Регистрация операторов персональных данных: новые требования и ключевые ошибки

В цифровую эпоху защита персональной информации перестала быть формальностью. Это — обязанность, закреплённая федеральным законом № 152-ФЗ «О персональных данных». С каждым годом требования к компаниям ужесточаются, а контроль усиливается. Причина таких мер очень проста: растёт количество утечек, неправомерного сбора и передачи информации. Именно поэтому в 2025 году вступили в силу новые нормы, уточняющие порядок регистрации операторов персональных данных и повышающие административную ответственность.
Итак, рассмотрим кто обязан регистрироваться в качестве оператора обработки персональных данных, в каком порядке и главное когда
Теперь обязанность уведомить Роскомнадзор об обработке персональных данных распространяется не только на юридические лица, но и на индивидуальных предпринимателей и самозанятых, если они работают с клиентскими данными. Исключений немного — регистрация не требуется только в случаях, когда данные обрабатываются исключительно для личных или семейных нужд, либо без автоматизации.
Регистрация оператора — это не бюрократия ради отчётности. Это подтверждение того, что компания осознаёт свою ответственность и действует в рамках закона.
Виды персональных данных
Все данные делятся на несколько категорий:

• общие (ФИО, контакты, адрес, дата рождения);
• специальные — сведения о здоровье, национальности, убеждениях, политических взглядах;
• биометрические — данные, используемые для идентификации личности (голос, лицо, отпечатки пальцев);
• обезличенные — информация, по которой невозможно определить конкретного человека.

От категории зависит форма согласия и меры защиты. Например, если в коммерческом проекте достаточно электронного согласия («галочка» в форме), то в медицинской сфере требуется письменное согласие пациента на бумажном носителе.
Когда и куда подавать уведомление?
Уведомление подаётся до начала обработки персональных данных. Если компания уже работает, но не уведомила Роскомнадзор — это нарушение, которое может обернуться штрафом: до 150 000 ₽ для ИП и самозанятых, и до 500 000 ₽ для юридических лиц.
Форма уведомления подаётся:

• онлайн — через официальный портал Роскомнадзора (https://pd.rkn.gov.ru/operators-registry/notification/form/) по этой ссылке попадете сразу на страницу заполнения уведомления с использованием квалифицированной электронной подписи;
• на бумаге — лично или почтовым отправлением.

Срок рассмотрения уведомления — до 30 дней. После проверки организация включается в Государственный реестр операторов персональных данных, о чем вы получите уведомление на электронную почту, которую указали при регистрации.
Что указывается в уведомлении
Часть данных заполнится автоматически нашей системой ЕСИА, а над частью придется потрудится. В форме необходимо подробно прописать:

• цели обработки (например, заключение договора, выполнение заказов, ведение клиентской базы);
• категории субъектов (клиенты, пользователи, сотрудники);
• категории данных (ФИО, контакты, паспортные сведения, IP, e-mail);
• способы обработки (автоматизированная, смешанная);
• место хранения и меры защиты;
• сведения о трансграничной передаче данных — если используется зарубежное программное обеспечение или облачные сервисы.

Многие операторы забывают указать именно этот пункт. Между тем, если обработка персональных данных осуществляется на иностранных серверах или с использованием зарубежных программных решений, это считается трансграничной передачей данных, и о ней необходимо уведомить Роскомнадзор.
К таким случаям относятся не только размещение баз клиентов в зарубежных облачных хранилищах, но и использование инструментов на основе искусственного интеллекта — например, ChatGPT, DeepSeek, Claude, Gemini и других нейросетевых систем, серверы которых физически находятся за пределами Российской Федерации. Даже если оператор загружает туда лишь часть таблицы с персональными сведениями — имена, телефоны, адреса электронной почты или другую контактную информацию, — это уже считается передачей данных третьим лицам.
Важно понимать, что любая форма взаимодействия с подобными системами, при которой персональные данные вводятся, обрабатываются или анализируются с использованием внешней нейросети, формально подпадает под понятие трансграничной обработки. То есть даже если обработка выполняется в тестовых целях или для внутреннего анализа, она требует фиксации в уведомлении и оценки рисков.
Кроме того, использование интеллектуальных инструментов, подключённых к иностранным API (включая генераторы отчётов, переводчики, системы аналитики или чат-боты), также создаёт юридически значимую передачу данных за рубеж. В таких случаях оператор обязан:

• указать страны, где располагаются серверы или дата-центры;
• обозначить основания для передачи;
• подтвердить, что уровень защиты данных в этих странах не ниже российского.

Таким образом, любая передача даже обезличенных таблиц, CRM-выгрузок или служебных файлов через зарубежные нейросети должна рассматриваться как потенциально трансграничная обработка и отражаться в уведомлении Роскомнадзор
Документы, которые должны быть в организации
Одного уведомления недостаточно. Регистрация в качестве оператора — это только формальный первый шаг. Закон требует, чтобы в компании были утверждены и поддерживались в актуальном состоянии внутренние регламенты и документы, подтверждающие законность и безопасность обработки данных.
Минимальный комплект включает:

• Политику обработки персональных данных — публичный документ, описывающий цели, способы и порядок обработки;
• Приказ о назначении ответственного за работу с персональными данными;
• Положение об обработке ПДн — внутренний документ, определяющий роли, порядок доступа и меры защиты;
• Согласия субъектов на обработку данных — в нужной форме (письменной, электронной или смешанной, в зависимости от категории данных);
• Договоры с подрядчиками и партнёрами, если им предоставляется доступ к персональным данным (например, бухгалтерским сервисам, маркетинговым агентствам, IT-подрядчикам);
• Журналы учёта обращений субъектов, запросов и актов уничтожения данных;
• Планы реагирования на инциденты и акты обезличивания данных (для компаний, использующих большие массивы информации или автоматизированные системы).

