Уведомление Роскомнадзора об обработке персональных данных: инструкция 2026
Уведомление Роскомнадзора об обработке персональных данных — обязательный документ, который оператор подаёт до начала обработки данных (ст. 22 ч. 1 ФЗ № 152-ФЗ). С 1 сентября 2022 года прежние исключения отменены Федеральным законом № 266-ФЗ, поэтому уведомлять регулятор обязано подавляющее большинство операторов, включая онлайн-школы с формой заявки на сайте. Уведомление подают через портал Роскомнадзора или на Госуслугах, регулятор вносит оператора в реестр в течение 30 дней. За неподачу — штраф до 300 000 руб. для юрлица по ст. 13.11 ч. 10 КоАП РФ (проверено: июль 2026).
Раньше многие онлайн-школы жили спокойно: закон разрешал не уведомлять Роскомнадзор, если данные обрабатываются по договору или для сотрудников. С сентября 2022 года эти лазейки закрыли. Теперь уведомление подаёт почти каждый, кто собирает персональные данные, и делать это нужно до начала обработки. Разберём, кто обязан, что писать в уведомлении, как его подать и что грозит за молчание. Дополнительно покажем сроки, порядок обновления сведений и связку уведомления с остальными документами по защите данных, чтобы у школы сложилась цельная картина, а не набор разрозненных обязанностей.
Кто обязан подавать уведомление в Роскомнадзор
Подать уведомление обязан любой оператор до начала обработки персональных данных (ст. 22 ч. 1 ФЗ № 152-ФЗ, проверено: июль 2026). Оператор — это тот, кто определяет цели и содержание обработки: организация, ИП или физлицо. Для онлайн-школы это означает, что уведомление подают почти всегда, ведь данные учеников собирают уже на этапе заявки или оплаты.
Главный критерий — собираете ли вы персональные данные. Имя и телефон в форме заявки, email для рассылки, данные об оплате, профиль в личном кабинете — всё это персональные данные. Как только они появляются, вы оператор, и обязанность уведомить регулятор возникает автоматически. При этом неважно, храните вы данные в собственной CRM или в облачном сервисе — ответственность оператора остаётся на вас в любом случае.
Размер и форма бизнеса роли не играют. ИП-репетитор с лендингом, самозанятый эксперт с автоворонкой и школа с сотнями сотрудников — все они операторы. Разница лишь в объёме сведений, которые придётся указать. Базовые обязанности оператора мы подробно разбирали в материале про 152-ФЗ для онлайн-школы, а уведомление — одна из первых в этом списке.
Есть узкие исключения, когда уведомление не подают: например, обработка данных исключительно без средств автоматизации или в рамках пропускного режима. Но для онлайн-школы они почти никогда не применимы: любая CRM, рассылка или платёжный сервис — это уже автоматизированная обработка. Поэтому исходите из того, что уведомление подавать нужно, а освобождение искать только вместе с юристом и под конкретную ситуацию.
Что изменилось: отмена исключений с 2022 года
До сентября 2022 года ст. 22 ч. 2 ФЗ № 152-ФЗ разрешала не уведомлять Роскомнадзор в ряде случаев — например, при обработке данных сотрудников или данных, полученных по договору. Федеральный закон № 266-ФЗ от 14.07.2022 отменил эти исключения, и с 1 сентября 2022 года уведомлять обязано подавляющее большинство операторов (проверено: июль 2026).
Это ключевое изменение последних лет. Раньше онлайн-школа могла законно обойтись без уведомления, сославшись на договорное основание обработки. Сейчас такой аргумент не работает: пункты, дававшие послабления, утратили силу. Регулятор ждёт уведомление практически от каждого оператора.
Тех, кто начал собирать данные до отмены исключений и не уведомил регулятор, поправки тоже касаются: обязанность подать уведомление сохраняется и для действующих операторов. Если вы работаете давно, но уведомление не подавали, разумно сделать это, не дожидаясь проверки. Роскомнадзор ведёт открытый реестр операторов, и отсутствие в нём при активном сборе данных — явный сигнал для контроля.
Логика законодателя понятна: сделать рынок обработки данных прозрачным. Реестр операторов задуман как публичная витрина, где видно, кто и зачем собирает персональные данные граждан. Отмена исключений — шаг к тому, чтобы в этой витрине оказались все, а не только крупные компании. Для онлайн-школ это значит, что играть в невидимку больше не выйдет: собираешь данные — будь в реестре.
Какие сведения указать в уведомлении
В уведомлении указывают наименование и адрес оператора, цель обработки, а для каждой цели — категории данных и субъектов, правовое основание, перечень действий и способы обработки, сведения о защите, ответственного за обработку, дату начала, срок или условие прекращения, данные о трансграничной передаче и месте нахождения базы данных (ст. 22 ч. 3 ФЗ № 152-ФЗ, проверено: июль 2026).
