Реестр операторов персональных данных РКН: проверка и подача

Реестр операторов персональных данных — это открытый список Роскомнадзора, куда попадают компании и ИП, подавшие уведомление об обработке персональных данных по ст. 22 152-ФЗ. Проверить организацию можно бесплатно на портале pd.rkn.gov.ru по ИНН или названию, а подать уведомление — там же или через Госуслуги, до начала обработки данных.

Что такое реестр операторов персональных данных Роскомнадзора

Оператор персональных данных — любая организация, ИП или госорган, который сам определяет, зачем и как обрабатываются данные о людях: сотрудниках, клиентах, посетителях сайта. Закон требует, чтобы оператор заранее сообщил о себе регулятору. Роскомнадзор принимает эти уведомления и вносит сведения в реестр операторов, осуществляющих обработку персональных данных.

У записи в реестре три практических смысла:

• Публичная декларация. Любой человек может открыть запись и увидеть, какие данные компания собирает, с какой целью, на каком основании и где находится база данных.
• Точка отсчёта для надзора. При жалобе гражданина или плановой проверке инспектор сравнивает фактическую обработку с тем, что оператор заявил в уведомлении.
• Сигнал для контрагентов. Заказчик, который передаёт вам данные клиентов, может проверить вас в реестре до подписания договора.

По ч. 4 ст. 22 Федерального закона № 152-ФЗ «О персональных данных» сведения реестра общедоступны, кроме описания средств защиты. Внесение в реестр бесплатное, госпошлины нет. Роскомнадзор вносит сведения в течение 30 дней с даты поступления уведомления.

Кто обязан подать уведомление в реестр операторов

Базовое правило ч. 1 ст. 22: оператор уведомляет уполномоченный орган о намерении обрабатывать персональные данные до начала обработки. Исключения перечислены в ч. 2 той же статьи, и после поправок Федерального закона № 266-ФЗ, вступивших в силу 1 сентября 2022 года, их стало заметно меньше.

Какие исключения убрали

Раньше без уведомления можно было обрабатывать данные работников в рамках трудового законодательства и данные, полученные по договору с самим человеком. Именно эти пункты освобождали большинство малых компаний. Их исключили, поэтому сегодня практически каждый работодатель и каждый продавец, который хранит данные покупателей, становится обязанным подать уведомление.

Какие исключения остались

В действующей редакции ч. 2 ст. 22 остались узкие случаи: обработка данных членов общественных объединений и религиозных организаций для уставных целей без передачи третьим лицам, обработка в государственных информационных системах, созданных для защиты безопасности государства и общественного порядка, обработка без средств автоматизации в случаях, прямо предусмотренных федеральными законами, и отдельные случаи из законодательства о транспортной безопасности. Сверяйте формулировки с актуальной редакцией закона: пересказы в сети часто описывают перечень до 2022 года.

Почему сайт почти всегда делает вас оператором

Даже если в штате один директор, сайт обычно собирает персональные данные сам:

• формы обратной связи, заявки на звонок, расчёт стоимости — имя, телефон, email;
• регистрация и личный кабинет, оформление заказа, адрес доставки;
• подписка на рассылку;
• системы аналитики и счётчики, которые ставят cookie и передают идентификатор посетителя и IP-адрес на сторонние серверы;
• онлайн-чаты, виджеты обратного звонка, CRM, куда падают заявки.

Конструктор сайтов, хостинг или CRM-сервис при этом не снимают с вас статус оператора: они обрабатывают данные по вашему поручению, а цели обработки определяете вы. Подробно о том, как сбор данных через сайт связан с требованиями закона, — в статье «Мониторинг сайта и 152-ФЗ».

Закон не распространяется на физических лиц, которые обрабатывают данные исключительно для личных и семейных нужд. Личный блог без форм и счётчиков сюда подходит, интернет-магазин самозанятого — уже нет.

Как проверить компанию в реестре операторов по ИНН

Регистрация не нужна. Официальный список находится на портале персональных данных Роскомнадзора.

1. Откройте раздел «Реестр операторов» → «Перечень операторов» на pd.rkn.gov.ru.
2. Введите ИНН в соответствующее поле. Поиск по ИНН надёжнее поиска по названию: в реестре организационно-правовая форма и кавычки записаны по-разному, и «ООО Ромашка» может не найтись, если в записи стоит полное наименование.
3. Если знаете регистрационный номер из политики конфиденциальности компании, ищите по нему — это точное совпадение.
4. Введите код с картинки, если портал его запросит, и нажмите «Найти».
5. Откройте найденную запись: в карточке видны дата регистрации уведомления, цели обработки, категории данных и субъектов, правовое основание, перечень действий с данными и сведения о местонахождении базы данных.

