Что такое реестр операций с персональными данными и зачем он нужен
Реестр операций с персональными данными — это документ, в котором оператор фиксирует все операции обработки: какие данные собираются, для каких целей, кому передаются, как долго хранятся. Этот документ помогает контролировать, что происходит с данными посетителей сайта, и показывает, что обработка ведётся осознанно и по правилам.
Если на вашем сайте есть формы заявок, подписки, авторизация, аналитические системы или любые другие инструменты, которые фиксируют данные посетителей — вы оператор персональных данных. Документирование операций необходимо для выполнения требований закона и снижения рисков при проверках.
Отсутствие документации или расхождение между зафиксированными операциями и тем, что происходит на самом деле, создаёт риски. Если на сайте данные передаются сервису, которого нет в документах, это может создать основание для претензий регулятора.
Что должно быть в реестре операций с персональными данными
В реестре фиксируются категории субъектов данных, цели обработки, категории персональных данных, перечень действий с данными, сроки обработки и хранения, способы обработки и информация о передаче третьим лицам. Эти сведения должны отражать реальную обработку, а не только задекларированные намерения.
Способ обработки указывается как автоматизированный (через информационные системы — сайт, CRM, аналитика), неавтоматизированный (на бумажных носителях) или смешанный. Если данные передаются внешним сервисам, фиксируется получатель, цель передачи, правовое основание и — для иностранных сервисов — страна обработки.
Документация должна быть согласована с политикой обработки персональных данных, опубликованной на сайте, и с уведомлением, поданным в Роскомнадзор. Расхождения между документами создают риск при проверке.
Как понять, какие операции происходят на самом деле
Документ должен отражать реальную обработку. На практике сайт может отправлять данные посетителей сервисам, о которых владелец не знает или забыл — через сторонние скрипты аналитики, виджеты обратной связи, формы и кнопки авторизации.
Проверка сайта показывает, какие данные собираются, куда они уходят и в какой момент это происходит — до согласия посетителя или после. Эти факты фиксируются со снимками экрана и привязкой ко времени. Результат — список операций с данными, который можно сопоставить с документацией и при необходимости актуализировать.
Если проверка выявила передачу данных сервису, которого нет в документах, или обработку без законного основания — это повод обновить реестр, внести изменения в уведомление Роскомнадзора и скорректировать политику на сайте.
Когда реестр операций нужно обновлять
Документация обновляется при любом изменении состава или характера обработки. Добавили форму заявки на новую услугу — изменилась цель обработки. Подключили новую аналитическую систему или CRM — появился получатель данных. Заменили один сервис рассылок на другой — изменился способ передачи и, возможно, страна обработки.
Если изменения существенны (новая цель, новая категория данных, новый получатель), их нужно отразить в документации и подать изменения в уведомление Роскомнадзора.
Устаревшая документация создаёт риск при проверке: если регулятор обнаружит операции, не зафиксированные в документах, это может создать основание для квалификации нарушений.
Как проверить соответствие документации и сайта перед инспекцией
Перед проверкой или при подготовке к уведомлению полезно сверить документацию с тем, что происходит на сайте. Проверка фиксирует, какие данные собираются через формы и cookie, какие сервисы получают данные посетителей, запускаются ли трекеры до получения согласия, куда отправляются данные при авторизации.
Результат проверки — заключение с перечнем установленных обстоятельств, снимками экрана и правовой квалификацией по каждому эпизоду. Этот документ помогает актуализировать реестр операций, выявить расхождения с уведомлением и политикой, понять, какие операции требуют правового основания или изменений в настройках сайта.
Проверка не заменяет консультацию юриста и не гарантирует отсутствие нарушений на закрытых страницах или в серверной части. Но она даёт фактическую основу для ревизии документации перед встречей с регулятором.
Проверьте документацию операций прямо сейчас
- 01Совпадают ли операции в документе с тем, что происходит на сайте. Откройте сайт в режиме инкогнито, пройдите по формам и проверьте, какие сервисы упоминаются в консоли разработчика (вкладка Network). Если в списке запросов есть домены, не указанные в документации — её нужно обновить.
- 02Указаны ли в документации все внешние сервисы-получатели данных. Проверьте код сайта и политику конфиденциальности: перечислите метрики, CRM, почтовые сервисы, виджеты чатов и формы. Сопоставьте список с документацией — каждый получатель должен быть зафиксирован с целью передачи и правовым основанием.
- 03Совпадают ли категории данных в документе с данными, которые собирает сайт. Пройдите по всем формам на сайте и выпишите поля: имя, телефон, email, адрес, ИНН. Сверьте с категориями в документации. Если форма заявки запрашивает данные, не указанные в документе — внесите изменения.
- 04Актуален ли срок хранения данных в документации. Проверьте, указаны ли сроки хранения для каждой категории данных и совпадают ли они с политикой на сайте. Если срок истёк, а данные ещё хранятся — это может создать риск при проверке.
- 05Зафиксирован ли способ обработки — автоматизированный, неавтоматизированный, смешанный. Для каждой операции в документе должен быть указан способ обработки. Если данные с сайта выгружаются в таблицу и обрабатываются вручную — это смешанная обработка, и это должно быть отражено.
- 06Совпадает ли документация с уведомлением в Роскомнадзор. Сверьте цели обработки, категории субъектов и данных, получателей и сроки хранения в документации и уведомлении. Расхождения между документами — сигнал, что нужно либо актуализировать документацию, либо подать изменения в уведомление.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 10 ст. 13.11 КоАП РФ
Не подано или подано с нарушением сроков уведомление Роскомнадзора о намерении обрабатывать персональные данные — штраф для юрлиц от 100 000 до 300 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник265-ФЗ от 26.07.2026, ст. 12 152-ФЗ
Уточнены критерии стран для трансграничной передачи персональных данных; уведомлять Роскомнадзор до начала передачи по-прежнему обязательно.
Первоисточник
Частые вопросы
Обязателен ли реестр операций с персональными данными для малого бизнеса?
Ведение реестра операций — практика операторов персональных данных для контроля обработки и снижения рисков при проверках. Если на сайте есть формы, аналитика или авторизация — документировать операции необходимо.
Можно ли вести реестр операций ПДН в свободной форме?
Да, утверждённой формы нет. Главное — зафиксировать категории субъектов, цели, категории данных, действия с ними, сроки, способы обработки и сведения о передаче третьим лицам.
Нужно ли подавать реестр операций в Роскомнадзор вместе с уведомлением?
Реестр — внутренний документ оператора. Его не подают вместе с уведомлением, но он должен быть готов к предъявлению при необходимости.
Какой штраф грозит за отсутствие реестра операций с персональными данными?
Прямого штрафа за отсутствие реестра нет. Но если документации нет или она не соответствует реальной обработке, это создаёт риск квалификации нарушений.
Как часто нужно обновлять реестр операций с персональными данными?
При каждом изменении состава или характера обработки: новая форма, новый сервис-получатель, новая цель. Если изменение существенно — подаётся изменение в уведомление Роскомнадзора.
Нужно ли включать в реестр операций обработку данных через внешние сервисы — аналитику, CRM?
Да. Если данные передаются внешнему сервису, это операция обработки. Фиксируется получатель, цель передачи, правовое основание и — для иностранных сервисов — страна обработки.
Как понять, что реестр операций ПДН соответствует тому, что происходит на сайте?
Проверка сайта покажет, какие данные собираются, куда уходят и когда это происходит. Сопоставьте факты с документацией: если на сайте обнаружены операции, не зафиксированные в документе — его нужно обновить.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.