Кому обязателен реестр обработки персональных данных
Реестр — это внутренний документ оператора, в котором систематизированы виды обработки персональных данных: для каких целей собираются данные, где хранятся и как защищаются. Ведение реестра помогает операторам контролировать обработку и быть готовыми к проверкам.
Если компания обрабатывает данные с согласия субъектов (например, подписчики рассылки дали согласие), реестр полезен для систематизации процессов. Если обработка ведётся на других основаниях, документирование становится особенно важным.
На практике большинство компаний собирают данные в нескольких сценариях: сайт, CRM, кадровый учёт, аналитика. Проверка сайта помогает зафиксировать, какие данные собираются и на каких основаниях — это первый шаг к формированию реестра.
Что должно быть в реестре: структура и обязательные сведения
В реестр вносится информация о видах обработки персональных данных, которые ведёт оператор. Это помогает контролировать, какие данные собираются, для каких целей и на каких основаниях.
Например, для интернет-магазина в реестре фиксируются данные покупателей (ФИО, телефон, адрес доставки, email), цель обработки (исполнение договора купли-продажи), способ обработки (автоматизированная обработка в CRM).
Формат реестра закон не регламентирует — это может быть таблица, база данных или текстовый документ. Главное — полнота и актуальность. Каждый источник данных (сайт, формы, CRM, кадровая система) должен быть отражён.
Реестр и уведомление Роскомнадзора: в чём разница
Уведомление — это подача сведений в Роскомнадзор о намерении обрабатывать персональные данные. Это отдельная процедура, предусмотренная законом.
Реестр — внутренний документ, который ведётся постоянно и детализирует все виды обработки. Реестр и уведомление — это разные документы с разными функциями. Реестр остаётся у оператора и помогает контролировать обработку, а уведомление направляется регулятору.
Реестр помогает операторам контролировать, что данные собираются и обрабатываются по правилам, а также быть готовыми к проверкам регулятора.
Как проверить, что сайт собирает данные правильно
Многие компании не знают, какие данные их сайт на самом деле собирает и куда отправляет. Формы заявок, подписки, аналитика, авторизация через соцсети — каждый элемент создаёт обработку персональных данных, и каждая обработка должна быть отражена в реестре.
Проверка показывает, какие трекеры запускаются до согласия посетителя, куда уходят данные из форм, работают ли иностранные сервисы и есть ли правовые основания для каждого сценария. Все факты фиксируются со снимками экрана и временем — это основа для реестра и для исправления рисков.
Если на сайте есть cookie-баннер, важно проверить, что аналитика и трекеры не стартуют до явного согласия. Если данные уходят за рубеж (например, в Google Analytics или через зарубежные рекламные пиксели), это требует отдельной записи в реестре и может создавать дополнительные обязательства по уведомлению о трансграничной передаче.
Что будет, если реестр устарел или не отражает фактическую обработку
Расхождение между реестром и фактической обработкой создаёт риск. Если фактическая обработка не соответствует документам, при проверке могут возникнуть вопросы о законных основаниях такой обработки.
Например, если на сайте работает форма заказа, а в документах этот сценарий не отражён, возникает вопрос о законных основаниях такой обработки. Если данные передаются третьим лицам или за рубеж, но это не зафиксировано, возникает риск претензий по поводу прозрачности обработки.
Реестр полезно обновлять, когда меняется обработка: добавлен новый сервис аналитики, изменились цели сбора данных, подключена новая CRM. Актуальный реестр помогает сохранить контроль за тем, что происходит с данными клиентов и сотрудников.
Проверьте реестр обработки персональных данных
- 01Ведёте ли вы реестр обработки. Если нет — начните с фиксации всех сценариев сбора данных: сайт, формы, CRM, кадровая система, аналитика.
- 02Отражены ли в реестре все источники данных. Каждый источник должен быть описан с указанием целей и перечня данных.
- 03Совпадает ли реестр с тем, что происходит на сайте. Проверьте, какие трекеры запускаются, куда уходят данные из форм, есть ли согласия и политика обработки.
- 04Указаны ли в реестре иностранные сервисы. Если данные передаются за рубеж (Google, зарубежные рекламные пиксели, Mailchimp), это должно быть отражено в реестре.
- 05Актуален ли ваш реестр. Новая форма, подключение аналитики, смена CRM — изменения полезно вносить в реестр, чтобы он отражал текущее состояние.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 10 ст. 13.11 КоАП РФ
Не подано или подано с нарушением сроков уведомление Роскомнадзора о намерении обрабатывать персональные данные — штраф для юрлиц от 100 000 до 300 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточник265-ФЗ от 26.07.2026, ст. 12 152-ФЗ
Уточнены критерии стран для трансграничной передачи персональных данных; уведомлять Роскомнадзор до начала передачи по-прежнему обязательно.
Первоисточник
Частые вопросы
Обязателен ли реестр, если мы обрабатываем данные только с согласия клиентов?
Реестр — внутренний документ оператора, который помогает систематизировать обработку, контролировать сроки и цели. Это полезно для любого оператора, независимо от оснований обработки.
Нужно ли подавать реестр в Роскомнадзор?
Нет, реестр — внутренний документ оператора. Его не направляют в регулятор. Уведомление о намерении обрабатывать данные — это отдельная процедура.
Какой штраф за отсутствие реестра?
При проверке регулятор оценивает соответствие фактической обработки требованиям закона. Конкретная санкция зависит от выявленного нарушения — это может быть обработка без оснований или отсутствие политики.
Как часто нужно обновлять реестр?
Реестр полезно обновлять при изменениях в обработке: добавлена новая форма на сайте, подключён сервис аналитики, изменились цели или перечень данных. Актуальный реестр помогает сохранить контроль.
Что включать в реестр для сайта?
Все сценарии сбора данных: формы заявок, подписки, аналитика, cookie, авторизация. Для каждого сценария укажите цель, перечень данных и способ обработки.
Нужно ли указывать в реестре Google Analytics и Яндекс Метрику?
Да, если они собирают данные посетителей (например, IP-адреса, cookie). Укажите цель (аналитика), перечень данных и получателей (Google, Яндекс).
Можно ли вести реестр в Excel?
Да, формат закон не регламентирует. Главное — полнота и актуальность сведений. Таблица, база данных или текстовый документ — выбирайте удобный способ.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.