Материал актуален на 9 октября 2026 года; Федеральный закон от 27 июля 2006 года № 152-ФЗ «О персональных данных» проверен в редакции от 26 июля 2026 года. Разбираем подготовку содержания по статье 22. Интерфейс подачи может меняться, поэтому состав сведений устанавливают по действующей норме и официальной форме, а не по скриншоту чужой инструкции. Уведомление о трансграничной передаче рассматривают отдельно.
Кто уведомляет Роскомнадзор и когда проверять исключения
По общему правилу оператор уведомляет уполномоченный орган до начала обработки. Роль оператора определяется тем, кто организует обработку и устанавливает её цели, состав данных и действия. Небольшой штат, отсутствие интернет-магазина или работа под общим брендом не исключают эту роль.
Часть 2 статьи 22 предусматривает исключения. Проверять нужно действующий перечень и реальную деятельность компании. Старые исключения для обработки только данных работников или только в связи с договором не следует переносить в текущую практику: соответствующие пункты утратили силу с сентября 2022 года.
Одно из действующих исключений касается деятельности по обработке исключительно без использования средств автоматизации. Это не означает, что любое подразделение с бумажными документами освобождает всю компанию. Если в иных процессах используются электронная база, CRM или кадровая система, основания исключения необходимо оценить с учётом всей обработки оператора.
В группе компаний проверяют каждое юридическое лицо и его процессы. Запись головной организации не заменяет уведомление другой компании, которая самостоятельно определяет цели обработки. Аналогично общий сайт может обслуживать несколько операторов; распределение заявок и использование сведений нужно установить до заполнения формы.
Если обработка уже идёт, а подтверждения уведомления нет, сначала проверьте реестр и историю подачи. Не меняйте фактическую дату начала обработки ради удобного заполнения. Найденный разрыв фиксируют, устанавливают необходимые действия и приводят сведения в соответствие действующей модели работы.
Не рассматривайте внесение в реестр как разрешение на любую обработку. Уведомление не заменяет основание, согласие в необходимом случае, защиту данных и исполнение прав человека. Эти обязанности проверяют параллельно с подготовкой сведений для регулятора.
Какие сведения собрать по каждому процессу
Начните с реестра целей. Для каждой цели определите категории данных и людей, правовое основание, действия и способы обработки. Закон требует связывать соответствующие сведения с каждой целью; одной общей записи «оказание услуг и ведение хозяйственной деятельности» может быть недостаточно для описания конкретных процессов.
Для кадровой работы уточните, какие этапы реально существуют: подбор, оформление трудовых отношений, расчёты, обучение и архив. У продаж отдельно рассмотрите первоначальные обращения, договорную работу, поддержку и рекламу. Категории данных и основание могут различаться, даже если вся информация хранится в одной системе.
Установите точного оператора: наименование или имя, адрес и необходимые реквизиты. Внутренний бренд не заменяет юридическое лицо. Сведения должны согласовываться с тем, кто указан в политике и документах соответствующего процесса, а также с реальным получателем данных.
Соберите сведения об ответственном за организацию обработки. Контакты должны вести к действующей функции, где принимают и обрабатывают сообщения. Если сотрудник сменил должность, а указанный адрес больше никто не проверяет, проблема касается одновременно уведомления и внутреннего порядка.
Опишите системы, используемые базы и предусмотренные законом сведения об их размещении. Не ограничивайтесь адресом сервера сайта. Данные из формы могут поступать в CRM, почтовую систему и резервные копии. ИТ-служба и владельцы сервисов должны подтвердить маршрут до того, как он попадёт в уведомление.
Отдельно установите наличие или отсутствие трансграничной передачи. Наличие иностранного бренда у поставщика не отвечает на вопрос автоматически, как и российский адрес его продавца. Оценивают фактических получателей, страны и действия; при необходимости проверяют самостоятельные требования статьи 12.
Наконец, определите дату начала и срок или условие прекращения обработки, а также меры безопасности и иные сведения, предусмотренные статьёй 22. Эти элементы должны описывать реальные процессы. Условие «до ликвидации компании» не следует без проверки присваивать всем категориям данных.
Как описать цели, категории и основания
Цель — ожидаемый результат обработки. Основание — предусмотренное законом объяснение её допустимости. Название отдела, программы или файла не является ни тем ни другим. Для ответа на заявку, исполнения договора и прямой рекламы могут потребоваться разные описания, хотя один менеджер работает с одной карточкой клиента.
Категории людей указывайте по роли в процессе: например, соискатели, работники, представители контрагентов или заявители. Не добавляйте максимальный список «на будущее», если соответствующей обработки нет. При запуске нового процесса сведения можно актуализировать в установленном порядке.
Категории данных сверяйте с фактическим набором. Телефон, адрес электронной почты, сведения о должности и история обращения могут относиться к человеку в контексте процесса. Паспортные данные, сведения о здоровье и иные специальные элементы не должны появляться в уведомлении только потому, что они есть в скачанном примере.
Правовое основание установите до подачи. Когда обработка опирается на согласие, компания проверяет, что оно действительно получено и соответствует действиям. Когда основанием служит закон или применимый договор, указываемое положение должно относиться к соответствующему процессу, а не просто существовать в законодательстве.
Действия и способы обработки также должны совпадать с практикой. Если подрядчик получает базу и выполняет рассылку, описание только внутреннего хранения не отражает цепочку. При этом уведомление не заменяет проверку договора с подрядчиком и допустимости передачи.
Рекламные процессы оценивайте с учётом статьи 15: предварительное согласие на прямое продвижение с использованием средств связи проверяют отдельно. Указание рекламной цели в уведомлении само по себе не создаёт согласия человека и не доказывает его получение.
