Уведомление в Роскомнадзор об обработке персональных данных в 2026

Коротко

Уведомление подаётся до начала обработки персональных данных — статья 22 закона № 152-ФЗ.
Стоматология обязана подать его всегда: клиника обрабатывает сведения о здоровье, а это специальная категория данных, исключений для неё нет.
С 30 мая 2025 года неподача — самостоятельный состав по части 10 статьи 13.11 КоАП: до 300 000 ₽ на юридическое лицо.
Отсутствие в реестре операторов при утечке данных работает как отягчающее обстоятельство — штраф за саму утечку будет выше.
Уведомлений может быть несколько: основное, отдельное о трансграничной передаче и информационное письмо при изменении сведений.
Госпошлины нет, подача бесплатна и занимает около часа.

ПОД КЛЮЧ ДЛЯ СТОМАТОЛОГИЙ

Сайт и согласия по ФЗ-152 — сделаем всё за вас

Работаем только со стоматологическими клиниками. Приведём сайт и документы в соответствие с ПП 659, приказом 118н и ФЗ-152 — и дальше следим за изменениями законов сами. Как свой специалист в штате, только без зарплаты и отпусков.

Сайт под все требования закона. Готовый сайт — запуск за 1 рабочий день. Или возьмём на обслуживание ваш, на любой системе.
Новый договор по ПП 659 и ещё 11 документов: положение о платных услугах, ИДС, согласия на персональные данные, правила для пациентов, уголок потребителя*
Следим за законами. Вышел новый приказ — обновим сайт без вашего участия.
Правки без ограничений и новые функции по вашим задачам — без доплат.

1 490 ₽ в месяц · создание и доработка сайта включены

Подключить обслуживание Только документы — 4 999 ₽

Есть вопросы — позвоните: +7 495 240-85-65

Или сначала бесплатно проверьте свой сайт — за минуту покажем, каких сведений не хватает и какие штрафы грозят:

* Пакет документов входит в обслуживание при оплате за год. Отдельно — 4 999 ₽.

Кто обязан подавать

Оператор — это лицо, которое организует и осуществляет обработку персональных данных. Любая стоматология оператором является: она обрабатывает данные пациентов и данные работников.

Раньше в статье 22 закона был перечень исключений, и клиники иногда пытались под них подвести свою ситуацию — например, под обработку данных работников или под обработку без средств автоматизации. С 1 сентября 2022 года перечень сокращён, и для медицинской организации он не работает по простой причине: клиника обрабатывает сведения о состоянии здоровья, а это специальная категория персональных данных по статье 10 закона. Обработка спецкатегории под исключения не подпадает.

Ещё один довод, который снимает споры: пациент оставляет данные через сайт — форму записи, обратный звонок. Это обработка с использованием средств автоматизации и передача данных по сети. Даже если бы клиника не работала с медицинской информацией, сайт сам по себе выводит её из-под исключений.

Что изменилось в 2025 году

До мая 2025 года неподача уведомления практически не наказывалась: Роскомнадзор выносил предписание, оператор подавал документ, вопрос закрывался. Закон № 420-ФЗ от 30.11.2024 это изменил.

	До 30.05.2025	После
Неподача уведомления	Предписание	Отдельный состав: ч. 10 ст. 13.11 КоАП, до 300 000 ₽
Утечка данных	Штраф в тысячах рублей	Оборотный штраф 1–3% выручки
Отсутствие в реестре при утечке	Не учитывалось	Отягчающее обстоятельство

Логика законодателя понятна: реестр операторов — это инструмент контроля. Пока клиники в нём нет, Роскомнадзор её не видит и не может проверить плановыми методами. Теперь отсутствие в реестре само по себе стало нарушением.

Как подать уведомление

Собрать сведения. Перечень задан пунктом 3 статьи 22: наименование и реквизиты оператора, цели обработки, категории данных и субъектов, правовые основания, перечень действий с данными, способы обработки, меры защиты, ответственное лицо, дата начала обработки, сроки и условия прекращения, сведения о трансграничной передаче и о месте нахождения баз данных.
Заполнить форму на портале Роскомнадзора pd.rkn.gov.ru. Есть электронная подача с усиленной квалифицированной подписью и подача через Госуслуги; допускается и бумажная форма в территориальный орган.
Дождаться внесения в реестр. Срок — 30 дней с момента поступления. Проверить себя можно в открытом реестре операторов по ИНН или наименованию.
Поддерживать актуальность. При изменении сведений подаётся информационное письмо — в течение 15 рабочих дней с даты изменений. Сменился адрес, ответственное лицо, добавилась новая цель обработки — надо обновить.

