РКН Аудит
Если изменились сведения, которые оператор указал в уведомлении об обработке персональных данных, — сменился ответственный за организацию обработки, адрес или наименование, добавились цели, категории данных или субъектов, изменились правовое основание, способы обработки или местонахождение базы данных, — часть 7 статьи 22 152-ФЗ обязывает уведомить Роскомнадзор не позднее 15-го числа месяца, следующего за месяцем изменения. Подаётся не новое уведомление, а уведомление об изменении сведений по форме из приказа Роскомнадзора №180: через портал персональных данных с входом через Госуслуги и подписью электронной подписью или на бумаге в территориальный орган.
Проверить бесплатно, что регулятор видит на вашем сайте без запроса ←
Какие изменения требуют уведомления Роскомнадзора?
Логика простая: уведомить нужно об изменении любого сведения, которое оператор указывал в уведомлении о намерении осуществлять обработку. Перечень этих сведений задают две нормы — часть 3 статьи 22 152-ФЗ (реквизиты оператора, цель, меры защиты, ответственный, даты, трансграничная передача, местонахождение базы) и часть 3.1 той же статьи (категории данных и субъектов, правовое основание, перечень действий и способы обработки — по каждой цели отдельно). Вместе он шире, чем кажется.
| Что изменилось | Нужно ли уведомлять | Комментарий |
|---|---|---|
| Наименование, адрес оператора | Да | В том числе смена юридического адреса при переезде |
| Цели обработки | Да | Появилась рассылка, программа лояльности, личный кабинет — это новые цели |
| Категории персональных данных | Да | Начали собирать дату рождения, паспортные данные для возврата, геолокацию |
| Категории субъектов | Да | Были только покупатели — добавились соискатели или пользователи приложения |
| Правовое основание обработки | Да | Например, перешли с согласия на договор для части данных |
| Перечень действий, способы обработки | Да | Внедрили CRM вместо таблиц, добавили передачу подрядчику |
| Меры защиты, в том числе средства шифрования | Да | Сменили хостинг, внедрили новую систему защиты |
| Ответственный за организацию обработки: ФИО, телефон, почтовый адрес, электронная почта | Да | Один из самых частых поводов — и самый часто забываемый |
| Дата начала обработки | Нет | Историческая дата не меняется |
| Срок или условие прекращения обработки | Да | Если изменилась политика хранения |
| Трансграничная передача: появилась или прекратилась | Да | Плюс отдельная процедура уведомления по статье 12 152-ФЗ |
| Местонахождение баз данных граждан РФ | Да | Переезд на другой хостинг или в другое облако |
| Появилась новая информационная система | Сама по себе — нет | Отдельного сведения «информационная система» в перечне частей 3 и 3.1 нет. Уведомлять нужно, если новая система изменила то, что в перечне есть: цели, категории данных, способы обработки, меры защиты, местонахождение базы |
| Сменился руководитель организации | Сам по себе — нет | Фамилия руководителя в перечне сведений не значится: она стоит в подписном реквизите формы. Уведомлять нужно, если руководитель был одновременно ответственным за организацию обработки, — тогда меняется пункт 7.1 |
| Обработка прекращена полностью | Да, отдельная форма | Срок другой — 10 рабочих дней |
Из таблицы видно, почему запись в реестре у большинства операторов устаревает: уведомление подавали при запуске сайта, а бизнес с тех пор изменился по нескольким пунктам сразу. Как описывать цели обработки так, чтобы их не приходилось менять каждые полгода, разобрано в статье «Цели обработки персональных данных в уведомлении».
Считается ли смена ответственного за обработку таким изменением?
Да, и это стоит разобрать отдельно, потому что вопрос возникает чаще других.
Статья 22.1 152-ФЗ обязывает оператора — юридическое лицо назначить лицо, ответственное за организацию обработки персональных данных. Это лицо получает указания от исполнительного органа и подотчётно ему; в его обязанности входят внутренний контроль, информирование работников о требованиях закона и организация приёма обращений субъектов. У индивидуального предпринимателя такой обязанности нет, но если он указал ответственного в уведомлении, менять сведения нужно так же.
Пункт 7.1 части 3 статьи 22 152-ФЗ включает в уведомление фамилию, имя, отчество ответственного лица или наименование юридического лица, которому поручена организация обработки, и их контактные данные: телефон, почтовый адрес, адрес электронной почты. Значит, изменением сведений считается не только назначение нового человека, но и смена его рабочего телефона или почты. На практике достаточно, чтобы контакт оставался рабочим — регулятор пишет на него, когда у него появляются вопросы к оператору.
