С 30 мая 2025 года вступил в силу Федеральный закон от № 420-ФЗ, кардинально изменивший административную ответственность за нарушения законодательства о персональных данных. Ситуация еще больше усугубилась (в смысле увеличения санкций) с 27 июня 2025 года после принятия Федерального закона от № 516-ФЗ. В данной статье подробно разберем, какие штрафы ожидают компаний и ИП за неподачу уведомления об обработке персональных данных (ПДн), как правильно выполнить обязательство и что делать, если срок упущен.

Нормативная база: что изменилось в 2025 году

До мая 2025 года ответственность за неподачу уведомления регулировалась ст. 19.7 КоАП РФ (непредставление информации) и предусматривала относительно незначительные штрафы (от 1 000 до 50 000 руб.). С принятием 420-ФЗ и 516-ФЗ в Кодекс об административных правонарушениях (КоАП РФ) внесены специализированные составы, статья 13.11 КоАП РФ, устанавливающая строгие санкции именно за нарушения в сфере персональных данных.

• 30 мая 2025 г. — вступление в силу 420-ФЗ (базовое повышение штрафов).
• 27 июня 2025 г. — вступление в силу 516-ФЗ (дополнительное повышение верхних пределов штрафов).

На момент сентября 2026 года действуют нормы, установленные 516-ФЗ.

Кто обязан подавать уведомление?

Согласно ст. 22 Федерального закона № 152-ФЗ «О персональных данных», уведомление в Роскомнадзор обязан направить любой оператор персональных данных (компания, ИП, самозанятый, некоммерческая организация, госорган) до начала обработки персональных данных.

Обработка — это любое действие с ПДн: сбор, запись, систематизация, накопление, хранение, уточнение, использование, передача, обезличивание, блокирование, удаление, уничтожение.

Исключения (когда уведомление НЕ требуется):

1. Обработка осуществляется исключительно вручную (без использования средств автоматизации/ЭВМ).
2. Обработка ПДн, доступ неограниченного круга лиц к которым предоставлен самим субъектом ПДн.
3. Обработка по запросу субъекта ПДн в целях заключения договора с ним.
4. Обработка в соответствии с законодательством о государственной тайне, архивном деле и др. (п. 2-8 ч. 2 ст. 6, п. 2 ч. 1 ст. 22 Закона № 152-ФЗ).

Важно: Использование программ 1С:Предприятие, 1С:Фреш, CRM-систем, Excel-таблиц на компьютере, облачных сервисов — это автоматизированная обработка, требующая уведомления.

Сроки подачи уведомления

• Общее правило: Не позднее чем за 30 календарных дней до начала обработки ПДн (ранее было 10 дней, 420-ФЗ увеличил срок для подготовки).
• Если вы уже обрабатываете данные и не уведомили: Уведомление нужно подать как можно скорее. Подача уведомления позднее установленного срока не освобождает от ответственности за прошлое нарушение, но прекращает его продолжение и снижает риск повторных проверок.

Дата 30 мая 2025 года — это не дедлайн подачи для всех, а дата вступления в силу новых штрафов. Если вы начали обрабатывать данные 1 июня 2025 года и не уведомили Роскомнадзор за 30 дней до этого — вы уже нарушили закон.

Размеры штрафов за неподачу уведомления (ст. 13.11 КоАП РФ)

Согласно проверенным экспертами данным (в т.ч. публикациям на Хабр, Контур.Экстерн, БУХ.1С) и тексту 516-ФЗ, штрафы за непредставление уведомления о начале обработки ПДн (ч. 1 ст. 13.11 КоАП РФ) на текущий момент составляют:

Для сравнения (динамика изменений):

• До (ст. 19.7 КоАП): Юрлица — 10 000 – 50 000 руб.
• – (420-ФЗ): Юрлица — 30 000 – 100 000 руб. (по некоторым данным до 300 000 руб. за повторное).
• С (516-ФЗ, действует сейчас): Юрлица — 100 000 – 300 000 руб.

Обратите внимание: Штрафы указаны за одно правонарушение (неподачу уведомления). Если у компании несколько баз данных/обработок, по которым не подано уведомление, теоретически могут быть вынесены несколько протоколов, хотя судебная практика по агрегации нарушений еще формируется.