Форму уведомления утверждает Роскомнадзор, и в электронном виде она заполняется по подсказкам. Но содержание готовят заранее: важно точно описать реальные процессы, потому что сведения из уведомления попадают в открытый реестр и сверяются с тем, что школа делает на самом деле.
Чек-лист: что подготовить для уведомления
- ✓ Наименование, ИНН и адрес оператора, контактные данные
- ✓ Цели обработки: обучение, связь с учеником, рассылки, аналитика
- ✓ Категории субъектов: ученики, родители, посетители сайта, сотрудники
- ✓ Категории данных для каждой цели: ФИО, телефон, email, платёжные данные
- ✓ Правовое основание: 152-ФЗ, согласие, договор оферты
- ✓ Перечень действий и способы обработки, в том числе автоматизированные
- ✓ ФИО и контакты ответственного за организацию обработки
- ✓ Дата начала обработки и условие её прекращения
- ✓ Сведения о трансграничной передаче и месте нахождения базы данных в РФ
Отдельно отметьте, что база данных россиян находится на территории России — это требование локализации по ст. 18 ч. 5 ФЗ № 152-ФЗ. Если вы передаёте данные за границу (зарубежный хостинг, сервис рассылок), помните: трансграничная передача требует отдельного уведомления, которое подают не вместе с основным, а самостоятельно (ст. 12 ч. 3 ФЗ № 152-ФЗ).
Самая частая ошибка на этом этапе — описать процессы обобщённо, лишь бы заполнить поля. Так делать не стоит. Для каждой цели обработки закон требует отдельно указать свой набор: категории данных, категории субъектов, основание, действия и способы (ст. 22 ч. 3.1 ФЗ № 152-ФЗ). У обучения, рассылки и аналитики цели разные, значит и наборы данных описывают по отдельности. Чем точнее уведомление отражает реальность, тем меньше вопросов при проверке и тем проще потом синхронизировать его с политикой конфиденциальности.
Как подать уведомление: пошаговая инструкция
Уведомление подают в электронной форме через портал Роскомнадзора или Госуслуги, либо на бумаге почтой в территориальное управление. Электронный документ подписывают квалифицированной электронной подписью. Пошагово: подготовить сведения, заполнить форму на портале, подписать и отправить, дождаться внесения в реестр (ст. 22 ч. 3 ФЗ № 152-ФЗ, проверено: июль 2026).
Самый быстрый путь — электронный. На портале персональных данных Роскомнадзора есть форма уведомления с полями под каждый пункт статьи 22. Заполняете, прикладываете сведения, подписываете электронной подписью уполномоченного лица и отправляете. Бумажный вариант дольше, но доступен тем, у кого нет ЭП.
Практический совет: сначала соберите всю фактуру по чек-листу выше, а уже потом садитесь заполнять форму. Если заполнять на ходу, легко ошибиться в категориях данных или целях, а неточные сведения регулятор вправе вернуть на уточнение до внесения в реестр (ст. 22 ч. 6 ФЗ № 152-ФЗ). Аккуратно заполненное уведомление проходит без замечаний.
Для юрлица есть ещё один шаг: назначить лицо, ответственное за организацию обработки персональных данных (ст. 22.1 ФЗ № 152-ФЗ). Обычно это внутренний приказ, а данные ответственного как раз указывают в уведомлении. У ИП и самозанятых отдельного назначения не требуется — ответственным считается сам оператор. Продумайте этот момент заранее, чтобы не заполнять форму дважды.
Сроки: подача, реестр и изменения
Уведомление подают до начала обработки данных. Роскомнадзор вносит оператора в реестр в течение 30 дней с даты поступления уведомления (ст. 22 ч. 4 ФЗ № 152-ФЗ). При изменении сведений оператор уведомляет регулятор не позднее 15-го числа месяца, следующего за месяцем изменений, а при прекращении обработки — в течение 10 рабочих дней (ст. 22 ч. 7 ФЗ № 152-ФЗ, проверено: июль 2026).
Ключевой срок — до начала обработки. Это значит, что уведомление подают не после запуска школы, а до того, как в базе появится первый ученик. На практике это редко соблюдается идеально, но чем раньше подать, тем меньше рисков. Если школа уже работает без уведомления, это не повод откладывать: подайте его сейчас, ведь обязанность никуда не исчезает, а штраф за неподачу действует всё время нарушения.
| Действие | Срок | Норма |
|---|---|---|
| Подать уведомление | До начала обработки данных | ст. 22 ч. 1 |
| Внесение в реестр операторов | 30 дней с даты поступления | ст. 22 ч. 4 |
| Уведомить об изменении сведений | До 15-го числа следующего месяца | ст. 22 ч. 7 |
| Уведомить о прекращении обработки | 10 рабочих дней | ст. 22 ч. 7 |
| Отдельное уведомление о трансгранич. передаче | До начала передачи | ст. 12 ч. 3 |
Штраф за неподачу уведомления
За неподачу или несвоевременную подачу уведомления о намерении обрабатывать персональные данные штрафуют по ст. 13.11 ч. 10 КоАП РФ: граждан на 5 000-10 000 руб., должностных лиц на 30 000-50 000 руб., юрлиц на 100 000-300 000 руб. Эта отдельная санкция введена Федеральным законом № 420-ФЗ и действует с 2025 года (проверено: июль 2026).
