Подача уведомления об обработке ПДн в Роскомнадзор (1С:Фреш)
Бизнес, обрабатывающий с персональными данными (ПДн), знает не понаслышке, насколько ответственной задачей является подача уведомления в Роскомнадзор. Если еще 5-7 лет назад многие подходили к этому формально, то сегодня такой подход не сработает: за неподачу уведомления предусмотрен штраф до 300 000 рублей – и это еще без учета отдельного штрафа для должностных лиц. Заполнить уведомление можно на портале РКН, но эта опция доступна также в 1С:Фреш.
Ключевые нюансы, связанные с подачей уведомления
Формальный подход (т.е. «как-нибудь потом») полностью исключает статья 22 ФЗ-152, исходя из которой приступать к обработке ПДн до подачи уведомления запрещается. Также во многом этому способствует повышение в 2025 году штрафов за неподачу уведомления (цифры привели в начале).
Если открытие своего дела находится на этапе планирования, закономерным будет вопрос: что относится к ПДн? В основной массив входят данные сотрудников и клиентов. Сюда относятся ФИО, дата и место рождения, номера телефонов, цифровые следы – IP-адреса, «куки», данные аккаунтов, спецданные – биометрия, медицинская информация.
С высокой вероятностью с чем-либо из вышеперечисленных данных предстоит работать и вашему бизнесу, поэтому уведомление в любом случае подавать придется. Вот что о нем важно знать:
- Подается на бумаге или в электронном виде. Второй вариант потребует наличия аккаунта ЕСИА (Госуслуги) и УКЭП.
- Заполняется для последующей печати или отправки «в цифре» на сайте РКН.
- Подается единоразово, а для корректировки ранее поданных сведений используется отдельная форма.
- Должно раскрывать, какие документы по работе с ПДн изданы и внедрены в работу в вашей организации (или ИП). Основной – политика обработки персданных, дополнительные – ваши локальные нормативные акты (ЛНА), в том числе регламенты, приказы о назначении работников, ответственных за работу с ПДн, приказы об утверждении формы согласия на обработку персданных, мест хранения носителей, перечней информационных систем. Реквизиты указывать не нужно, достаточно перечислить, какие документы изданы.
Можно сказать, что уведомление об обработке персональных данных – это итог времязатратной деятельности по подготовке документальной базы, сотрудников, инфосистем для дальнейшей работы с персданными. О том, как пошагово «настроить» свой бизнес для выполнения профильных требований, рассказали в отдельном материале.
Что еще следует учитывать
Первичная подача уведомления в Роскомнадзор часто сопряжена с вопросами, как заполнить тот или иной раздел (советы дадим ниже), а также с поиском образца заполнения. Да, когда есть образец, задача часто упрощается, однако важно понимать, что каждая организация или ИП – это уникальная структура, применяющая свои подходы к управлению, кадровому учету, хранению данных. Проще говоря, то, что работает у других, может не работать у вас.
Поэтому, если берете за основу чей-то образец, в первую очередь следует убедиться, что он соответствует «размеру» вашего бизнеса, а также сфере деятельности. Очевидно, что уведомление, которое подает крупная торговая сеть, вряд ли пригодится ИП без сотрудников.
Не менее важно убедиться, что образец актуален, поскольку требования к ПДн регулярно обновляются. Например, в 2025 году правила, связанные с трансграничной передачей персданных, были значительно ужесточены.
Подаем уведомление в бумажном виде
Базовый вариант – заполнение прямо на сайте РКН с последующей распечаткой. Далее уведомление направляется почтой или лично доставляется в отделение ведомства. Хоть вариант и может показаться устаревшим (все же речь о «бумаге»), но неудобным его назвать нельзя. Форма заполняется онлайн, содержит все необходимые подсказки и ссылки на нормы закона, т.е. вам не нужно искать, где скачать бланк, а потом пытаться как-то «впихнуть» его в Word или Excel.
Альтернатива – заполнение бланка в 1С. Откройте единое рабочее место 1С-Отчетность и перейдите в раздел «Уведомления». Нажмите «Создать» и в папке «Прочее» выберите «Уведомление об обработке персональных данных». Также искомую форму можно найти через поисковую строку, набрав в ней «персональные данные». Открыв уведомление, увидите пустой бланк с подсказками (по аналогии с сайтом РКН). Вверху есть опция «Записать и сохранить» – на случай, если нужно сделать паузу и вернуться к работе с документом позже (данные сохраняются, заполнять с нуля не придется). По завершении заполнения нажмите «Печать». Есть опция сохранения документа в форматах PDF, XLS, MXL.
Кроме того, уведомление можно заполнить при помощи конструктора, доступного в сервисе 152DOC для 1С, который приобретается у партнеров 1С.