Штрафы за связанные нарушения (для контекста)

Часто неподача уведомления выявляется вместе с другими нарушениями; 516-ФЗ установил следующие пределы (ч. 2, 3, 3.1 ст. 13.11 КоАП РФ):

• Нарушение режима обработки ПДн (ч. 2): Юрлица — 300 000 – 500 000 руб. (ИП: 100 000 – 200 000 руб.; должностные лица: 30 000 – 50 000 руб.).
• Непредставление уведомления об утечке ПДн в 24 часа (ч. 3.1): Юрлица — 300 000 – 500 000 руб.
• Повторные нарушения (ч. 4, 5): Штрафы до 1 000 000 руб. для юрлиц или дисквалификация должностных лиц на 1–3 года.

Порядок подачи уведомления в 2026 году

Подача осуществляется исключительно в электронном виде через:

1. Личный кабинет оператора ПДн на сайте Роскомнадзора (pd.rkn.gov.ru) — основной способ.
2. Единый портал госуслуг (Госуслуги), через раздел «Ведение реестра операторов ПДн».

Основные этапы:

1. Получение квалифицированной электронной подписи (КЭП) руководителя или уполномоченного лица.
2. Регистрация в личном кабинете оператора ПДн.
3. Заполнение формы уведомления (утвержденной Приказом Роскомнадзора).
4. Подписание КЭП и отправка.
5. Получение уведомления о регистрации (с номером записи в реестре), оно приходит в ЛК и на email.

7 частых ошибок при заполнении (по данным Роскомнадзора)

Ведомство регулярно публикует статистику ошибок, из-за которых уведомления возвращаются или считаются неподанными:

• Неверно указан вид обработки (например, не указан «сбор» или «передача», хотя они есть).
• Отсутствие категории субъектов ПДн (сотрудники, клиенты, контрагенты, посетители сайта и т.д.).
• Некорректное определение категории ПДн (общие, специальные, раса, здоровье, биометрия; биометрические).
• Ошибки в правовых основаниях обработки (ссылка на «согласие», когда основание — договор или закон).
• Неуказание срока обработки или условия прекращения (нельзя писать «бессрочно», нужно конкретное условие: «до отзыва согласия», «в течение 3 лет после окончания договорных отношений» и т.п.).
• Отсутствие сведений о мерах защиты информации (организационных и технических).
• Подача уведомления лицом, не имеющим полномочий (КЭП не принадлежит руководителю/уполномоченному, нет доверенности на подписание в ЛК).

Что делать, если срок упущен? (Алгоритм действий)

1. Не паникуйте и не игнорируйте. Отсутствие уведомления — это продолжающееся нарушение. Каждый день работы с ПДн без записи в реестре увеличивает риск проверки и начисления штрафа.
2. Проведите внутренний аудит. Определите все виды обработки ПДн в организации (кадры, клиенты, видеонаблюдение, контроль доступа, сайт/cookie).
3. Подготовьте пакет документов по 152-ФЗ: Политику конфиденциальности, Приказ об операторах, Локальный акт о защите ПДн, Оценку вреда (если нужно), Согласия (где требуются).
4. Подайте уведомление в ЛК Роскомнадзора максимально быстро. Даже с опозданием это демонстрирует добросовестность и может смягчить санкцию (суд может назначить штраф в нижней границе — 100 000 руб. вместо 300 000 руб.).
5. При получении требования/протокола от Роскомнадзора: Предоставьте доказательства подачи (скриншот ЛК, квитанция). Если уведомление подано до вынесения решения по делу, основание для прекращения дела есть (хотя практика разная, чаще назначают минимальный штраф).

Как проверить, подано ли уведомление?

Вы можете проверить статус своей организации в открытом Реестре операторов персональных данных на сайте pd.rkn.gov.ru. Достаточно ввести ИНН или ОГРН/ОГРНИП. Если записи нет — уведомление не подано или не зарегистрировано.

Резюме

На 2026 год игнорирование обязанности уведомить Роскомнадзор об обработке ПДн — это высокий финансовый риск (штраф до 300 000 рублей для компании) и риск дисквалификации руководителя при повторном нарушении.

Ключевые выводы:

• Уведомление обязательно для всех, кто автоматизированно обрабатывает ПДн (1С, сайты, CRM, Excel, камеры с распознаванием лиц).
• Срок: за 30 дней до старта обработки.
• Штраф юрлицу: 100 000 – 300 000 руб. (ст. 13.11 ч. 1 КоАП РФ, ред. 516-ФЗ).
• Подача только электронно через ЛК Роскомнадзора / Госуслуги с КЭП.
• Если не подали — подайте немедленно, это единственный способ минимизировать последствия.

Регулярно проверяйте актуальность сведений в реестре: при изменении состава ПДн, целей, сроков или мерах защиты — уведомление нужно обновить (подать новое) в течение 30 дней с момента изменений.