Вы оператор персональных данных? Проверьте себя за 2 минуты и узнайте, нужна ли вам регистрация в РКН

Термин «оператор персональных данных» звучит как что-то из корпоративного мира — ФНС, Сбербанк, крупный интернет-магазин. На деле им является любой бизнес, который хоть как-то собирает информацию о физических лицах — клиентах, сотрудниках, подписчиках.

Если вы ведёте бизнес и у вас есть сайт, телефонная база, CRM, таблица с клиентами или хотя бы один сотрудник — с очень высокой вероятностью вы оператор. А значит, обязаны соблюдать ФЗ-152 «О персональных данных» и уведомить Роскомнадзор. Не сделали этого — нарушение, за которое штрафуют.

Ниже — простой способ разобраться в своей ситуации, без юридических терминов.

Сначала главное: что вообще считается персональными данными?

По закону, персональные данные — это любая информация, по которой можно идентифицировать конкретного человека. Не обязательно паспорт или СНИЛС. Достаточно имени в сочетании с телефоном или email.

Один лишь номер телефона уже может считаться персональными данными, если по нему можно определить конкретного человека. Но связка «имя плюс телефон» — это гарантированные персональные данные. Именно поэтому форма «Оставьте заявку: ваше имя и номер телефона» автоматически делает вас оператором персональных данных

Чек-лист: являетесь ли вы оператором персональных данных?

Ответьте честно на каждый вопрос. Одного «да» достаточно, чтобы считаться оператором персональных данных

Если хотя бы один ответ — «да»: вы оператор персональных данных и обязаны уведомить Роскомнадзор до начала обработки данных, а также соблюдать требования ФЗ-152. Продолжайте читать — ниже о том, что именно нужно сделать.

Три случая, когда регистрация не нужна

Закон (ст. 22 ФЗ-152) предусматривает исключения. Их осталось только три — после реформы 2022 года все остальные были отменены, включая популярное прежде исключение «для трудовых отношений».

Исключение 1. Вы работаете только на бумаге

Если данные ни разу не попадают в компьютер, телефон, облако или любую программу — вы можете не уведомлять РКН. Но только если это действительно так: бумажный журнал, бумажные анкеты, бумажные договоры. Как только данные оцифровываются — хотя бы в виде фото документа на телефоне — исключение перестаёт работать.

На практике это исключение почти не встречается в реальном бизнесе 2026 года. Даже небольшой магазин использует кассу с ФИО покупателя, мессенджер с заявками или таблицу учёта.

Исключение 2. Вы работаете только с юридическими лицами

Если все ваши клиенты — компании, и вы не обрабатываете данные сотрудников этих компаний как физических лиц, регистрация не нужна. Но как только в документах появляется ФИО контактного лица, подписанта или представителя — это уже персональные данные физического лица.

Исключение 3. Данные касаются государственной безопасности

Это специальный случай для структур, работающих с гостайной, силовых ведомств и т.п. К малому бизнесу не относится.

Важно: освобождение от уведомления не означает освобождения от закона. Даже если вы попадаете под исключение, требования ФЗ-152 по защите данных, срокам хранения и правам субъектов всё равно действуют.

Пять заблуждений, которые обходятся дорого

«У меня ИП — закон не про меня»

Прямо противоположное. ИП по статье 13.11 КоАП несут ответственность как юридические лица — то есть по максимальным ставкам. При этом для регистрации в РКН ИП нужен только ИНН и ОГРНИП — никаких особых условий нет.

«Я работаю сам, сотрудников нет — значит, не оператор»

Если вы оказываете услуги физическим лицам и записываете их контакты — вы оператор. Наличие или отсутствие сотрудников к этому не имеет отношения. Репетитор, психолог, дизайнер, парикмахер на дому с базой клиентов в телефоне — все они операторы.

«Я собираю только имена — это не персональные данные»

Имя само по себе — действительно пограничный случай. Но имя плюс телефон, имя плюс email, имя плюс адрес — это уже персональные данные в полном смысле закона. В реальной форме заявки имя никогда не собирается изолированно.

«Я уже делал сайт через агентство — они всё настроили»

Агентство делает сайт, но не несёт ответственности за соблюдение ФЗ-152. Ответственность оператора — ваша личная, и переложить её на разработчика нельзя. Наличие на сайте чужой политики конфиденциальности (скопированной или шаблонной) — нарушение, за которое штрафуют вас, а не агентство.

«У меня нет утечек — значит, всё в порядке»

Большинство штрафов РКН не связаны с утечками. Они — за отсутствие регистрации, некорректные документы и неправильно оформленные формы. Это нарушения, которые существуют с момента запуска сайта и не требуют никакого инцидента для того, чтобы быть обнаруженными при проверке.

Если вы оператор — что нужно сделать

Выяснить, что вы оператор — это только первый шаг. Дальше важно понять, соответствует ли ваша работа с данными требованиям закона. Как правило, нужно сделать три вещи:

1. Подать уведомление в Роскомнадзор

Уведомление подаётся на сайте pd.rkn.gov.ru до начала обработки данных. Форма заполняется по требованиям Приказа РКН № 180 от 28.10.2022. Главные ошибки при самостоятельном заполнении: неверная дата начала обработки (должна быть дата регистрации ИП или компании, а не дата создания сайта) и несовпадение целей обработки с тем, что написано в политике конфиденциальности. Оба случая — нарушение, за которое штрафуют отдельно.

2. Разработать пакет документов

Одно уведомление не защищает. Роскомнадзор при проверке запросит:

• Политику конфиденциальности — актуальную, с конкретными целями и сроками, размещённую на сайте.
• Согласие на обработку данных — в каждой форме сайта, с возможностью отзыва.
• Приказ о назначении ответственного — одно конкретное лицо, а не «весь коллектив».
• Положение об обработке ПДн — внутренний документ о том, как вы работаете с данными.

3. Проверить сайт технически

Формы, галочки согласия, политика конфиденциальности, счётчики аналитики, CRM, способы хранения данных — всё это должно соответствовать тому, что написано в уведомлении и документах. Расхождение между документами и реальной практикой — отдельный состав нарушения.

Сколько стоит несоблюдение закона?

Штраф за отсутствие уведомления (или нарушение порядка его подачи) — до 300 000 рублей для юрлиц и ИП (ч. 10 ст. 13.11 КоАП). За отсутствие согласия на обработку (обработка без законного основания) — до 700 000 рублей за первое нарушение, а при повторном — до 1,5 млн рублей. За отсутствие политики конфиденциальности или её несоответствие требованиям — до 100 000 рублей для юрлиц и до 30 000 рублей для ИП. Все штрафы суммируются при нескольких нарушениях. Три нарушения суммируются.