Что происходит внутри компании при смене ответственного:
- Руководитель подписывает приказ об освобождении прежнего ответственного и назначении нового с датой.
- Новый ответственный знакомится с локальными актами и получает доступ к журналу обращений субъектов, реестру согласий, актам об уничтожении.
- В политике обработки и на сайте обновляется контакт для обращений, если там был указан конкретный человек.
- В Роскомнадзор подаётся уведомление об изменении сведений — не позднее 15-го числа следующего месяца.
Четвёртый шаг пропускают чаще всего. Запись в реестре продолжает называть человека, который уволился два года назад, письмо регулятора уходит на его почту — и оператор узнаёт о запросе, когда срок ответа уже истёк.
Как подать уведомление об изменении сведений?
Форма утверждена приказом Роскомнадзора №180 от 28.10.2022 вместе с двумя другими: о намерении осуществлять обработку и о прекращении обработки. Порядок подачи такой.
Шаг 1. Найти свой регистрационный номер. Он присвоен при первичной регистрации и указывается в уведомлении об изменении. Найти его можно по ИНН в открытом реестре на портале персональных данных Роскомнадзора — инструкция в статье «Реестр операторов персональных данных: проверка по ИНН». Если по ИНН записи нет, значит, первичное уведомление не подавалось, и нужна другая процедура — уведомление о намерении, а не об изменении.
Шаг 2. Собрать изменившиеся сведения. В форме указываются регистрационный номер, сведения об операторе, дата изменения и содержание изменений — в той же структуре, что в первичном уведомлении. Проще всего взять текущую запись из реестра, отметить, что в ней устарело, и заполнить только эти поля.
Шаг 3. Заполнить форму на портале персональных данных. На pd.rkn.gov.ru в разделе реестра операторов выбирается форма уведомления об изменении сведений. Вход — через Госуслуги, от имени организации. Заполненная форма подписывается электронной подписью руководителя или уполномоченного лица и отправляется.
Шаг 4. Бумажный вариант — если электронной подписи нет. Та же форма заполняется на портале, распечатывается, подписывается руководителем и направляется в территориальный орган Роскомнадзора по месту регистрации оператора. Отправлять стоит способом, который даёт подтверждение отправки с датой: ни 152-ФЗ, ни приказ №180 не говорят, считается ли обязанность исполненной по дате отправки или по дате поступления, а по аналогии с пунктом 2 статьи 194 ГК заявление, сданное в организацию связи до двадцати четырёх часов последнего дня срока, считается сделанным в срок. Аналогия — не гарантия, поэтому запас в пару дней надёжнее спора о дате.
Шаг 5. Сохранить подтверждение и проверить реестр. Срока на внесение изменений в уже существующую запись статья 22 152-ФЗ не устанавливает: тридцать дней из части 4 относятся к уведомлению о намерении осуществлять обработку, то есть к первичной регистрации. Ориентироваться на тот же месяц разумно, но требовать его со ссылкой на закон нельзя. Через месяц запись стоит проверить по ИНН: если изменения не появились, запросить статус в территориальном органе, приложив подтверждение подачи.
Один нюанс со сроком. Правило «не позднее 15-го числа следующего месяца» работает по календарю, а не по рабочим дням, и само 15-е число входит в срок: изменение 1 сентября и изменение 30 сентября дают одну и ту же крайнюю дату — 15 октября. Удобная практика — раз в месяц, в первых числах, сверять реестр с тем, что изменилось за прошлый месяц, и подавать одно уведомление на все изменения сразу.
Что делать, если уведомление подавал прошлый директор, бухгалтер или подрядчик?
Типичная картина: запись в реестре есть, подавал её кто-то, кого в компании давно нет, документов не осталось, а в записи — старый адрес и неизвестный ответственный.
Доступ к чужой учётной записи не нужен. Оператор — это организация, а не человек, который нажимал кнопку. Действующий руководитель подписывает уведомление об изменении сведений от имени организации; регистрационный номер берётся из открытого реестра.
