Статья 22 закона 152-ФЗ обязывает оператора уведомить Роскомнадзор о намерении обрабатывать персональные данные до начала обработки. Если сайт принимает заявки с именем и телефоном, его владелец такие данные обрабатывает. Исключений в законе осталось три, и форма заявок на сайте ни под одно из них не подходит. После подачи уведомления Роскомнадзор в течение 30 дней вносит оператора в реестр, и там себя можно проверить.
- До первой заявкиУведомление подают до начала обработки данных
- Изменились сведенияСообщить до 15-го числа следующего месяца
- ШтрафДля компаний и ИП от 100 до 300 тысяч рублей
- РеестрПроверить себя можно на портале Роскомнадзора
Что говорит закон
Часть 1 статьи 22 закона «О персональных данных»: «Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи».
Уполномоченный орган здесь Роскомнадзор. Оператор это тот, кто организует обработку данных и решает, зачем она нужна: для сайта с формой заявки это его владелец, компания или предприниматель.
Источник: ст. 22 Федерального закона № 152-ФЗ
Какие исключения остались
В части 2 статьи 22 раньше было девять случаев, когда уведомлять не нужно. Первые шесть утратили силу с 1 сентября 2022 года. Действуют три: данные в государственных информационных системах, созданных для защиты безопасности государства и общественного порядка; обработка «исключительно без использования средств автоматизации»; обработка по законодательству о транспортной безопасности.
Форма на сайте, которая отправляет заявку на почту, в мессенджер или в CRM, это обработка с помощью компьютера, то есть с автоматизацией. К госсистемам и транспортной безопасности обычный сайт бизнеса отношения не имеет. Поэтому заявки с сайта ни под одно из трёх исключений не попадают. В старых статьях и комментариях к закону ещё встречается прежний список из девяти пунктов, на него опираться нельзя.
Источник: ч. 2 ст. 22 152-ФЗ на КонсультантПлюс, ред. от 26.07.2026
Что указывают в уведомлении
Уведомление направляют на бумаге или в форме электронного документа, его подписывает уполномоченное лицо. Состав сведений задан частями 3 и 3.1 статьи 22. Если коротко, Роскомнадзор хочет знать:
- 1кто оператор: наименование или ФИО и адрес;
- 2цель обработки, а для каждой цели категории данных и чьи это данные, правовое основание, действия с данными и способы обработки;
- 3какие меры защиты приняты по статьям 18.1 и 19, включая сведения о шифровальных средствах;
- 4кто ответственный за обработку и его контакты;
- 5дату начала обработки и срок или условие её прекращения;
- 6есть ли трансграничная передача данных, то есть уходят ли они за рубеж;
- 7где находится база данных с персональными данными граждан России;
- 8как обеспечена безопасность данных по требованиям Правительства.
Источник: ч. 3 и ч. 3.1 ст. 22 152-ФЗ
Если что-то изменилось
Уведомление не подаётся один раз навсегда. Часть 7 статьи 22: оператор «не позднее 15-го числа месяца, следующего за месяцем, в котором возникли такие изменения, обязан уведомить уполномоченный орган... обо всех произошедших за указанный период изменениях».
На практике это значит: добавили на сайт новую форму с другими данными, подключили новый сервис, куда уходят заявки, сменили адрес или ответственного, и сведения в реестре нужно обновить. Если обработку прекратили совсем, по той же части Роскомнадзор нужно уведомить «в течение десяти рабочих дней с даты прекращения обработки персональных данных».
Источник: ч. 7 ст. 22 152-ФЗ
Кого это касается: что мы видим на сайтах
23 сентября 2026 года мы проверили главные страницы 139 сайтов местного бизнеса: клиники, салоны, автосервисы, юристы. Форма с полем для телефона нашлась на 72 из них. Каждый из этих владельцев собирает телефоны через сайт, и вопрос уведомления касается их напрямую.
Состоят ли эти компании в реестре, мы не проверяли. Поэтому здесь нет вывода о том, сколько из них нарушает закон, есть только масштаб: больше половины открывшихся сайтов принимают персональные данные.
Источник: наша проверка 139 сайтов
Как проверить себя в реестре
Реестр операторов открыт для всех на портале персональных данных Роскомнадзора: pd.rkn.gov.ru/operators-registry/operators-list. Найдите в нём свою компанию или себя как предпринимателя. Если записи нет, а сайт принимает заявки, уведомление, скорее всего, не подавали. Учтите срок: по части 4 статьи 22 Роскомнадзор вносит сведения в реестр в течение тридцати дней с даты поступления уведомления.
За неподачу уведомления штрафуют по части 10 статьи 13.11 КоАП: «Невыполнение или несвоевременное выполнение оператором… обязанности по уведомлению уполномоченного органа… о намерении осуществлять обработку персональных данных». Штраф для граждан от 5 до 10 тысяч рублей, для компаний от 100 до 300 тысяч. Предприниматели по этой части отвечают как компании.
Источники: реестр операторов Роскомнадзора · ч. 4 ст. 22 152-ФЗ · ст. 13.11 КоАП на КонсультантПлюс, ред. от 26.07.2026 · текст КоАП на kremlin.ru
Что сделать сегодня
Техосмотр сайта
Пять проверок, которые вы делаете сами, без программиста. Каждая про деньги: потерянную заявку, штраф или сайт, который однажды утром не открылся. Непонятные слова объяснены в словарике на каждом листе, галочки ставятся прямо в файле.
- 1Чей у вас домен
- 2Есть ли у вас ключи от сайта
- 3Форма заявки и персональные данные
- 4Доходит ли заявка до человека
- 5Видит ли ваш сайт Яндекс
Частые вопросы
У меня маленький сайт и пара заявок в месяц. Всё равно нужно?
Закон не ставит обязанность в зависимость от числа заявок. Важно, есть ли обработка персональных данных и подходит ли она под одно из трёх исключений части 2 статьи 22.
Если заявки приходят только в мессенджер, а формы нет?
Человек сам пишет вам в мессенджер, и вы видите его имя и сообщения. Как это квалифицировать, закон прямо не описывает. Если сомневаетесь, проще подать уведомление, чем потом объяснять, почему не подали.
Сколько стоит подать уведомление?
Бесплатно. Часть 5 статьи 22: «На оператора не могут возлагаться расходы в связи с рассмотрением уведомления об обработке персональных данных уполномоченным органом по защите прав субъектов персональных данных, а также в связи с внесением сведений в реестр операторов».
Словарик
- Оператор персональных данных
- Тот, кто организует обработку чужих персональных данных и решает, зачем она нужна.
- Роскомнадзор
- Государственный орган, который следит за соблюдением закона о персональных данных.
- Уведомление об обработке
- Сообщение Роскомнадзору о том, что вы собираетесь обрабатывать персональные данные.
- Реестр операторов
- Открытый список операторов, которых Роскомнадзор внёс туда по их уведомлениям.
- Средства автоматизации
- Компьютеры и программы: почта, CRM, таблицы, формы на сайте.
- КоАП
- Кодекс об административных правонарушениях: в нём штрафы за нарушения.
Ещё по теме
Нашли проблему в своём сайте?
Пришлите ссылку, скажу, что чинить первым. Любой разговор бесплатный, платной бывает только сама работа.
Написать в Telegram