора, ЕСИА и бумажный документ: какой маршрут выбрать
Выбор происходит на одной странице форм Роскомнадзора. Госуслуги в этом процессе могут выступать способом авторизации через ЕСИА, поэтому искать случайную форму через общий поиск необязательно: безопаснее начинать с портала персональных данных.
| Маршрут | Что требуется | Чем заканчивается | Когда подходит |
|---|---|---|---|
| Портал Роскомнадзора → бумажный документ | Заполнить форму, скачать или распечатать документ, подписать уполномоченным лицом и направить в территориальный орган | Подача считается завершенной после поступления подписанного документа, а не после заполнения веб-формы | Нет технической возможности подписать электронный документ |
| Портал Роскомнадзора → усиленная квалифицированная электронная подпись | Действующая подпись уполномоченного лица и настроенное средство подписания | Подписанный электронный документ поступает в Роскомнадзор | В организации уже используется электронная подпись |
| Портал Роскомнадзора → ЕСИА | Подтвержденная учётная запись и право действовать от имени нужной организации или ИП | Электронное уведомление направляется после авторизации через Госуслуги | У заявителя настроен профиль организации и подтверждены полномочия |
Для юридического лица важно выбрать в ЕСИА именно роль организации. Вход в личный профиль физического лица сам по себе не подтверждает, что пользователь вправе направлять документ от имени компании.
Электронное заполнение без подписи или завершенной отправки нельзя считать подачей. Согласно ч. 3–6 ст. 22 закона № 152-ФЗ, уведомление направляется на бумаге либо в форме электронного документа и подписывается уполномоченным лицом.
Кто обязан уведомлять Роскомнадзор в 2026 году
Общее правило сформулировано в ч. 1 ст. 22 закона № 152-ФЗ: оператор уведомляет Роскомнадзор до начала обработки персональных данных.
Для обычной компании с сайтом это означает, что уведомление, как правило, требуется, если через форму, чат, личный кабинет, телефонию или аналитику собираются сведения, относящиеся к определенному или определяемому человеку.
В 2026 году в ч. 2 ст. 22 сохраняются три группы исключений:
- обработка данных в государственных информационных системах, созданных для защиты безопасности государства и общественного порядка;
- исключительно неавтоматизированная обработка в предусмотренном законодательством порядке;
- обработка в случаях, установленных законодательством о транспортной безопасности.
Прежние исключения для кадровых данных и сведений, используемых только для исполнения договора, были отменены. Поэтому наличие только работников или клиентов по договорам больше не даёт общего основания не уведомлять ведомство.
Если сайт уже собирает данные, а уведомление не подано, формулировка «до начала обработки» формально уже нарушена. Подача документа позже не меняет прошедшую дату, но дальнейшее бездействие увеличивает период несоответствия. В такой ситуации стоит без промедления провести инвентаризацию, подготовить достоверное уведомление и отдельно оценить последствия просрочки с профильным юристом.
Что собрать до открытия электронной формы
Заполнение начинается не с реквизитов, а с карты обработки. Для подготовки нужны:
- полное и сокращенное наименование, ИНН, ОГРН, юридический и почтовый адреса;
- сведения об уполномоченном лице и ответственном за организацию обработки персональных данных;
- перечень целей обработки;
- категории субъектов для каждой цели;
- точный состав данных по каждой категории субъектов;
- правовое основание по каждой цели;
- перечень операций с данными и способ обработки;
- дата начала обработки и условие её прекращения;
- адреса баз данных и подтверждение их нахождения в России;
- сведения о внешних обработчиках и договорах поручения;
- информация о трансграничной передаче;
- описание организационных и технических мер защиты;
- перечень форм, виджетов, счетчиков, CRM-интеграций, телефонии, рассылок, журналов и резервных копий.
С 1 июля 2025 года при сборе персональных данных граждан России запись, систематизация, накопление, хранение, уточнение и извлечение через базы за пределами РФ запрещены, кроме прямо предусмотренных законом случаев — ч. 5 ст. 18 закона № 152-ФЗ. Для юридических лиц штраф за нарушение требования составляет от 1 млн до 6 млн рублей, а при повторности — от 6 млн до 18 млн рублей по ч. 8–9 ст. 13.11 КоАП РФ.