Как читать результат

• Запись найдена, сведения совпадают с реальностью — всё в порядке.
• Запись найдена, но старая. Например, в уведомлении 2014 года нет сайта, онлайн-оплаты и сервера у зарубежного провайдера. Формально компания в реестре, фактически сведения неактуальны — это нарушение обязанности сообщать об изменениях.
• Записи нет. Либо компания не подавала уведомление, либо ищете не то юрлицо: у холдингов сайт часто оформлен на одну компанию, а данные обрабатывает другая. Сверьте ИНН, указанный в политике конфиденциальности сайта и в договоре оферты.
• Уведомление подано, но записи ещё нет. Внесение занимает до 30 дней, поэтому свежую подачу подтверждает только квитанция или номер заявления.

Как подать уведомление в Роскомнадзор об обработке ПД

Уведомление составляется по форме Роскомнадзора. Проще всего заполнить её на портале: электронная форма сама проверяет обязательные поля и формирует документ в нужном виде.

Через портал pd.rkn.gov.ru

1. Откройте раздел электронных форм заявлений и выберите уведомление об обработке персональных данных.
2. Заполните реквизиты оператора, цели, категории данных и остальные сведения (что именно писать — в таблице ниже).
3. Если у руководителя есть усиленная квалифицированная электронная подпись, подпишите уведомление и отправьте в электронном виде.
4. Если подписи нет — распечатайте сформированный документ, подпишите у руководителя или ИП и направьте в территориальное управление Роскомнадзора по месту регистрации: почтой с описью или лично.
5. Сохраните номер заявления и через 30 дней проверьте запись в реестре по ИНН.

Через Госуслуги

На Госуслугах есть услуга по внесению сведений в реестр операторов. Она доступна из учётной записи организации или ИП, подписание — электронной подписью. Состав сведений тот же, что и в форме на портале.

Что указать в уведомлении

Состав сведений задан ч. 3 ст. 22. Типичные ошибки владельцев сайтов — забыть про аналитику, указать абстрактную цель и не написать, где физически стоит сервер.

Поле уведомления	Что это значит для сайта	Частая ошибка
Цель обработки	Отдельно: исполнение договора (заказы), обратная связь по заявкам, рассылка, аналитика посещаемости, кадровый учёт	Одна цель «ведение деятельности» на всё
Категории персональных данных	ФИО, телефон, email, адрес доставки, данные cookie и IP-адрес, если собираются	Нет технических данных посетителей
Категории субъектов	Клиенты, посетители сайта, работники, соискатели, представители контрагентов	Указаны только работники
Правовое основание	Согласие, договор с субъектом, трудовое законодательство — для каждой цели своё	Ссылка только на устав
Действия и способы обработки	Сбор, запись, хранение, передача, удаление; автоматизированная или смешанная обработка	Не указана передача третьим лицам (служба доставки, платёжный сервис)
Меры защиты	Назначение ответственного, локальные акты, шифрование канала (HTTPS), разграничение доступа	Пустые общие фразы без конкретики
Ответственный за организацию обработки	ФИО и контакты сотрудника, назначенного приказом	Ответственный не назначен вовсе
Местонахождение базы данных	Адрес дата-центра хостинга или облака, где хранится база	Указан офис, а сервер у провайдера в другой стране
Трансграничная передача	Есть ли передача за рубеж: иностранные CRM, почтовые и аналитические сервисы	«Нет» при подключённых зарубежных скриптах

Поле о местонахождении базы данных связано с требованием ч. 5 ст. 18 о локализации: при сборе персональных данных граждан России запись, систематизация и хранение должны вестись в базах на территории РФ. Трансграничная передача с 1 марта 2023 года требует отдельного уведомления по ст. 12. Цели и категории из уведомления должны совпадать с текстом политики обработки данных на сайте — о её составлении есть отдельная статья «Политика конфиденциальности: как составить и где разместить».

Как внести изменения в реестр операторов

Реестр отражает то, что вы заявили, а не то, что происходит сейчас, поэтому запись нужно поддерживать. Ч. 7 ст. 22 устанавливает два срока:

• Изменились сведения — новый сайт, переезд сервера, новая цель вроде рассылки, смена ответственного, смена адреса: уведомить не позднее 15-го числа месяца, следующего за месяцем изменений.
• Обработка прекращена — например, компания ликвидируется: уведомить в течение 10 рабочих дней с даты прекращения.

Для изменений на портале есть отдельная форма информационного письма о внесении изменений. Её заполняют целиком, а не только изменённые поля: итоговая запись заменяет прежнюю.

Отдельный случай — утечка. С сентября 2022 года оператор обязан сообщить Роскомнадзору об инциденте с персональными данными в течение 24 часов и о результатах внутреннего расследования в течение 72 часов (ч. 3.1 ст. 21). Для этого тоже нужны актуальные контакты ответственного из уведомления.