Подаем уведомление в электронном виде
Для этого необходимо перейти на сайт РКН (ссылку на форму заполнения привели выше), авторизоваться посредством ЕСИА и приступить к внесению сведений в форму. Помимо УКЭП вам также потребуется плагин КриптоПро ЭЦП для браузера.
В нижней части формы есть кнопка «Отправить электронное уведомление». Ниже – кнопка «Сохранить черновик» на случай, если к заполнению документа нужно вернуться позже.
Какие разделы уведомления вызывают больше всего вопросов: что в них писать
Цель обработки персональных данных
Базовый минимум – если обрабатываются исключительно персданные сотрудников – это «ведение кадрового и бухгалтерского учета». Однако при оказании услуг или реализации продукции обрабатывается также информация клиентов – в таком случае правильным будет привести в уведомлении виды деятельности согласно уставу, которые требуют работы с ПДн.
Что писать в разделе уведомлении «Адрес ЦОДа»
ЦОД расшифровывается как «центр обработки данных». Если заполняете уведомление впервые, этот раздел наверняка вызовет вопрос. И в этом вопросе вы не одиноки: в прошлом году «разбирательства» дошли до того, что в РКН был направлен официальный запрос. Суть запроса – уточнить, чьи адреса нужно указывать: серверов (провайдеров), где «крутятся» ваши 1С, Битрикс и другие учетные сервисы, или собственных серверов. Ведомство четко высказалось за второй вариант, объяснив это тем, что местонахождение средств автоматизации – это не то же самое, что местонахождение ЦОД, который выполняет обработку персданных. Работает здесь и простая логика: ЦОДы провайдеров не имеют отношения к вашей деятельности по обработке персданных: процесс контролируете вы, а провайдеры только предоставляют «мощности». С учетом позиции РКН мнение экспертного сообщества сходится на том, что правильным вариантом будет указать адрес, где физически находится ваш бизнес.
Что писать в разделе уведомления «Есть ли собственный ЦОД»
Ответ на этот вопрос прямо следует из предыдущего. Неважно, хранятся ли данные на ваших ПК или серверах, или условном Яндекс.Диске, все это считается собственным ЦОД.
Сведения об обеспечении безопасности персональных данных
При заполнении данного раздела следует придерживаться двух правил: никаких абстрактных фраз («обеспечивается на должном уровне», «защищаем как получится») и лишней конкретики («используем такое-то антивирусное ПО версии 1.2.3.4.5.99»).
В первую очередь необходимо написать, что обеспечение безопасности персданных выполняется согласно ФЗ-152, ППРФ № 1119, а также приказов ФСТЭК и ФСБ России (перечислять их реквизиты не требуется).
Далее перечисляются меры, в том числе ограничение доступа к информации, назначение ответственных за обработку персданных, применение антивирусных программ, резервное копирование данных, контроль доступа к инфосистемам.
Дата начала обработки персональных данных
Создание бизнеса «на бумаге» еще не означает, что вы уже начали вести деятельность. Однако РКН придерживается позиции, что обрабатывать персданные компания начинает именно с момента госрегистрации (речь о данных работников, в том числе руководителя – даже если он единственный оформленный сотрудник). Проще говоря, в уведомлении следует указывать дату, когда бизнесу был присвоен ОГРН или ОГРНИП, т.е. дату госрегистрации.
Срок или условие прекращения обработки персональных данных
В зависимости от того, с какой целью выполняется обработка, в этом разделе указывают следующее:
- достижение целей сбора данных;
- отзыв согласия на обработку субъектом персданных;
- истечение сроков хранения по закону (например, для кадровых документов);
- ликвидация или реорганизация компании.
Штрафы за неподачу уведомления в Роскомнадзор в 2026 году
Уведомление может быть не подано ввиду банальной невнимательности, незнания требований закона или безответственности («а вот ИП Смирнов работает без уведомления, но его до сих пор не оштрафовали»). Не стоит полагаться на удачу – сегодня РКН активно выявляет нарушителей, в том числе осуществляя мониторинг сайтов, где заявки от клиентов (покупателей) принимаются онлайн. Если владелец такого сайта не подал уведомление, его ждет штраф. Причем для выявления нарушителей активно применяются ИИ-технологии.
Если же говорить о цифрах, работа без уведомления грозит штрафом до 50 000 рублей для должностных лиц, до 300 000 рублей для компаний и ИП.
Что по итогу
Государство регулярно пересматривает и обновляет требования к работе с персданными. В прошлом году были увеличены штрафы, а также детализированы требования к трансграничной передаче данных. Бизнесу важно понимать, что все это – не простая формальность, а стратегическая задача, качество выполнения которой находит отражение в уведомлении, направляемом в РКН. Направить его можно на бумаге или в электронном виде, предварительно заполнив на портале ведомства. Заполнение также доступно в уже привычном для многих интерфейсе рабочего места 1С-Отчетность.