Объём и детализация этого пакета зависят от размера и уровня организации.
У микробизнеса и самозанятых требования минимальны: достаточно утвердить политику, получить согласия и обеспечить защиту баз.
Для среднего и крупного бизнеса, особенно в сфере IT, образования, медицины, логистики или финансов, объём обязанностей значительно шире — вплоть до ведения реестров доступа, журналов аудита, регулярных проверок и инструктажей персонала.
Особое внимание уделяется компаниям, которые ведут цифровую обработку данных — через CRM, облачные хранилища, мессенджеры и нейросетевые решения. Такие организации должны не только документально закрепить процессы, но и технически подтвердить, что данные защищены (шифрование, резервное копирование, ограничение доступа, протоколы безопасности).
Таким образом, набор документов и мер безопасности напрямую зависит от специфики бизнеса, его масштаба и уровня автоматизации. Однако базовые принципы для всех одинаковы: законность, прозрачность и возможность подтвердить каждое действие с персональными данными.

Ключевые ошибки операторов
Роскомнадзор регулярно фиксирует повторяющиеся нарушения, которые допускают даже опытные компании.

1. Подача уведомления после начала обработки данных.
2. Уведомление должно подаваться до начала работы с персональными данными. Если сбор уже идёт — например, через формы на сайте или CRM, — это считается нарушением, даже если уведомление подано позже.
3. Слишком общие цели («маркетинг», «улучшение сервиса»).
4. Такие формулировки не соответствуют требованиям закона. Цели должны быть конкретными и измеримыми: «ведение клиентской базы», «оформление договоров», «рассылка уведомлений о статусе заказов».
5. Отсутствие информации о трансграничной передаче.
6. Если компания использует иностранные облачные сервисы, аналитику, почтовые платформы, мессенджеры или нейросетевые инструменты (например, ChatGPT, DeepSeek и другие), это уже считается трансграничной передачей. Отсутствие этого пункта в уведомлении приравнивается к нарушению.
7. Отсутствие актуализации при смене сервисов, домена или модели работы.
8. Закон требует вносить изменения в уведомление, если меняются цели, способы или средства обработки данных. Однако многие организации этого не делают.
9. На практике деятельность компании часто развивается: добавляются новые направления, переход на электронный документооборот, внедряются CRM или чат-боты, используются подрядчики и облачные системы. Но в уведомлении Роскомнадзора всё остаётся «как было пять лет назад».
10. Несоответствие между уведомлением и фактическими процессами.
11. Это наиболее частая и опасная ошибка. Компания на бумаге указывает одно, а на деле работает иначе: другие категории субъектов, иные формы согласия, новые инструменты и технологии.
12. При проверке инспекторы сопоставляют фактические процессы с данными из реестра. Если несоответствие выявлено — формально это приравнивается к отсутствию уведомления и влечёт административную ответственность.

Важно: актуальность уведомления проверяется не только по содержанию, но и по дате. Если документ не обновлялся более трёх лет, а компания за это время сменила платформы, систему хранения или структуру данных, Роскомнадзор может признать уведомление недействительным.
Эти ошибки часто выявляются при проверках и приводят к штрафам, предписаниям об устранении нарушений и блокировке отдельных сервисов. Чтобы избежать этого, необходимо регулярно пересматривать уведомление и внутренние документы, синхронизируя их с фактическими бизнес-процессами.

Регистрация — это не отчёт, а инструмент доверия
Сегодня регистрация оператора персональных данных — не формальность, а реальный показатель зрелости компании.
Она фиксирует, что организация не просто собирает данные, а понимает, как с ними обращаться, где они хранятся, кто имеет доступ и какие риски возможны. Это вопрос прозрачности, доверия и устойчивости в цифровой среде.
Главная ошибка многих операторов в том, что регистрация воспринимается как одноразовая процедура.
Но бизнес меняется: появляются новые сервисы, сотрудники, подрядчики, инструменты аналитики или автоматизации. В итоге уведомление, поданное однажды, перестаёт отражать реальность — и компания формально числится оператором, но по сути работает вне рамок уведомлённой деятельности.
Такое несоответствие — частая причина предписаний и штрафов при проверках Роскомнадзора.
Регистрация — это динамичный процесс, который должен обновляться вместе с развитием компании. Только тогда он выполняет свою задачу: обеспечивает законность обработки данных и защищает как сам бизнес, так и его клиентов.
Практическое руководство по регистрации
Мы подготовили пошаговый Zoom-разбор, где показали, как выглядит процедура регистрации на практике — от заполнения уведомления до проверки внутренних документов.
Разбираем конкретные примеры, реальные ошибки операторов и даём комментарии, как их избежать.
📎 Посмотреть запись можно здесь:
▶️ Zoom-разбор «Регистрация оператора персональных данных»
Этот Zoom стал практическим пособием, а не теоретическим вебинаром.
Мы рассматриваем живые кейсы и разбираем пошагово, что действительно нужно сделать, чтобы регистрация оператора не была «для галочки», а соответствовала реальной деятельности.
«Проверить себя проще, чем объяснять регулятору. Начните с уведомления — это первый шаг к цифровой дисциплине»

Елена Волынская — юрист,
генеральный директор ООО «ГЕТ»,
эксперт по цифровому праву и устойчивости бизнеса в цифровой среде.