До появления этой нормы неуведомление наказывалось мягко, и многие операторы просто игнорировали обязанность. Теперь за молчание установлен самостоятельный штраф, причём заметный для малого бизнеса. Для онлайн-школы это прямой финансовый риск, который легко снять одним вовремя поданным документом. Штраф назначается по итогам проверки или по жалобе, а проверить факт нахождения оператора в реестре регулятору не составляет труда — реестр у него под рукой.
Важно понимать, что неуведомление — лишь один из возможных составов. Если школа при этом не опубликовала политику конфиденциальности или обрабатывает данные без согласия, штрафы суммируются по разным частям ст. 13.11 КоАП РФ. Поэтому уведомление подают в связке с остальным комплаенсом: политикой, согласиями и мерами защиты. Как оформить политику, мы разобрали в статье про политику конфиденциальности для онлайн-школы.
Что делать после подачи и как обновлять сведения
После подачи Роскомнадзор вносит оператора в общедоступный реестр (ст. 22 ч. 4 ФЗ № 152-ФЗ). Дальше оператор поддерживает сведения в актуальном состоянии: при любом изменении целей, категорий данных, сервисов или ответственного лица подаёт уведомление об изменениях, а при закрытии школы — о прекращении обработки (проверено: июль 2026).
Попадание в реестр операторов — не конец, а начало обязанностей. Реестр публичный: по названию или ИНН вашу школу может найти любой, включая проверяющих. Поэтому сведения в нём должны совпадать с реальностью. Подключили новый сервис аналитики, начали собирать новую категорию данных, сменили ответственного — обновите уведомление в срок.
Разумная практика — раз в год сверять данные реестра с тем, что школа делает на самом деле, и синхронизировать уведомление с политикой конфиденциальности и формами согласия. Тогда при проверке у регулятора не возникнет вопросов о расхождениях.
Уведомление удобно воспринимать как отправную точку, а не разовую формальность. Оно фиксирует, что и зачем вы обрабатываете, и задаёт рамку для всего остального комплаенса: политики, согласий, мер защиты и назначения ответственного. Когда эти документы описывают одни и те же процессы одинаково, школа выглядит для регулятора аккуратным оператором, а не источником рисков. Выстроить эту систему один раз проще и дешевле, чем разбираться с претензиями и штрафами постфактум. Другие разборы по теме персональных данных собраны в рубрике персональные данные.
Поможем подать уведомление в Роскомнадзор без ошибок
Подготовим и подадим уведомление под ваши реальные процессы, оформим политику и согласия, проверим сайт на соответствие 152-ФЗ.
Статья подготовлена на основе законодательства РФ на июль 2026 года. Для консультации по вашему случаю обратитесь к специалисту.
Частые вопросы
Нужно ли онлайн-школе подавать уведомление в Роскомнадзор?
Да. Если школа собирает персональные данные (форма заявки, оплата, личный кабинет), она оператор и обязана уведомить Роскомнадзор до начала обработки (ст. 22 ч. 1 ФЗ № 152-ФЗ). Прежние исключения отменены с 1 сентября 2022 года законом № 266-ФЗ.
Как подать уведомление в Роскомнадзор?
В электронной форме через портал персональных данных Роскомнадзора или Госуслуги с подписью квалифицированной ЭП, либо на бумаге почтой в территориальное управление. Сведения готовят заранее по ст. 22 ч. 3 ФЗ № 152-ФЗ.
В какой срок Роскомнадзор вносит оператора в реестр?
В течение 30 дней с даты поступления уведомления (ст. 22 ч. 4 ФЗ № 152-ФЗ). Реестр операторов общедоступен — школу по названию или ИНН может найти любой, включая проверяющих.
Какой штраф за неподачу уведомления?
По ст. 13.11 ч. 10 КоАП РФ: граждан 5 000-10 000 руб., должностных лиц 30 000-50 000 руб., юрлиц 100 000-300 000 руб. Отдельная санкция введена законом № 420-ФЗ и действует с 2025 года.
Что делать, если сведения об обработке изменились?
Подать уведомление об изменениях не позднее 15-го числа месяца, следующего за месяцем изменений, а при прекращении обработки — в течение 10 рабочих дней (ст. 22 ч. 7 ФЗ № 152-ФЗ). Сведения в реестре должны совпадать с реальными процессами.
