Уведомление РКН об обработке ПД

Происхождение и история термина

Название процедуры связано со статьёй 22 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных». Закон был принят Государственной Думой 8 июля, одобрен Советом Федерации 14 июля и подписан 27 июля 2006 года. Здесь речь идёт о названии юридической обязанности, а не об авторской научной концепции. ^[1]

Важное изменение произошло 1 сентября 2022 года: пункты 1–6 части 2 статьи 22, содержавшие исключения из обязанности уведомлять, утратили силу. Поэтому старую памятку нельзя использовать как действующий перечень освобождений. Текущая статья также требует описывать обработку по каждой цели и предусматривает обновление и исключение реестровых сведений. ^[1]

Приказ Роскомнадзора от 28 октября 2022 года № 180 утвердил три формы: первоначального уведомления, сообщения об изменениях и сообщения о прекращении обработки. Его зарегистрировали в Минюсте 15 декабря 2022 года под № 71532. ^[2] Согласно опубликованной информации самого ведомства, приказ вступил в силу 26 декабря 2022 года. Это отдельная дата: она не совпадает ни с подписанием приказа, ни с его регистрацией. ^[3]

Суть и механизм

Кто уведомляет

Оператор — лицо или организация, которые организуют или осуществляют обработку, определяют её цели, состав данных и действия с ними. Обработка охватывает не только сбор, но и хранение, использование, передачу и другие операции. Поэтому вопрос об уведомлении возникает и тогда, когда организация уже получила сведения и продолжает ими пользоваться. ^{[1, ст. 3]}

Персональные данные относятся к определённому или определяемому человеку. В уведомлении требуется назвать категории таких людей — например, работников или подписчиков, — а не приложить список всех их имён. Это различие видно в статье 22 и форме первоначального уведомления: документ описывает деятельность оператора через цели, категории и способы обработки. ^{[1, 2]}

Общее правило требует уведомить Роскомнадзор до начала обработки. Часть 2 статьи 22 оставляет три исключения: данные в государственных информационных системах, созданных для защиты безопасности государства и общественного порядка; деятельность исключительно без средств автоматизации; предусмотренную законодательством обработку для обеспечения транспортной безопасности. Последнее исключение связано с указанными в норме целями защиты транспортного комплекса, а не с любыми сведениями о поездках. ^[1]

Для обычного бизнеса особенно существенно слово «исключительно» во втором исключении. Наличие бумажных документов ещё не описывает всю деятельность: в учебной ситуации кадровые папки могут храниться в шкафу, а сведения о сотрудниках — одновременно обрабатываться в компьютерной программе. Ссылаться только на бумажные папки недостаточно для вывода об освобождении. Это иллюстрация различия между частью процесса и всей деятельностью; квалификация конкретной обработки требует разбора её устройства. ^{[1, ст. 3, 22]}

Что должно быть в документе

Форма начинается со сведений об операторе. Затем для каждой цели связываются пять элементов: категории данных, категории людей, правовое основание, действия с данными и способ обработки. Правовое основание объясняет, почему обработка допустима; цель — ради какого результата она ведётся. Эти поля отвечают на разные вопросы и не заменяют друг друга. ^{[1, ст. 6, 22; 2]}

Например, «проведение расчётов по договору» описывает назначение обработки, а соответствующий пункт закона — её основание. Упоминание договора без проверки условий применимой нормы не превращает его в универсальное оправдание любых действий с человеком и его данными. Статья 6 перечисляет разные случаи допустимой обработки; выбор зависит от фактической ситуации. ^[1]

Кроме описания целей, уведомление включает сведения о мерах защиты, ответственном за организацию обработки, дате её начала, сроке или условии прекращения. Указываются также наличие либо отсутствие трансграничной передачи — передачи данных за рубеж — и местонахождение базы с данными российских граждан. Особое поле о лицах, получающих доступ или обрабатывающих сведения по договору, относится к государственным и муниципальным информационным системам. Его нельзя пересказывать как одинаковое требование перечислить всех подрядчиков любой компании. ^{[1, ст. 3, 22; 2]}