Подключение внешнего исполнителя не переносит на него статус оператора автоматически. В поручении на обработку необходимо определить состав данных, операции, цели, конфиденциальность, меры защиты и порядок сообщения об инцидентах — ч. 3 ст. 6 закона № 152-ФЗ.
Заполнение уведомления экран за экраном
Актуальные формы первоначального уведомления, сообщения об изменениях и уведомления о прекращении утверждены приказом Роскомнадзора от 28 октября 2022 года № 180.
Практический порядок подачи выглядит так:
- Откройте страницу выбора формы.
- Выберите первоначальное уведомление, если сведения об операторе ещё не внесены в реестр.
- Выберите способ направления: бумажный документ, электронная подпись или ЕСИА.
- Укажите территориальный орган по месту регистрации оператора и заполните реквизиты.
- Добавьте цели обработки. Каждая самостоятельная цель описывается отдельным блоком, а не общей фразой для всего сайта.
- Для каждой цели укажите категории субъектов, состав данных, правовые основания, операции и способы обработки.
- Заполните сведения об информационных системах, местонахождении баз, мерах защиты, ответственном лице и трансграничной передаче.
- Сверьте сформированный документ с картой сайта и договорными отношениями с обработчиками.
- Подпишите и направьте документ выбранным способом.
- Сохраните отправленную редакцию, подтверждение подачи и дату отправки.
- После обработки заявления проверьте организацию в реестре операторов персональных данных.
Что писать в полях компании с формой, чатом и CRM
Формулировки ниже — рабочие ориентиры, а не готовый юридический шаблон. Их нужно адаптировать под фактические процессы, документы и основания конкретной компании.
| Поле уведомления | Что проверить на сайте | Рабочий подход к формулировке |
|---|---|---|
| Цель обработки | Зачем компания получает контакт | Разделять обработку обращений, подготовку предложения, исполнение договора, поддержку, ведение личного кабинета и рекламные коммуникации, если это самостоятельные процессы |
| Правовое основание | На чем основана каждая операция | Указывать конкретную норму закона, договор или согласие, применимые к цели; не вставлять перечень всех известных нормативных актов без связи с процессом |
| Категории субъектов | Чьи данные поступают | Посетители сайта, лица, направившие обращение, потенциальные клиенты, клиенты, представители контрагентов, подписчики, пользователи личного кабинета — только реально существующие категории |
| Категории данных | Какие поля, сообщения и идентификаторы собираются | Имя, телефон, email, организация, должность, содержание обращения, данные учётной записи и технические идентификаторы — только если они действительно собираются и относятся к человеку |
| Операции | Что происходит после отправки формы | Сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача или предоставление доступа, блокирование, удаление и уничтожение — отмечать фактические операции |
| Способ обработки | Какие системы задействованы | Автоматизированный, неавтоматизированный или смешанный способ; передача по внутренней сети и через интернет — по реальной архитектуре |
| Дата начала | Когда началась или начнется обработка | Использовать документально подтверждаемую фактическую дату, не подменяя её датой заполнения уведомления |
| Условие прекращения | Когда цель перестает действовать | Достижение цели, истечение установленного срока хранения, отзыв согласия при отсутствии другого основания, прекращение договора или деятельности оператора — применимое условие нужно определить заранее |
| Ответственный | Кто организует обработку | Указать назначенное лицо и действующие контакты; назначение должно подтверждаться внутренним документом |
| Местонахождение баз | Где выполняются запись и хранение | Зафиксировать страну и адрес размещения базы; отдельно проверить CRM, хостинг, резервные копии, журналы и сервисы рассылок |
| Трансграничная передача | Получает ли доступ зарубежная инфраструктура или получатель | Не путать с локализацией. При наличии передачи применяются отдельное уведомление и требования ст. 12 закона № 152-ФЗ |
| Меры защиты | Что действительно внедрено | Перечислять существующие организационные и технические меры, а не желаемое состояние |
Уведомление составляют не «на сайт целиком», а по целям обработки. Например, форма запроса коммерческого предложения и подписка на рекламную рассылку могут собирать одинаковый email, но цели, основания, сроки и доказательства согласия у них различаются.