Смена самого руководителя отдельным изменением сведений не является: в перечне частей 3 и 3.1 статьи 22 фамилии руководителя нет, она стоит в подписном реквизите формы — «оператора или иного уполномоченного лица оператора». Подписать новое уведомление действующий директор вправе и без всяких дополнительных процедур. А вот если прежний руководитель был заодно и ответственным за организацию обработки, меняется пункт 7.1 — и уведомлять нужно.
Единственное, что действительно стоит восстановить, — содержание первичного уведомления: какие цели, категории и основания там были заявлены. Часть 4 статьи 22 делает реестр общедоступным за одним исключением: закрываются сведения о средствах обеспечения безопасности персональных данных при их обработке (пункт 11 части 3). Всё остальное, включая описание мер по статьям 18.1 и 19 (пункт 7) и данные ответственного (пункт 7.1), в открытой части быть должно. По ней и составляется уведомление об изменении: всё, что в записи не совпадает с фактической обработкой, обновляется одним документом.
Если запись описывает обработку, которой у оператора никогда не было, — например, подрядчик скопировал шаблон с чужими целями, — исправление тем более необходимо: при проверке инспектор будет сверять сайт и документы именно с этой записью. Что ещё он запросит, собрано в статье «Проверка Роскомнадзора: какие документы запрашивают».
Чем грозит устаревшая запись в реестре?
Здесь важно не преувеличивать и не преуменьшать.
Отдельного состава за просрочку уведомления об изменениях в статье 13.11 КоАП нет. Часть 10 этой статьи наказывает невыполнение или несвоевременное выполнение обязанности уведомить о намерении осуществлять обработку — то есть отсутствие первичного уведомления. Непредставление сведений, которые оператор обязан представить в государственный орган, квалифицируется по статье 19.7 КоАП, и санкция там несопоставимо мягче. Размеры по статье 13.11 собраны в статье «Штрафы Роскомнадзора за персональные данные в 2026 году», по статье 19.7 — в разборе «Ответственность за невыполнение требований Роскомнадзора».
Реальный риск — в другом. Запись в реестре — первое, что инспектор сравнивает с сайтом и документами. Если в реестре три цели, а на сайте пять форм под семь целей, если ответственный в записи не работает, а данные лежат не в той системе, — расхождение становится отправной точкой для вопросов к политике, согласиям, поручениям подрядчикам и мерам защиты. Одно неподанное уведомление об изменении не создаёт большого штрафа само по себе, но превращает наблюдение за сайтом в проверку документов.
Есть и обратная сторона: аккуратно обновляемая запись работает как доказательство. Оператор, у которого реестр совпадает с сайтом и политикой, показывает регулятору, что обработкой кто-то управляет, — а это ровно то, что статья 18.1 152-ФЗ требует подтверждать.
Как проверить, что запись в реестре актуальна?
Сверка занимает минут двадцать и делается по одному сценарию:
- открыть свою запись в реестре по ИНН и выписать цели, категории данных, категории субъектов, ответственного, местонахождение баз;
- пройти по сайту и перечислить формы, личный кабинет, рассылку, оплату, счётчики, чаты — всё, через что собираются данные;
- сравнить: каждая точка сбора должна попадать под одну из целей в записи, каждый тип данных — в перечень категорий;
- проверить контакт ответственного: работает ли почта, отвечает ли телефон;
- проверить, где физически лежат базы, и совпадает ли это с записью.
Всё, что не совпало, — содержание одного уведомления об изменении. Внешнюю часть этой сверки — какие формы собирают данные, что уходит сторонним сервисам — бесплатный скан на rkn-ok.ru показывает за полминуты; если ИНН удалось найти на сайте или вы указали его сами, скан заодно проверит запись в реестре операторов. Сверку целей и категорий он не заменит, но покажет, с чего начать.
Что читать дальше
- Уведомление в Роскомнадзор об обработке персональных данных — первичная подача по шагам
- Реестр операторов персональных данных: проверка по ИНН — как найти свою запись и регистрационный номер
- Срок уведомления Роскомнадзора — когда подавать первичное уведомление
Источники: Федеральный закон №152-ФЗ «О персональных данных» — статьи 12, 18.1, 22 (части 3, 3.1, 4, 7), 22.1; приказ Роскомнадзора от 28.10.2022 №180 об утверждении форм уведомлений (зарегистрирован в Минюсте 15.12.2022 №71532); КоАП РФ — часть 10 статьи 13.11, статья 19.7; Гражданский кодекс РФ — пункт 2 статьи 194; реестр операторов на портале персональных данных Роскомнадзора.