Срок включения в реестр операторов: 30 дней

Шаг 1. Установите, обязаны ли вы уведомлять РКН

Уведомление обязательно для всех операторов, которые обрабатывают персональные данные с помощью средств автоматизации или без таковых, если обработка направлена на распространение ПДн неограниченному кругу лиц. Исключения перечислены в ч. 2 ст. 22 ФЗ-152: среди них — обработка ПДн работников исключительно для исполнения трудового договора, обработка без передачи третьим лицам, обработка религиозными организациями.

На практике большинство организаций под исключения не подпадают: любая CRM, сайт с формой обратной связи, рассылка или программа лояльности — это автоматизированная обработка с передачей данных. Проверьте каждое направление деятельности отдельно: одна компания может одновременно попадать под исключение по кадровым ПДн и обязываться уведомлять по клиентской базе.

Шаг 2. Заполните уведомление по форме Приказа РКН № 180

Форма уведомления установлена Приказом РКН № 180 от 28.10.2022. Подача — через портал pd.rkn.gov.ru с авторизацией через ЕСИА или с использованием усиленной квалифицированной электронной подписи. Бумажная подача допустима, но на практике ведёт к затягиванию срока: РКН обрабатывает электронные заявки быстрее.

В уведомлении необходимо указать: наименование и адрес оператора, цели обработки, категории субъектов и перечень ПДн, правовое основание обработки по ст. 6 ФЗ-152, способы обработки (автоматизированный, неавтоматизированный, смешанный), сведения о трансграничной передаче, меры по обеспечению безопасности. Ошибки в любом из этих полей — основание для запроса на уточнение, что сдвигает 30-дневный срок.

Если обработка ведётся по нескольким целям с разными правовыми основаниями, укажите каждое основание отдельно. Смешение целей в одном блоке нарушает принцип ст. 5 ФЗ-152 об определённости целей и может привлечь внимание инспектора при проверке.

Шаг 3. Дождитесь включения в реестр: 30 дней и что делать в этот период

После подачи корректного уведомления РКН обязан включить оператора в реестр в течение 30 дней (ч. 4 ст. 22 ФЗ-152). На протяжении этого периода обработка ПДн уже ведётся на законных основаниях — уведомление подано до начала обработки, как того требует закон. Статус «ожидает включения» не является нарушением.

Используйте эти 30 дней для параллельной сборки ОРД. К моменту получения выписки из реестра у вас должны быть готовы: политика обработки ПДн по ч. 2 ст. 18.1, приказ о назначении ответственного по ст. 22.1, согласия субъектов по новой форме ФЗ-156, журнал учёта обращений субъектов, инструкции для сотрудников. Если при первой же плановой проверке РКН обнаружит запись в реестре без документального обеспечения — это основание для возбуждения дела сразу по нескольким частям ст. 13.11.

Шаг 4. Опубликуйте политику конфиденциальности по ст. 18.1 ФЗ-152

Публикация политики обработки персональных данных — самостоятельная обязанность по ч. 2 ст. 18.1 ФЗ-152, не зависящая от наличия или отсутствия уведомления в реестре. Её отсутствие образует состав по ч. 3 ст. 13.11 КоАП: штраф для юридического лица — от 30 000 до 60 000 рублей.

Политика размещается в открытом доступе: как правило, на сайте оператора в нижнем меню. Для операторов без сайта — на информационном стенде или по запросу субъекта. Содержание политики должно охватывать правовые основания обработки по ст. 6, категории субъектов, сроки хранения, порядок реализации прав субъектов по ст. 14–21 ФЗ-152, сведения о трансграничной передаче при её наличии.

Не используйте шаблоны из открытых источников без адаптации: политика должна отражать фактические процессы конкретного оператора. Шаблон с чужими целями и правовыми основаниями — это документ, который опровергает себя же при первой проверке.

Шаг 5. Назначьте ответственного по ст. 22.1 ФЗ-152

Оператор — юридическое лицо обязан назначить лицо, ответственное за организацию обработки персональных данных (ст. 22.1 ФЗ-152). Требования к квалификации установлены ч. 4 той же статьи. Назначение оформляется приказом руководителя с указанием полномочий и порядка взаимодействия с РКН.

Ответственный принимает запросы субъектов по ст. 14–21 ФЗ-152, обеспечивает ответы в срок 10 рабочих дней, ведёт журнал обращений, организует ознакомление сотрудников с локальными актами. При внеплановой проверке РКН именно ответственный является первым контактным лицом. Отсутствие назначенного ответственного — косвенный признак системного несоответствия, который инспекторы фиксируют как отягчающее обстоятельство.

Если в штате нет подходящего специалиста, функции ответственного можно передать на аутсорсинг (DPO-аутсорсинг). Договор с внешним DPO не снимает ответственности с оператора, но обеспечивает исполнение требований ст. 22.1 на практике.

Шаг 6. Приведите согласия в соответствие с требованиями ФЗ-156 от 24.06.2025

С 01.09.2025 согласие на обработку персональных данных оформляется отдельным документом — оно не может быть частью трудового договора, оферты, политики или иного документа (ч. 1 ст. 9 ФЗ-152 в редакции ФЗ-156 от 24.06.2025). Обязательные реквизиты: ФИО субъекта, его контактные данные, наименование и реквизиты оператора, цель обработки, перечень персональных данных, перечень действий с ними, срок действия согласия, способ отзыва.

Согласия, полученные до 01.09.2025 в составе трудовых договоров или иных документов, не требуют обязательного переоформления — ФЗ-156 обратной силы не имеет. Однако если субъект отзовёт такое согласие или потребует его уточнения, оператор обязан оформить новый документ по актуальным требованиям. Превентивное переоформление снижает риск претензий при проверке.