Нужно ли регистрировать сайт в Роскомнадзоре и что на самом деле требует закон

Сайт готов, реклама вот-вот стартует. И тут знакомый предприниматель спрашивает: «А сайт в Роскомнадзоре зарегистрировали? Без этого заблокируют». Через день на почту приходит письмо от незнакомой фирмы: «Срочная регистрация сайта в РКН под ключ».

Успокоим сразу. Сам сайт в Роскомнадзоре регистрировать не нужно, такой обязательной процедуры просто нет. Но в этой путанице есть доля правды. Если на сайте есть хотя бы одна форма с именем и телефоном, его владелец по закону 152-ФЗ должен подать в Роскомнадзор уведомление об обработке персональных данных. Именно это обычно и называют регистрацией сайта в Роскомнадзоре.

Ниже разберём, кого касается уведомление, как его подать, что будет, если этого не сделать, и в каких редких случаях от сайта действительно ждут отдельной регистрации. Сразу оговоримся: это не юридическая консультация. Мы делаем и сопровождаем сайты и видим, где владельцы спотыкаются. Ваши документы и спорные моменты обязательно сверьте с юристом.

Роскомнадзор ведёт реестр операторов персональных данных. Оператор — это тот, кто решает, зачем и как собирать данные людей: имя, телефон, почту, адрес доставки. На обычном коммерческом сайте оператором считается владелец бизнеса, компания или ИП. Не студия, которая делала сайт, и не хостинг.

Поэтому в уведомлении вы описываете не сайт, а себя. Какие данные собираете, зачем, на каком основании и где храните. Сайт упоминается как один из способов сбора, наряду с CRM, кассой или анкетой в офисе.

Аналогия из жизни. Кафе не регистрирует в надзорном органе каждое блюдо из меню. Но перед открытием сообщает, что начинает работать с едой. С данными так же: вы сообщаете, что собираете их, а не регистрируете каждую форму.

После проверки Роскомнадзор вносит вас в реестр операторов. Он открытый: проверить себя или партнёра можно на портале персональных данных Роскомнадзора по названию или ИНН.

Такие письма рассылают коммерческие фирмы, а не Роскомнадзор. Обычно в них пугают блокировкой и предлагают оформить всё за вас. Само по себе это не обман: подготовить документы и уведомление действительно может юрист. Но спешить и платить незнакомцам не нужно.

Сначала найдите себя в реестре операторов. Если вы там есть и сведения актуальны, письмо можно спокойно удалить. Если вас нет, уведомление несложно подать самостоятельно, ниже расскажем как. А если письмо пришло от самого Роскомнадзора, не откладывайте его: проверьте срок ответа и сразу подключите юриста.

Если коротко, то почти все сайты, через которые бизнес получает данные клиентов. Вот как это выглядит на практике.

Есть ещё аналитика. Если на сайте стоит Яндекс Метрика или другие счётчики, вопрос спорный: суды уже признавали cookies и идентификаторы устройств персональными данными. Поэтому юристы советуют учитывать аналитику и в документах, и в уведомлении.

С 1 сентября 2022 года закон сильно сократил список исключений. Раньше без уведомления можно было обрабатывать, например, данные сотрудников по трудовому договору или клиентов по договору. Теперь этих исключений нет. Осталось три узких случая:

• данные обрабатывают вообще без компьютеров, только на бумаге;
• обработка идёт в государственных системах для защиты безопасности государства и общественного порядка;
• обработка нужна по требованиям законодательства о транспортной безопасности.

Таблица со списком клиентов, CRM, бухгалтерская программа или почта с заявками — это уже обработка с помощью компьютера. Значит, если у вас есть хотя бы один сотрудник или база клиентов, уведомление нужно независимо от сайта. Сайт просто добавляет ещё один канал сбора.

Размер бизнеса значения не имеет. Небольшой ИП с формой обратного звонка такой же оператор, как крупная сеть. По общему подходу юристов, это касается и самозанятых, если они собирают данные клиентов для работы.

Подача бесплатная. Сложность не в самой форме, а в том, чтобы честно описать, что у вас происходит с данными.