Нажимая «Оставить заявку», вы соглашаетесь с политикой обработки персональных данных.
Чат, квиз, коллтрекинг и резервные копии: что чаще всего забывают
По наблюдениям при внедрении инструментов на сайты, расхождение обычно возникает из-за разделения ответственности. Маркетолог подключает новый канал сбора, разработчик передает данные в CRM, а уведомление остается в прежней редакции.
При инвентаризации нужно пройти не только основные формы, но и следующие точки:
- онлайн-чат и AI-виджет;
- всплывающие окна и формы обратного звонка;
- квизы и многошаговые анкеты;
- формы скачивания прайса, каталога или презентации;
- подписка на рассылку;
- регистрация и личный кабинет;
- перехват заявок и передача данных в CRM;
- телефония, запись разговоров и коллтрекинг;
- счетчики аналитики и рекламные пиксели;
- журналы событий и технические логи;
- резервные копии;
- рассылки и автоматические цепочки сообщений;
- доступ интегратора, агентства, хостинга или другого обработчика.
Начать техническую инвентаризацию можно с карты всех разборов интеграций с CRM и внешними системами, а источники и дальнейшее использование лидов сопоставить с аналитикой диалогов и источников заявок.
Конверсионный инструмент не становится правомерным только потому, что он увеличивает число обращений. При оценке форм и виджетов на сайте и их влияния на конверсию заявок нужно одновременно проверять текст согласия, маршрут данных, место хранения и отражение процесса в уведомлении.
После отправки: реестр, изменения и прекращение обработки
Роскомнадзор вносит сведения в реестр в течение 30 дней с даты поступления уведомления. Плата и государственная пошлина за рассмотрение не взимаются — ч. 4–5 ст. 22 закона № 152-ФЗ.
После подачи необходимо:
- сохранить подписанную версию уведомления и подтверждение отправки;
- проверить организацию по ИНН или наименованию в публичном реестре операторов;
- сопоставить опубликованные сведения с отправленным документом;
- устранить замечания, если ведомство запросит уточнение неполных или недостоверных сведений;
- включить проверку уведомления в процесс согласования изменений сайта.
Если изменились цели, категории субъектов или данных, правовые основания, операции, сведения об обработчиках, местонахождении баз, трансграничной передаче либо другие сведения реестра, нужно направить сообщение об изменениях не позднее 15-го числа месяца, следующего за месяцем изменения.
Если оператор полностью прекращает обработку персональных данных, уведомление о прекращении направляется в течение 10 рабочих дней. Роскомнадзор исключает оператора из реестра в течение 30 дней — ч. 7 ст. 22 закона № 152-ФЗ.
Прекращение отдельной рассылки или отключение одной формы не всегда означает прекращение всей обработки оператором. Если остаются сотрудники, клиенты, договоры, архивы или другие цели, обычно требуется актуализация сведений, а не исключение организации из реестра.
Что это значит для бизнеса: бесплатная подача не означает нулевую стоимость
Государственная часть постановки на учёт бесплатна. Фактическая стоимость складывается иначе:
Стоимость постановки на учёт = часы инвентаризации × внутренняя ставка + часы юриста и специалиста по безопасности × их ставки + стоимость устранения найденных разрывов.
Достоверного публичного ориентира по средней трудоемкости и коммерческой цене этой работы за 2025–2026 годы нет. Поэтому обещание «зарегистрировать за стандартное количество часов» без изучения сайта, CRM и договоров не является надёжным расчётом.
Для сценарной оценки можно использовать формулу:
Ожидаемый регуляторный риск = вероятность выявления × возможный штраф + вероятность инцидента × расходы на реагирование, простой, уведомление субъектов и возможный штраф.