Чтобы избежать противоречий, сначала согласуйте таблицу процессов между юристом, ИТ-службой и подразделениями, затем переносите её сведения в официальную форму. Такой порядок позволяет исправить модель до подачи, а не менять уже направленное уведомление после первого внутреннего обсуждения.
Чек-лист сведений перед отправкой
Проверку удобно провести по вопросам ниже. Для каждого ответа сохраните источник: действующий документ, сведения системы или подтверждение владельца процесса. Формальная отметка «проверено» без источника не позволяет восстановить, откуда взялась спорная категория или дата.
| Блок сведений | Что проверить | С чем сопоставить |
|---|---|---|
| Оператор | Точное лицо и действующие реквизиты | Политика и документы процесса |
| Цели | Все фактически действующие процессы | Реестр обработки |
| Люди и данные | Необходимые категории по каждой цели | Поля форм, базы и документы |
| Основания | Допустимость соответствующей обработки | Закон, договор или согласие |
| Действия и способы | Реальные операции и автоматизация | Маршрут данных и системы |
| Ответственный | Полномочия и рабочие контакты | Назначение и внутренний порядок |
| Базы и передача | Размещение и получатели | Сведения ИТ-службы и подрядчиков |
| Безопасность | Описанные и фактически выполняемые меры | Документы и результаты контроля |
| Начало и завершение | Достоверные даты и условия | История процесса и сроки хранения |
Не копируйте в рабочую таблицу персональные данные работников и клиентов без необходимости. Для подготовки категорий обычно нужны описания, а не реальные записи с паспортами и телефонами. Доступ к материалам подготовки предоставляют тем, кто участвует в проверке соответствующего блока.
Первичное уведомление, изменения и прекращение
Перед отправкой определите, какое действие требуется: первичное уведомление, изменение ранее поданных сведений или сообщение о прекращении обработки. Создание нового уведомления не следует использовать как универсальную замену актуализации существующей записи.
Часть 7 статьи 22 предусматривает уведомление об изменении сведений не позднее 15-го числа месяца, следующего за месяцем возникновения изменения. Для прекращения обработки предусмотрен отдельный срок — десять рабочих дней с даты прекращения. Эти сроки относятся к соответствующим сведениям уведомления; они не заменяют сроки других обязанностей по закону.
Поэтому в компании нужен маршрут изменений. Подразделение сообщает о новой цели или системе, ответственный оценивает влияние на ранее поданные сведения, юрист и ИТ-служба уточняют содержание, уполномоченный сотрудник направляет актуализацию. Без такого маршрута ответственный может узнать об изменении после истечения срока.
Прекращение отдельного процесса не всегда означает, что оператор полностью прекратил обработку. Компания может закрыть рекламную базу, но продолжать трудовые отношения и обязательное хранение документов. Вид сообщения и обновляемые сведения определяют по фактическому объёму оставшейся обработки.
После подачи сохраните именно направленную версию, дату, способ и подтверждение. Черновик формы, экран до отправки и подтверждение отправки — разные документы. Доступность записи в реестре также проверяют отдельно; если статус неясен, выясняют причину через официальный канал.
Как проверить запись в реестре операторов
Используйте официальный реестр Роскомнадзора. Сопоставьте найденную запись с юридическим лицом, а не только с похожим названием. Затем проверьте доступные сведения и их соответствие направленной версии. Отсутствие мгновенного результата поиска само по себе не объясняет, была ли форма принята.
Если обнаружено расхождение, установите его источник. Возможны неподтверждённая подача, неправильные реквизиты, неполное содержание, незавершённая актуализация или поиск не того оператора. Не направляйте повторные формы вслепую: сначала восстановите историю и выберите соответствующее действие.
Внесение в реестр завершает только проверку сведений об уведомлении. Дальше продолжает работать внутренний контроль: реальные формы, доступы, согласия, поручения и сроки должны соответствовать заявленной модели. При следующем изменении процессы и сведения снова сопоставляют.
Для общей проверки компании см. требования 152-ФЗ. Отдельно сверяйте политику сайта и согласия. На странице аудита по 152-ФЗ описан подход к проверке процессов и документов.
Вопросы и ответы
Нужно ли уведомлять, если компания обрабатывает только данные работников?
Само по себе это больше не является действующим исключением статьи 22. Проверяют реальную обработку и текущий перечень исключений, в том числе наличие автоматизации.
Считается ли запись в реестре разрешением на обработку?
Нет. Она не заменяет правовое основание, необходимые согласия, защиту данных и исполнение прав людей. Уведомление и законность соответствующего процесса проверяют отдельно.
Можно ли указать одну цель для всей компании?
Описание должно соответствовать фактическим целям. По каждой цели связывают предусмотренные законом категории людей и данных, основания, действия и способы обработки. Общее название деятельности не всегда раскрывает эти сведения.
Когда сообщать об изменении сведений?
По части 7 статьи 22 — не позднее 15-го числа месяца, следующего за месяцем изменения. Для прекращения обработки установлен отдельный срок в десять рабочих дней.
Заменяет ли это уведомление сообщение о трансграничной передаче?
Нет. Требования статьи 12 оценивают отдельно. Наличие соответствующего поля в обычном уведомлении не позволяет считать самостоятельную обязанность автоматически исполненной.
Источники
152-ФЗ, статья 22: состав уведомления, исключения и изменения.
152-ФЗ, статья 3: роль оператора.
152-ФЗ, статья 5: цели и соразмерность данных.
152-ФЗ, статья 15: прямое продвижение.