Справочник «Вайбкодинг в России» · модуль 3 · Персональные данные

Глава 3.3

Уведомление,
политика, запросы

Перед началом обработки персональных данных оператор подаёт уведомление в Роскомнадзор, публикует политику обработки и готовит внутренние документы. После запуска он отвечает на запросы пользователей в установленные сроки. В главе разобраны эти обязанности, штрафы за их нарушение и реестр операторов, по которому их проверяют.

Закон: 152-ФЗ ст. 14, 18.1, 20, 22, 22.1 · КоАП РФ ст. 13.11 ч. 3–5, 10
Уровень: Базовый
Связанные главы: 3.2 Согласие · 3.4 Трансграничная передача · 3.5 Защита
Зачем это знать: Это первое, что проверяют на сайте и в реестре

§1Уведомление Роскомнадзора

152-ФЗ «О персональных данных»ст. 22, ч. 1–2ред. от 26.07.2026
1. Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи.
2. Оператор вправе осуществлять без уведомления […] обработку персональных данных: […] 8) в случае, если оператор осуществляет деятельность по обработке персональных данных исключительно без использования средств автоматизации; […]

С 1 сентября 2022 года почти все исключения из ч. 2 отменены. Остались узкие случаи: государственные системы безопасности, транспортная безопасность и обработка без средств автоматизации — то есть только на бумаге. Любой сайт с формой, любая CRM и любой SaaS-сервис обрабатывают данные автоматизированно, поэтому уведомление подают все.

Портал персональных данных Роскомнадзора: реестр операторов и форма поиска по названию, ИНН и регистрационному номеру — **pd.rkn.gov.ru, реестр операторов.** На 30.09.2026 в реестре 2 653 826 операторов. Сведения из реестра общедоступны (ч. 4 ст. 22), кроме описания средств защиты. Поиск по ИНН показывает, подала ли компания уведомление и какие цели в нём указала. Справа — электронные формы уведомления и изменения сведений.

Уведомление подают через электронную форму на портале. В нём указывают цели обработки и для каждой цели — категории данных и субъектов, правовое основание, действия с данными, место нахождения базы данных, наличие трансграничной передачи, ответственного за обработку и меры защиты (ч. 3 и 3.1 ст. 22). Роскомнадзор вносит сведения в реестр в течение 30 дней.

Сведения меняются — уведомление обновляют

Если изменились цели, состав данных, место базы или появилась трансграничная передача, изменения подают не позднее 15-го числа следующего месяца (ч. 7 ст. 22). Переезд базы в другое облако или подключение иностранного сервиса — такое изменение.

КоАП РФ ст. 13.11 ч. 10 — неуведомление или несвоевременное уведомление Роскомнадзора о намерении обрабатывать персональные данные

Гражданин

от 5 тыс. до 10 тыс. ₽

Должностное лицо

от 30 тыс. до 50 тыс. ₽

Организация

от 100 тыс. до 300 тыс. ₽

1 тыс.10 тыс.100 тыс.1 млн10 млн100 млн

§2Политика обработки

152-ФЗ «О персональных данных»ст. 18.1, ч. 2ред. от 26.07.2026
2. Оператор обязан опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки персональных данных, к сведениям о реализуемых требованиях к защите персональных данных. Оператор, осуществляющий сбор персональных данных с использованием информационно-телекоммуникационных сетей, обязан опубликовать в соответствующей информационно-телекоммуникационной сети, в том числе на страницах принадлежащего оператору сайта […], с использованием которых осуществляется сбор персональных данных, документ, определяющий его политику […], а также обеспечить возможность доступа к указанному документу с использованием средств соответствующей информационно-телекоммуникационной сети.

Политика публикуется на каждой странице, где собирают данные: у формы заявки, регистрации, оплаты. Обычно это ссылка в подвале сайта и ссылка рядом с кнопкой отправки формы. Политика мобильного приложения доступна из самого приложения.

Содержание политики «КурсБлиновской»

1. ОператорНаименование, ИНН, адрес, контакт ответственного за обработку.

2. ЦелиДля каждой цели — категории данных, категории субъектов, правовое основание, действия, срок хранения.

3. Передача третьим лицамКому и зачем: хостинг, платёжный сервис, сервис рассылок. Есть ли трансграничная передача и в какие страны.

4. Cookie и аналитикаКакие счётчики используются, что они собирают, как отказаться.

5. Права пользователяДоступ, исправление, удаление, отзыв согласия; как направить запрос.

6. ЗащитаСведения о реализуемых мерах защиты без раскрытия подробностей, опасных для безопасности.

7. РедакцияДата и номер версии; прежние редакции хранятся.

КоАП РФ ст. 13.11 ч. 3 — неопубликование политики обработки персональных данных

Гражданин

от 1,5 тыс. до 3 тыс. ₽

Должностное лицо

от 6 тыс. до 12 тыс. ₽

ИП

от 10 тыс. до 20 тыс. ₽

Организация

от 30 тыс. до 60 тыс. ₽

1 тыс.10 тыс.100 тыс.1 млн10 млн100 млн

Штраф за отсутствие политики невелик, но её отсутствие видно при наблюдении за сайтом первым, и после этого проверяют остальное: согласие, уведомление, счётчики.

