Кто должен подавать уведомление в Роскомнадзор об обработке персональных данных и кто освобождён

Кто обязан подавать уведомление: общее правило

По Федеральному закону от 27.07.2006 № 152-ФЗ «О персональных данных» подать уведомление обязан оператор — тот, кто организует или осуществляет обработку персональных данных. Обработка — это практически любое действие с данными человека: сбор, запись, хранение, использование, передача. А значит, вопрос «кто должен уведомлять» сводится к простому: обрабатываете ли вы данные других людей.

Вы обязаны подать уведомление, если у вас есть хотя бы что-то из этого:

• сайт с формой заявки, обратной связи, подписки или онлайн-оплаты;
• база клиентов, лидов или подписчиков в CRM, таблице или рассылке;
• наёмные сотрудники или исполнители по договору;
• интернет-магазин, запись на услугу, личный кабинет.

Ключевой момент: обязанность подавать уведомление возникает до начала обработки персональных данных, а статус оператора не зависит от организационно-правовой формы. Как именно проверить свой статус и подать документ — подробно разобрано в гайде об уведомлении в Роскомнадзор.

Таблица: кто подаёт уведомление, а кто освобождён

Проще всего свериться по типовой ситуации. В таблице ниже — кто должен подавать уведомление об обработке персональных данных, а кто под 152-ФЗ не подпадает.

Нужно ли ИП, самозанятому и физлицу подавать уведомление

Это самый частый интент-запрос, и ответ одинаковый: да, если вы обрабатываете чужие персональные данные. Разберём по ролям:

• ИП. Индивидуальный предприниматель, у которого есть клиенты, заказчики или сотрудники, — полноценный оператор персональных данных и подаёт уведомление на общих основаниях.
• Самозанятый. Ведёте базу клиентов, принимаете заявки, храните контакты и реквизиты — значит, обрабатываете персональные данные и обязаны подать уведомление. Отдельного освобождения для самозанятых закон не даёт.
• Физлицо. Если человек обрабатывает данные исключительно для личных и семейных нужд (записная книжка, семейный архив), 152-ФЗ на него не распространяется. Но как только появляется коммерческая деятельность и чужие клиенты — он становится оператором.

Работодатели: данные сотрудников больше не освобождают

Раньше действовало популярное исключение: если оператор обрабатывает только данные своих работников, уведомление можно было не подавать. Именно на это ссылались небольшие компании без сайта и клиентской базы.

С 1 сентября 2022 года это исключение отменено. Сегодня наличие даже одного наёмного сотрудника делает вас оператором, обязанным подать уведомление. Поэтому «у нас только зарплатный проект и кадры» — уже не основание молчать перед Роскомнадзором.

Исключения: кто действительно освобождён от подачи

До 1 сентября 2022 года статья 22 152-ФЗ содержала широкий перечень оснований не подавать уведомление. Обработку можно было не заявлять, если данные:

• относились только к сотрудникам оператора;
• обрабатывались в рамках договора с субъектом без передачи третьим лицам;
• были общедоступными;
• включали только ФИО субъекта;
• обрабатывались без использования средств автоматизации.

Все эти основания были отменены. Сегодня перечень исключений минимален, и безопасная позиция для бизнеса такая: обрабатываете персональные данные — подавайте уведомление. За рамками 152-ФЗ остаётся, по сути, лишь обработка физлицом данных исключительно для личных и семейных нужд. Прежде чем решить, что вы освобождены, сверьтесь с актуальной редакцией статьи 22 152-ФЗ — законодатель периодически её корректирует.

Чеклист: нужно ли вам подавать уведомление

Отметьте пункты, которые про вас. Хотя бы одно совпадение означает, что вы обязаны подать уведомление в Роскомнадзор:

• На сайте есть форма заявки, обратной связи, подписки или оплаты.
• Вы ведёте базу клиентов, лидов или подписчиков.
• У вас есть наёмные сотрудники или исполнители по договору.
• Вы принимаете заявки в мессенджерах и храните контакты.
• У вас интернет-магазин, онлайн-запись или личный кабинет.
• Вы передаёте данные подрядчикам (рассылки, аналитика, бухгалтерия).

Если не отмечен ни один пункт и вы обрабатываете данные только о себе или для личных нужд — уведомление, скорее всего, не требуется. Во всех остальных случаях вы в числе тех, кто должен подавать.

5 частых ошибок: кто зря думает, что освобождён

• «У меня просто визитка» — форма обратной связи уже делает вас оператором.
• «У меня только сотрудники, клиентов нет» — исключение для данных работников отменено с 01.09.2022.
• «Я самозанятый / ИП, это не про меня» — форма бизнеса не освобождает от подачи.
• «Я обрабатываю только ФИО» — прежнее исключение «только ФИО» больше не действует.
• «Веду базу в Excel, без CRM и автоматизации» — исключение «без средств автоматизации» тоже отменено.

Читайте также

• Уведомление в Роскомнадзор об обработке персональных данных: как проверить статус и подать в 2026 — обзорный гайд: оператор, реестр, уведомление.
• Как подать уведомление в Роскомнадзор: пошаговая инструкция для ИП и ООО — три способа подачи, поля формы, сроки и возвраты.
• Реестр операторов персональных данных: как проверить компанию по ИНН — узнать за минуту, числитесь ли вы оператором уже сейчас.
• Сроки уведомления об утечке персональных данных: 24 и 72 часа — точные сроки для оператора при инциденте.
• Что делать при утечке персональных данных: пошаговый план действий — порядок шагов, если утечка уже произошла.
• Штрафы за персональные данные в 2026 году: сколько и за что — во сколько обходится статус «не оператора».
• Как привести сайт в соответствие с 152-ФЗ: требования к сайту — общий чек-лист для оператора-сайта.
• Согласие на обработку персональных данных: как оформить правильно — что должно быть в согласии и когда нужно письменное.
• Политика обработки персональных данных — пример документа, который должен быть на сайте оператора.

Частые вопросы