Что происходит после направления

Статья 22 допускает бумажный или электронный документ, подписанный уполномоченным лицом. Получив его, Роскомнадзор вносит сведения в реестр в течение тридцати дней. Если сведения неполны или недостоверны, ведомство вправе запросить уточнение до внесения записи. Следовательно, подготовленный файл и отправленный документ ещё не равнозначны завершённому реестровому учёту. ^{[1, ч. 3, 4, 6 ст. 22]}

Реестровые сведения общедоступны, кроме информации о средствах обеспечения безопасности данных при обработке. Закон также не позволяет возлагать на оператора расходы за рассмотрение уведомления и внесение записи. Это правило о действиях ведомства: оно не устанавливает стоимость помощи стороннего консультанта. ^{[1, ч. 4, 5 ст. 22]}

Виды и классификации

Практическое деление основано на трёх приложениях к приказу № 180. Это формы для разных событий, а не три уровня разрешения на работу с данными. ^[2]

Во второй форме важно само изменение: например, новые цели или другой ответственный за организацию обработки. В третьей — прекращение деятельности, о котором сообщает оператор. Удаление контакта одного подписчика не означает, что редакция перестала обрабатывать данные остальных подписчиков и сотрудников. Выбор формы следует из события, а не из того, какой документ удобнее заполнить. ^{[1, 2]}

Как применяется на практике

Учебный пример. Небольшая редакция выпускает новостную рассылку и ведёт кадровый учёт. Для рассылки она использует адреса электронной почты подписчиков; для кадрового учёта — сведения о работниках. Это вымышленная ситуация, которая показывает принцип подготовки уведомления, а не готовое правовое решение для всех редакций.

В рабочем описании эти процессы разделены по целям. Если объединить их одной фразой «работа редакции», будет трудно понять, какие сведения нужны подписчику, какие — работодателю и на каком основании используется каждая категория. Требование закона описывать каждую цель помогает избежать такой путаницы. Принцип соответствия данных целям дополнительно закреплён в статье 5. ^{[1, 2]}

Для рассылки команда выясняет, где сохраняется адрес, кто получает доступ к списку, какие операции выполняет программа и когда прекращается использование контакта. Для кадрового учёта проделывает такой же разбор отдельно. Это предложенный редакцией способ собрать факты для полей формы. Он не заменяет установление правового основания, но позволяет задать юристу конкретный вопрос вместо общего «можем ли мы обрабатывать данные».

Допустим, позднее редакция запускает отдельное исследование читательских интересов. В учебном примере это новая цель, которой нет в прежнем уведомлении. Тогда вопрос касается изменения сведений, а не появления второго сайта: часть 7 статьи 22 связывает сообщение именно с изменением предусмотренной законом информации. Простая смена цвета кнопки подписки такого изменения не описывает. ^{[1, 2]}

Сопоставление с зарубежной практикой помогает увидеть назначение документирования. Европейский совет по защите данных, EDPB, объясняет, что внутренние записи об обработке позволяют обозреть цели, категории данных, получателей и другие характеристики операций. Эти записи должны быть доступны надзорному органу по запросу. ^[4] Российское уведомление направляется ведомству и служит основанием для реестровой записи. Общая идея — описать фактическую работу с данными; способы взаимодействия с регулятором различаются. ^{[1, 4]}

Как измерить или проверить

Здесь полезно проверять события и документы, а не рассчитывать «процент законности». Предлагаемый редакцией порядок начинается с сопоставления фактических процессов и уведомления: все ли заявленные цели существуют, не появилась ли новая цель, совпадают ли ответственный и местонахождение базы. Основание для такого сопоставления — состав сведений в статье 22 и приложениях к приказу. ^{[1, 2]}

