Какой реестр имеется в виду
Когда говорят «добавить сайт в реестр Роскомнадзора», почти всегда речь о реестре операторов, осуществляющих обработку персональных данных. Он ведётся на портале pd.rkn.gov.ru и открыт для всех.
В этот реестр попадает не домен, а организация или предприниматель — тот, кто решает, зачем и как собирать данные. Сайт при этом упоминается внутри уведомления: через цели обработки (заявки, заказы, личный кабинет, аналитика) и через место, где хранится база с данными.
У Роскомнадзора есть и другие реестры, но владельцу обычного сайта в них вноситься не нужно:
| Реестр | Кого туда вносят | Нужно ли владельцу сайта |
|---|---|---|
| Операторов персональных данных | Всех, кто обрабатывает персональные данные, кроме исключений из ч. 2 ст. 22 152-ФЗ | Да, почти всегда |
| Провайдеров хостинга | Компании, которые продают хостинг | Нет. Но хостинг должен быть из этого реестра |
| Запрещённой информации | Сайты и страницы, доступ к которым ограничен | Нет — туда не «добавляются», туда попадают |
Как проверить сайт по каждому из них — в статье «Как проверить наличие сайта в реестре Роскомнадзора».
Нужно ли вам уведомление
Уведомление подают до начала обработки персональных данных (ч. 1 ст. 22 152-ФЗ). Персональные данные на сайте появляются быстрее, чем кажется:
- форма заявки, обратного звонка или подписки — имя, телефон, почта;
- личный кабинет и заказы;
- Яндекс Метрика и рекламные пиксели — идентификаторы cookie и IP-адреса, которые в связке с другими сведениями могут считаться персональными данными;
- онлайн-чат, запись на приём, отклики на вакансии.
Исключений почти не осталось. С 1 сентября 2022 года из ч. 2 ст. 22 убрали большинство прежних оснований не уведомлять — например, про данные, полученные по договору, или только ФИО. Оставшиеся исключения к коммерческим сайтам обычно не подходят: например, обработка исключительно без средств автоматизации. Сайт — это уже автоматизация.
Если вы работодатель, уведомление, скорее всего, нужно и без сайта: данные сотрудников тоже персональные. Тогда сайт добавляется в то же уведомление — отдельной целью, а не отдельной заявкой.
Что подготовить до заполнения
Форма утверждена приказом Роскомнадзора от 28.10.2022 № 180. С сентября 2022 года большую часть сведений указывают отдельно по каждой цели. Удобнее собрать их заранее в таблицу:
| Что | Пример для сайта |
|---|---|
| Реквизиты | Наименование или ФИО ИП, ИНН, ОГРН или ОГРНИП, юридический и почтовый адрес |
| Цели | «Ответ на обращения посетителей сайта», «Оформление и исполнение заказов», «Веб-аналитика посещаемости сайта» |
| Категории данных по цели | Фамилия, имя; номер телефона; адрес электронной почты; для аналитики — идентификаторы cookie, IP-адрес |
| Категории субъектов по цели | Посетители сайта, покупатели, соискатели |
| Правовое основание по цели | Согласие (п. 1 ч. 1 ст. 6 152-ФЗ), договор (п. 5 ч. 1 ст. 6) и т. п. |
| Действия и способ обработки | Сбор, запись, хранение, уточнение, использование, удаление, уничтожение; смешанная обработка; передача по интернету |
| Меры защиты | Ответственный назначен, политика опубликована, доступ ограничен, уровень защищённости определён по ПП РФ № 1119 |
| Ответственный | ФИО и контакты ответственного за организацию обработки. У ИП без сотрудников — он сам |
| Дата начала обработки | Дата запуска первой формы на сайте |
| Место базы данных | Страна — Россия; адрес дата-центра или наименование хостинг-провайдера |
| Трансграничная передача | «Не осуществляется» или перечень стран |
Черновик этих сведений по вашим ответам собирает наш конструктор уведомления в Роскомнадзор: его можно скопировать в форму на портале.
Проверьте две вещи до подачи. Во-первых, хостинг в России: с 1 июля 2025 года хранить и накапливать данные россиян в базах за рубежом нельзя (ч. 5 ст. 18 152-ФЗ). Во-вторых, сервисы на сайте: если на страницах работает зарубежная аналитика или капча, указать в уведомлении «трансграничной передачи нет» будет неправдой. Такие расхождения показывает бесплатная проверка сайта.
Три способа подать уведомление
| Способ | Что нужно | Когда удобен |
|---|---|---|
| Госуслуги | Подтверждённая учётная запись; для компании — вход как организация | Для ИП и небольших компаний: без подписи и без почты |
| Портал pd.rkn.gov.ru + электронная подпись | Усиленная квалифицированная электронная подпись и плагин для браузера | Если подпись уже есть, например для отчётности |
| Портал pd.rkn.gov.ru + бумага | Принтер, подпись руководителя, конверт или визит в управление | Если нет ни подписи, ни доступа к Госуслугам организации |
Закон допускает уведомление и на бумаге, и в форме электронного документа — важно, чтобы его подписало уполномоченное лицо (ч. 3 ст. 22 152-ФЗ). Если за компанию подаёт сотрудник, понадобится доверенность.