Ответственность за отсутствие в реестре операторов

Непредставление уведомления или несвоевременная подача квалифицируются по ст. 19.7 КоАП РФ — непредставление сведений в государственный орган. Сам штраф по этой статье невелик, но последствия обычно шире:

• отсутствие в реестре — первое, что проверяют при жалобе посетителя сайта;
• за ним следуют вопросы по существу: согласия, политика, ответственный, место хранения данных. Нарушения самой обработки подпадают уже под ст. 13.11 КоАП, где санкции существенно выше.

Конкретные размеры штрафов менялись несколько раз, поэтому сверяйте их по актуальной редакции КоАП. Чек-лист остальных обязанностей владельца сайта — в материале «Соответствие сайта 152-ФЗ».

Реестр РКН: какой именно вам нужен

По запросу «реестр РКН» ищут сразу несколько разных реестров. Реестр операторов персональных данных ничего не блокирует и никак не влияет на доступность сайта. Если сайт не открывается у пользователей в России, проверять нужно другой реестр — единый реестр запрещённой информации. Как он работает, разобрано в статье «Реестр запрещённых сайтов: как Роскомнадзор блокирует».

Реестр	Кто в нём	Как попадают	Где проверить
Реестр операторов ПДн	Компании, ИП, госорганы, обрабатывающие данные людей	Уведомление самого оператора	pd.rkn.gov.ru, поиск по ИНН
Единый реестр запрещённой информации	Домены, URL и IP-адреса с запрещённым контентом	Решение ведомства или суда	eais.rkn.gov.ru или проверка блокировки РКН
Реестр средств массовой информации	Зарегистрированные СМИ, включая сетевые издания	Заявление о регистрации СМИ	rkn.gov.ru, раздел реестров
Реестр организаторов распространения информации	Мессенджеры, почтовые сервисы, соцсети	Уведомление или решение РКН	rkn.gov.ru, раздел реестров

Как проверить, какие данные собирает ваш сайт

Перед подачей или обновлением уведомления стоит составить фактический список: что сайт собирает, кому передаёт и где хранит. Самое слепое пятно — сторонние скрипты, добавленные маркетологами.

• Определение технологий сайта покажет подключённые счётчики, чаты, CRM-виджеты и платёжные скрипты. Каждый из них — получатель данных посетителей, который нужно отразить в целях, действиях и, если сервис зарубежный, в сведениях о трансграничной передаче.
• Информация об IP-адресе подскажет, в какой стране и у какого провайдера размещён веб-сервер. Сервер базы данных может стоять отдельно — сверьте оба адреса с уведомлением.
• Проверка SSL-сертификата подтвердит, что формы передают данные по защищённому каналу: HTTPS — одна из базовых мер защиты, которые вы описываете в уведомлении.

То же вручную из консоли. Какие cookie ставит главная страница (Linux, macOS, Windows 10+ со встроенным curl):

curl -sI https://example.ru | grep -i set-cookie

В PowerShell:

(Invoke-WebRequest -Uri https://example.ru -UseBasicParsing).Headers['Set-Cookie']

Куда указывает домен (адрес сервера для сверки с полем о местонахождении базы данных):

dig +short example.ru
Resolve-DnsName example.ru -Type A

Если на сайте стоит Яндекс Метрика с Вебвизором, учтите, что запись сессий может захватывать то, что посетитель вводит в формы. Как настроить счётчик с учётом закона — в статье «Яндекс.Метрика и Вебвизор: настройка, цели и 152-ФЗ».

Частые вопросы

Нужно ли ИП подавать уведомление в реестр операторов?

Да, если ИП обрабатывает данные клиентов, работников или посетителей сайта. Статус индивидуального предпринимателя сам по себе от обязанности не освобождает, исключения ч. 2 ст. 22 к типичному бизнесу не относятся.

Сколько стоит внесение в реестр?

Нисколько: подача уведомления бесплатная. Компании, предлагающие «внесём в реестр», берут деньги за подготовку документов, а не за саму регистрацию. Форму на pd.rkn.gov.ru можно заполнить самостоятельно.

Сколько ждать появления в реестре?

Роскомнадзор вносит сведения в течение 30 дней с даты поступления уведомления. При бумажной подаче добавьте время на почту.

Где взять регистрационный номер оператора?

Он появляется в записи реестра после внесения. Найдите себя на pd.rkn.gov.ru по ИНН — номер указан в результатах поиска. Многие компании публикуют его в политике обработки персональных данных.

Сайт на конструкторе, данные хранит платформа. Кто оператор?

Вы. Платформа обрабатывает данные по вашему поручению, а цели сбора определяете вы. В уведомлении укажите передачу данных этому сервису и место хранения базы.

Влияет ли отсутствие в реестре операторов на блокировку сайта?

Нет, это разные реестры. Отсутствие уведомления грозит административной ответственностью, но не ограничением доступа. Недоступность сайта из России проверяйте через проверку блокировки РКН.