§3Внутренние документы и ответственный

Оператор-организация назначает ответственного за организацию обработки персональных данных и издаёт локальные акты (п. 1–2 ч. 1 ст. 18.1). Этот набор проверяют, когда приходит запрос Роскомнадзора или начинается проверка.

Приказ об ответственномОтветственный получает указания от руководителя, контролирует соблюдение закона работниками, принимает обращения граждан (ст. 22.1).кто отвечает

Положение об обработкеДля каждой цели: категории данных и субъектов, способы, сроки, порядок уничтожения.как обрабатываем

Оценка вредаКакой вред может быть причинён людям при нарушении и соответствуют ли ему меры. Порядок — приказ Роскомнадзора № 178 от 27.10.2022.п. 5 ч. 1 ст. 18.1

Модель угроз и уровень защищённостиТехнические требования по постановлению Правительства № 1119 (глава 3.5).ст. 19

Ознакомление работниковРаботники, имеющие доступ к данным, подписывают ознакомление с политикой и актами.п. 6 ч. 1 ст. 18.1

Акты уничтоженияФиксируют, какие данные, когда и каким способом уничтожены.ст. 21

§4Запросы пользователей

Каждый, чьи данные обрабатывает сервис, вправе узнать, какие данные о нём есть, для чего и кому они переданы, потребовать исправить или удалить неточные и незаконно полученные (ст. 14). Сроки ответа установлены законом.

Запрос	Срок	Норма
Сообщить, какие данные обрабатываются, и дать с ними ознакомиться	10 рабочих дней, продление на 5 рабочих дней с мотивированным уведомлением	ч. 1 ст. 20
Ответить на запрос Роскомнадзора	10 рабочих дней, продление на 5	ч. 4 ст. 20
Прекратить обработку и уничтожить данные после отзыва согласия	30 дней	ч. 5 ст. 21
Уничтожить данные после достижения цели	30 дней	ч. 4 ст. 21

КоАП РФ ст. 13.11 ч. 4 — непредоставление субъекту информации об обработке его персональных данных

Гражданин

от 2 тыс. до 4 тыс. ₽

Должностное лицо

от 8 тыс. до 12 тыс. ₽

ИП

от 20 тыс. до 30 тыс. ₽

Организация

от 40 тыс. до 80 тыс. ₽

1 тыс.10 тыс.100 тыс.1 млн10 млн100 млн

КоАП РФ ст. 13.11 ч. 5 — неисполнение в срок требования уточнить, заблокировать или уничтожить данные

Гражданин

от 2 тыс. до 4 тыс. ₽

Должностное лицо

от 8 тыс. до 20 тыс. ₽

ИП

от 20 тыс. до 40 тыс. ₽

Организация

от 50 тыс. до 90 тыс. ₽

1 тыс.10 тыс.100 тыс.1 млн10 млн100 млн

Повторно (ч. 5.1): организация — от 300 до 500 тыс. ₽.

В сервисе нужен технический путь для запроса: страница или адрес почты, куда пользователь пишет, и внутренний регламент, по которому запрос выполняется за 10 рабочих дней, включая удаление из резервных копий и сторонних сервисов.

§5Частые ошибки

«Мы маленькие, уведомление не нужно»Исключения по размеру компании нет. Освобождена только обработка без автоматизации.

Уведомление подано, но не обновленоСмена облака, новая цель или иностранный сервис требуют изменения сведений до 15-го числа следующего месяца.

Политика скопирована с чужого сайтаВ ней чужие цели, чужие сервисы и чужой оператор. При проверке это видно сразу.

Политика только в подвале главной страницыОна должна быть доступна на страницах, где собирают данные.

Нет порядка ответа на запросыЗапрос пользователя без ответа 10 рабочих дней — нарушение ч. 4 ст. 13.11.

§6Проверьте себя

Какой оператор может не подавать уведомление в Роскомнадзор? Относится ли к нему SaaS-сервис?
Какие сведения включает уведомление и когда их нужно обновлять?
Где должна быть опубликована политика обработки и что в ней описывается?
Какие локальные акты должна иметь организация-оператор?
За какой срок нужно ответить на запрос пользователя о его данных?
Как по реестру операторов проверить, подала ли компания уведомление?

До запускауведомление РКН (ст. 22)политика на сайте (ст. 18.1)ответственный (ст. 22.1)оценка вреда, модель угроз

Срокиреестр — 30 днейизменения — до 15 числазапрос субъекта — 10 раб. днейуничтожение — 30 дней

Штрафы 13.11ч. 3 политика — до 60 тыс.ч. 4 запрос — до 80 тыс.ч. 5 требование — до 90 тыс.ч. 10 уведомление — до 300 тыс.

Справочник «Вайбкодинг в России» · модуль 3 · глава 3.3Макаров Максим Николаевич