Следующий вопрос — хронология. Для первоначального уведомления важно соотнести направление документа с началом обработки. Для внесения записи ведомством отправной точкой служит поступление уведомления, а не дата создания черновика. При изменении сведений отсчёт связан с месяцем изменения; при прекращении обработки закон отдельно называет рабочие дни. ^[1]

Учебный календарный пример. Сведения об ответственном изменились 3 и 28 июня. Обе даты относятся к июню, поэтому сообщение должно охватить оба изменения за этот месяц; указанный в норме срок — не позднее 15 июля. Если ещё одно изменение произошло 2 июля, для него ориентир — 15 августа. Это три изменения в двух месячных периодах, а не три самостоятельных срока по тридцать дней. Пример показывает правило части 7; календарные переносы для конкретного года здесь не рассчитываются. ^[1]

Для внутренней проверки удобно сохранять текст направленной версии и подтверждение того события, которое требуется установить. Редакционная рекомендация — различать доказательство отправки, поступления и содержание найденной записи. Один идентификатор документа без сведений о его статусе не отвечает сразу на все три вопроса. Такой архив помогает восстановить последовательность действий, если исполнители сменились или реестровые сведения расходятся с копией уведомления.

Ошибки, ограничения и спорные вопросы

Первая ошибка — считать наличие согласия освобождением от уведомления. Согласие относится к основаниям обработки в статье 6, а исключения из уведомления перечислены отдельно в статье 22. Обработка может иметь законное основание и одновременно требовать уведомления. ^[1]

Вторая — считать запись в реестре одобрением всей деятельности. Сопоставление статей 5, 6 и 22 даёт более узкий вывод: реестровый учёт и соблюдение требований к данным — разные обязанности. Даже если запись существует, остаются вопросы о соответствии собираемых сведений цели, допустимом основании и реальных действиях оператора. ^[1]

Третья — принимать закрытие сайта за прекращение обработки. По статье 3 хранение тоже является обработкой. В учебной ситуации редакция может отключить сайт, но продолжать хранить кадровые документы. Поэтому одно внешнее событие не доказывает прекращения всей деятельности с данными; для выбора формы нужно выяснить, какие операции действительно завершились. ^{[1, 2]}

Наконец, чужое уведомление не описывает собственную организацию. Оно может подсказать структуру, но перенос чужих целей, адресов баз или мер защиты создаёт риск недостоверного сообщения. Закон позволяет ведомству потребовать уточнения таких сведений. Точность уведомления начинается с установления фактов, которые затем отражают в форме. ^{[1, ч. 6 ст. 22]}

Правовой аспект

На дату проверки использована редакция закона № 152-ФЗ от 26 июля 2026 года. Поправки закона № 265-ФЗ от этой даты затронули статью 12 о трансграничной передаче, а не статью 22 об общем уведомлении. Соответствующие изменения вступили в силу 26 июля 2026 года. Указание в уведомлении на передачу за рубеж не отменяет необходимости отдельно анализировать применимые к ней правила. ^{[1, 5]}

Отложенное изменение по закону от 7 июля 2025 года № 200-ФЗ касается пункта 7 части 2 статьи 10: с 1 марта 2027 года туда добавляется обработка по законодательству о безопасности дорожного движения. Эта поправка не изменяет перечисленные выше сроки статьи 22. Поэтому сообщение о будущей редакции всего закона ещё не означает будущего изменения именно процедуры уведомления. ^[6]

Материал объясняет общий порядок и не определяет обязанности конкретной организации без изучения её процессов. Особенно внимательно требуют разбора исключения и выбор оснований обработки: одинаковое название цели ещё не делает одинаковыми фактические обстоятельства. ^[1]

Частые вопросы

Связанные термины

• Оператор персональных данных
• Персональные данные
• 152-ФЗ «О персональных данных»
• Локализация персональных данных
• Согласие на обработку персональных данных
• Политика конфиденциальности