Пошагово: подача через портал Роскомнадзора
Шаг 1. Откройте форму уведомления
Форма находится по адресу pd.rkn.gov.ru/operators-registry/notification/form/. Регистрироваться на портале не нужно.
Портал может не открываться с иностранных IP-адресов и через некоторые VPN. Если страница не грузится, отключите VPN.
Шаг 2. Заполните сведения об операторе
Выберите тип — юридическое лицо или индивидуальный предприниматель, — укажите наименование или ФИО, ИНН, ОГРН или ОГРНИП и адреса. Сверьте их с выпиской из ЕГРЮЛ или ЕГРИП: расхождение в одной букве — частая причина, по которой уведомление возвращают на уточнение.
Шаг 3. Добавьте цели обработки
Для каждой цели нажмите кнопку добавления и заполните блок целиком: категории данных, категории субъектов, правовое основание, перечень действий, способ обработки.
Формулируйте цели конкретно. «Осуществление уставной деятельности» — не цель, а отговорка. «Ответ на обращения, поступившие через форму на сайте example.ru» — цель, по которой понятно, зачем вам телефон посетителя.
Шаг 4. Опишите меры защиты и ответственного
Отметьте меры по ст. 18.1 и 19 152-ФЗ, которые у вас действительно есть: назначение ответственного, опубликованная политика обработки персональных данных, ограничение доступа, антивирус, резервное копирование. Уровень защищённости для сайта с обычными контактами чаще всего четвёртый. Укажите ответственного с телефоном и почтой.
Шаг 5. Укажите дату начала, срок и место базы данных
Дата начала — когда на сайте появилась первая форма или счётчик. Условие прекращения обычно формулируют как «прекращение деятельности оператора». Место базы данных — Россия и адрес дата-центра хостинга: его можно найти в договоре или на сайте провайдера.
Шаг 6. Отправьте и подпишите
Нажмите кнопку отправки электронного уведомления. Дальше два пути:
- с электронной подписью — подпишите уведомление на портале. Бумажный экземпляр не нужен;
- без подписи — подготовьте форму к печати, распечатайте, подпишите у руководителя и отправьте письмом или отнесите в территориальное управление Роскомнадзора по месту регистрации.
Сохраните номер, который портал присвоит заявке, и PDF-версию уведомления: они понадобятся, если придётся что-то уточнять.
Пошагово: подача через Госуслуги
- Войдите на gosuslugi.ru: ИП — в свой профиль предпринимателя, компания — в профиль организации.
- В поиске наберите «уведомление об обработке персональных данных» и откройте услугу Роскомнадзора.
- Заполните те же разделы, что и на портале: реквизиты подставятся из профиля, цели и остальное — вручную.
- Подпишите заявление средствами Госуслуг и отправьте.
Статус заявления и ответ придут в личный кабинет Госуслуг.
Что происходит после подачи
Роскомнадзор вносит сведения в реестр операторов в течение 30 дней с даты получения уведомления (ч. 4 ст. 22 152-ФЗ). Если сведения неполные или противоречивые, ведомство вправе попросить их уточнить — тогда запись появится позже.
После внесения у оператора появляется регистрационный номер, а запись становится видна всем, кроме сведений о мерах безопасности. Найдите себя по ИНН — как это сделать, показано в статье «Как проверить наличие сайта в реестре Роскомнадзора». Номер стоит указать в политике обработки персональных данных.
Когда сведения нужно обновить
Запись в реестре — не разовая формальность. Изменения подают по форме уведомления об изменении сведений не позднее 15-го числа месяца, следующего за месяцем, в котором что-то поменялось (ч. 7 ст. 22 152-ФЗ). Поводы:
- появилась новая форма с новой целью — например, запись на приём или отклики на вакансии;
- подключили CRM, службу доставки или сервис рассылок;
- переехали к другому хостингу — сменился адрес базы данных;
- сменились адрес, наименование или ответственный.
Если обработку прекратили совсем, Роскомнадзор нужно уведомить в течение 10 рабочих дней.
Частые ошибки
- Одна общая цель на всё. С 2022 года это устаревший подход: цели, данные и основания описываются по отдельности.
- Забыли про аналитику. Метрика и пиксели — тоже обработка. Если они работают, это отдельная цель с основанием «согласие».
- «Трансграничной передачи нет», а на сайте Google Fonts или reCAPTCHA. Браузер посетителя отправляет им IP-адрес. Такое расхождение легко заметить снаружи.
- Хостинг за рубежом или без адреса дата-центра. Поле о месте базы данных обязательное, и ответ «за рубежом» противоречит ч. 5 ст. 18.
- Ответственный «на бумаге». Если назначение не оформлено приказом, указывать его в уведомлении рискованно.
- Подали и забыли. Через год на сайте три новые формы и новый хостинг, а в реестре — прежние сведения.
Сколько стоит не подать
Непредставление или несвоевременное представление уведомления — ч. 10 ст. 13.11 КоАП: для организаций и ИП от 100 до 300 тыс. рублей, для граждан — от 5 до 10 тыс. Это отдельный состав: его назначают независимо от того, всё ли в порядке с согласиями и политикой. Подробно — в статье о штрафах по 152-ФЗ.
Отсутствие записи в реестре видно сразу — по ИНН на открытом портале. Поэтому уведомление стоит подать раньше, чем кто-то сравнит ваш сайт с реестром.