Для юридического лица базовые диапазоны включают:
| Событие | Возможная санкция по действующей редакции КоАП РФ |
|---|---|
| Отсутствие или несвоевременная подача первоначального уведомления | 100–300 тыс. рублей |
| Нарушение требований к обязательному письменному согласию | До 700 тыс. рублей |
| Несообщение об инциденте в установленные сроки | 1–3 млн рублей |
| Первичная утечка в зависимости от числа субъектов и идентификаторов | 3–15 млн рублей |
| Повторная утечка | 1–3% выручки, минимум 20 млн и максимум 500 млн рублей |
Диапазоны установлены ст. 13.11 КоАП РФ. Они не означают, что любой дефект уведомления автоматически приведет к максимальному штрафу: состав нарушения и обстоятельства оцениваются отдельно.
При инциденте первое уведомление Роскомнадзору направляют в течение 24 часов, а результаты внутреннего расследования — в течение 72 часов согласно ч. 3.1 ст. 21 закона № 152-ФЗ. Если архитектура обработки не была описана заранее, установить затронутые системы и категории данных в эти сроки существенно сложнее.
Согласие на обработку не даёт права автоматически отправлять рекламу
С 1 сентября 2025 года согласие на обработку персональных данных должно оформляться отдельно от другой подтверждаемой или подписываемой информации. Обязанность доказать наличие согласия или иного законного основания лежит на операторе — ч. 1 и 3 ст. 9 закона № 152-ФЗ.
Отдельно действует ст. 18 закона № 38-ФЗ «О рекламе»: реклама по сетям электросвязи допускается при предварительном согласии адресата, наличие которого должен доказать распространитель. После отказа рассылку необходимо прекратить немедленно. Автоматический выбор или набор адресатов без участия человека запрещен.
Для юридического лица нарушение требований к рекламе по сетям электросвязи может повлечь штраф от 300 тыс. до 1 млн рублей по ч. 4.1 ст. 14.3 КоАП РФ.
Следовательно, один флажок под формой не следует без проверки использовать одновременно как принятие политики, согласие на обработку данных и согласие на рекламу. Для рекламного согласия должны быть доказуемы адресат, содержание волеизъявления, канал, дата и применимая редакция текста.
Эта граница особенно важна при запуске холодных B2B-рассылок без нарушения правил рекламных сообщений: корпоративный адрес или должность получателя сами по себе не отменяют требования проверить правовое основание и применимость законодательства о рекламе.
Матрица трёх доказательств: аудит контактов за один проход
Для проверки базы выгрузите контакты, которые используются или могут использоваться в коммуникациях, и добавьте к каждому контакту следующие поля:
| Поле аудита | Что должно подтверждать |
|---|---|
| Дата и источник получения | Из какой формы, чата, звонка, кабинета или другого канала поступил контакт |
| Цель сбора | Для какого конкретного процесса контакт был получен |
| Законное основание | Согласие, договор, требование закона или другое применимое основание |
| Редакция текста согласия | Какой текст видел субъект в момент отправки данных; полезно хранить версию или неизменяемую копию |
| Доказательство действия | Отправка формы, отметка, журнал события или иной след, позволяющий связать волеизъявление с контактом |
| Согласие на рекламу | Отдельная отметка, текст, дата, канал и адресат либо явный запрет рекламных сообщений |
| Маршрут данных | В какие системы контакт попал, где хранится и кому доступен |
| Цель в уведомлении | Какому блоку действующего уведомления соответствует обработка контакта |
| Отзыв или отказ | Дата обращения, канал и факт прекращения соответствующей обработки или рекламы |
| Срок и статус хранения | Почему данные ещё хранятся и когда должны быть удалены или обезличены |
Проверка проводится последовательно:
- Выберите контакты, используемые для конкретной коммуникации.
- Для каждого контакта найдите законное основание и доказательство его получения.
- Сопоставьте источник, цель, состав данных и операции с действующим уведомлением.
- Для рекламы проверьте отдельное предварительное согласие. При его отсутствии исключите контакт из рекламной коммуникации до получения юридически достаточного основания.
- Проверьте отзывы, отказы и сроки хранения.