Подают уведомление до начала обработки данных. Если сайт уже работает, а уведомления нет, не откладывайте: лучше подать с опозданием, чем не подать вовсе.

Уведомление не разовая история. Если изменились цели, категории данных или круг людей, чьи данные вы собираете, Роскомнадзору сообщают об этом не позднее 15-го числа следующего месяца. Классическая ловушка: уведомление подали пять лет назад для салона без сайта. Теперь у компании интернет-магазин, рассылка и онлайн-запись. Формально документ есть, но описывает он другой бизнес.

Ещё один повод для отдельного уведомления — передача данных за границу. Например, когда форма отправляет заявки в зарубежный сервис или на сайте работает зарубежный виджет чата. О такой передаче сообщают отдельно и до её начала.

С 30 мая 2025 года действует новая редакция статьи 13.11 КоАП. За то, что оператор не подал уведомление или подал его с нарушением срока, часть 10 этой статьи предусматривает такие штрафы:

До 2025 года за то же нарушение компании платили в разы меньше. Поэтому многие откладывали уведомление «на потом». Сейчас такая экономия выглядит странно: подать уведомление проще и дешевле, чем объясняться после.

Как Роскомнадзор узнаёт о нарушении? Поводы бывают разные: жалоба недовольного клиента, проверка по другому вопросу, утечка данных. Сопоставить сайт с реестром операторов несложно. Форма на сайте есть, а компании в реестре нет.

Уведомление закрывает одну обязанность. Сам сайт тоже должен соответствовать закону. Коротко, что стоит проверить.

Подробно о каждом пункте мы писали в статье про политику конфиденциальности для сайта: как оформить согласие, нужен ли баннер про cookies и что делать с зарубежными сервисами.

На практике юридическая часть часто упирается в техническую. Форма отправляет заявки на зарубежную почту. Виджет чата хранит переписку на серверах за границей. Галочка стоит по умолчанию, потому что так было в шаблоне. Всё это правится на стороне сайта. Удобнее делать это спокойно в рамках техподдержки сайта, чем в спешке после письма из Роскомнадзора.

Кроме реестра операторов у Роскомнадзора есть и другие списки. Обычному сайту компании они чаще всего не нужны, но их постоянно путают с «регистрацией сайта».

Про организаторов распространения информации скажем подробнее. Закон относит к ним владельцев площадок, где люди обмениваются сообщениями: чаты, форумы, комментарии, переписка покупателей с продавцами. Требования к ним серьёзные. Например, данные о сообщениях пользователей нужно хранить в России, и с 2026 года срок хранения таких данных вырос до трёх лет. Если планируете на сайте сообщество или чат между пользователями, обсудите это с юристом до запуска.

Ещё одна история связана с рекламой. Если вы продаёте рекламные места на своём сайте, рекламу нужно маркировать и передавать сведения о ней через оператора рекламных данных в единый реестр интернет-рекламы. Его ведёт Роскомнадзор.

И последнее. У Роскомнадзора есть реестр запрещённых сайтов. Если покупаете домен с историей, проверьте его там до покупки. Обидно запустить новый сайт на адресе, который когда-то заблокировали.

Здесь часто перекладывают ответственность друг на друга. На деле у каждого своя часть.

Хороший повод пройтись по этому списку — любое заметное изменение сайта. Новая форма, личный кабинет, интеграция с CRM, чат. Если сайт постоянно растёт, держите в плане развития сайта отдельный пункт: проверить, что изменилось в данных и нужно ли обновить уведомление.

Сайт как таковой в Роскомнадзоре не регистрируют. Регистрируют вас как оператора персональных данных, и почти любой бизнес с формой на сайте или базой клиентов обязан подать уведомление. Делается это бесплатно, онлайн и до начала обработки, а при изменениях уведомление обновляют.

Уведомление закрывает только одну обязанность. Политика, отдельное согласие, хранение данных в России и аккуратные формы тоже входят в минимум на 2026 год. Эта статья помогает сориентироваться, но не заменяет юриста: тексты документов и спорные вопросы обязательно сверьте с ним.