- Посчитайте долю контактов, прошедших все применимые проверки, относительно всей выбранной базы.
- Разрывы разделите на исправимые документально и требующие изменения процесса, формы, интеграции или уведомления.
Для экономики маркетинга полезнее считать не все отправленные формы, а контакты с доказуемым основанием. Стоимость законного лида можно рассчитать так:
(расходы на привлечение + сбор и хранение доказательств + обработка отказов + доля расходов на соответствие требованиям) / число лидов с доказуемым основанием обработки и, отдельно, доказуемым согласием на рекламу.
Публичного рыночного ориентира для этой величины нет. Она нужна как внутренняя управленческая оценка, а не как отраслевой бенчмарк.
Девять расхождений, из-за которых уведомление приходится уточнять
- Все процессы объединены одной целью «ведение хозяйственной деятельности».
- Уведомление описывает только основную форму, но не чат, квиз, обратный звонок и подписку.
- В перечне данных указаны только имя и телефон, хотя сохраняются email, сообщения, должность и технические идентификаторы.
- Не отражена передача контактов в CRM, телефонию, рассылку или внешнему обработчику.
- Не проверено фактическое местонахождение основной базы, логов и резервных копий.
- Трансграничную передачу ошибочно считают тем же процессом, что и первичное хранение данных в России.
- За дату начала обработки выдают дату подачи уведомления, хотя сайт собирал данные раньше.
- Политику сайта, согласие посетителя и уведомление государства считают взаимозаменяемыми документами.
- После изменения сайта уведомление не пересматривают до первого запроса или инцидента.
Самая дорогая техническая ошибка — описать только интерфейс сбора, не учитывая резервные копии, журналы, аналитику, телефонию и доступ обработчиков. Цена риска определяется не стоимостью исправления записи в реестре, а возможной экспозицией при инциденте.
Чек-лист перед подписанием уведомления
- Организация не включена в реестр под другим или прежним наименованием.
- Выбран правильный тип документа: первоначальное уведомление, изменение сведений или прекращение обработки.
- Каждая самостоятельная цель описана отдельно.
- Для каждой цели определены категории субъектов, данных, основания, операции и сроки.
- Все формы, чаты, квизы, кабинеты, телефония и рассылки включены в карту обработки.
- Проверены CRM, аналитика, логи и резервные копии.
- Установлено местонахождение каждой базы данных.
- Проверены внешние обработчики и договоры поручения.
- Отдельно оценена трансграничная передача.
- Указаны только реально действующие меры защиты.
- Назначен ответственный и актуальны его контакты.
- Дата начала обработки соответствует фактам.
- Сохранены редакции согласий и доказательства действий пользователей.
- Согласие на рекламу отделено от согласия на обработку данных.
- Выбран уполномоченный подписант и завершен выбранный способ отправки.
- Подписанная версия и подтверждение подачи сохранены внутри организации.
Нажимая «Оставить заявку», вы соглашаетесь с политикой обработки персональных данных.
Вывод
Для подачи уведомления нужен портал pd.rkn.gov.ru, но основная работа начинается до входа в форму. Компания должна составить карту источников, разделить обработку по целям, проверить основания, системы, обработчиков и местонахождение баз, а после подачи поддерживать сведения в актуальном состоянии.
Первоначальное уведомление направляется один раз, но соответствовать реальности сайта оно должно постоянно. Проще, когда основание обработки, источник контакта, редакция согласия и разрешение на рекламные сообщения фиксируются в момент диалога, а не восстанавливаются перед проверкой.
Такой подход можно заложить в работу AI-виджета Excella: он ведёт диалог, собирает контакт и сохраняет источник и условия его получения. Конкретная настройка должна соответствовать документам и процессам оператора; виджет сам по себе не заменяет юридическую проверку, согласие или уведомление Роскомнадзора. Посмотреть принцип работы можно на excella.ru, а заранее оценить проект — в материале о том, сколько стоит AI-виджет для сайта.
Статья не является юридическим заключением. Перед подачей сверяйте форму и сроки с действующими нормативными актами, а формулировки — с фактической обработкой на вашем сайте.