Госпошлина не взимается. Основное время уходит не на подачу, а на то, чтобы корректно описать цели и категории: формулировки из уведомления должны совпадать с тем, что написано в политике обработки на сайте. Расхождение между реестром и политикой — то, что инспектор увидит сразу.

Что писать стоматологии в ключевых полях

Поле	Что указывает клиника
Категории субъектов	Пациенты, законные представители пациентов, работники, соискатели, посетители сайта
Категории данных	Общие (ФИО, контакты, паспортные данные) и специальная категория — сведения о состоянии здоровья
Цели	Оказание медицинской помощи, ведение медицинской документации, заключение и исполнение договора, кадровый учёт, обратная связь с сайта
Правовое основание	ФЗ-323, ФЗ-152, Трудовой кодекс, договор с пациентом, согласие субъекта
Трансграничная передача	Как правило «не осуществляется» — но только если на сайте нет иностранных сервисов
Место нахождения баз данных	Российская Федерация

Ловушка с трансграничной передачей. Если в уведомлении написано «не осуществляется», а на сайте стоят Google Analytics, reCAPTCHA или шрифты с зарубежного CDN — данные посетителей фактически уходят за границу. Получается недостоверное уведомление плюс неуведомление о трансграничной передаче. Подробнее об этом — в статье про персональные данные на сайте стоматологии.

Другие уведомления, о которых забывают

О трансграничной передаче — отдельное уведомление, подаётся до начала передачи данных за рубеж. Если клиника всё же использует иностранный сервис, без него передача незаконна.
Об утечке. При инциденте оператор уведомляет Роскомнадзор в течение 24 часов о самом факте и в течение 72 часов — о результатах внутреннего расследования. Сроки жёсткие, порядок лучше прописать заранее.
Информационное письмо об изменениях — 15 рабочих дней с даты изменения сведений.

БЕСПЛАТНАЯ ПРОВЕРКА САЙТА

Проверьте, что видит проверяющий

Бесплатная проверка сайта клиники за минуту: есть ли политика обработки и согласия в формах, стоят ли иностранные скрипты, где размещён сайт. Плюс требования приказа 118н и Правил платных медуслуг.

46 пунктов проверки Без регистрации Проверка за 1 минуту

Проверяем по официальным документам:

приказ Минздрава № 118н ПП РФ № 659 ФЗ-152 ФЗ-38 «О рекламе» ст. 13.11 КоАП — штрафы

Разборы требований простым языком:

приказ 118н ПП 659 персональные данные реклама медуслуг как проверяют сайт все статьи →

Что делать после внесения в реестр

Уведомление — не финальная точка, а вход в зону видимости регулятора. После него у клиники должны быть в порядке внутренние документы, потому что при проверке спросят именно их:

Приказ о назначении ответственного за организацию обработки персональных данных
Политика обработки персональных данных — опубликована на сайте
Положение об обработке и защите данных, перечень обрабатываемых данных
Формы согласий: на обработку данных, на обработку спецкатегории, на размещение отзыва
Журнал учёта обращений субъектов данных
Определение уровня защищённости информационных систем и модель угроз
Обязательства работников о неразглашении, ознакомление под подпись

Регистрационный номер оператора публиковать на сайте закон не обязывает, но указать его в конце политики обработки — хорошая практика: видно, что клиника состоит на учёте, и это снимает часть вопросов при жалобе.

Чек-лист

Клиника подала уведомление об обработке персональных данных
Запись о клинике есть в открытом реестре операторов — проверено по ИНН
Цели и категории в уведомлении совпадают с политикой на сайте
Указана специальная категория данных — сведения о здоровье
Сведения о трансграничной передаче достоверны: на сайте нет иностранных сервисов
Место нахождения баз данных — Российская Федерация
Назначен ответственный за организацию обработки, есть приказ
При изменении сведений подаётся информационное письмо в 15 рабочих дней
Известен порядок действий при утечке: 24 часа и 72 часа

Пункты 1, 7 и 8 закрываются внутри клиники. Пункты 3 и 5 зависят от того, что фактически стоит на сайте, — их стоит проверить до подачи, а не после.

Частые вопросы

Обязана ли стоматология подавать уведомление в Роскомнадзор?

Да, всегда. Клиника обрабатывает сведения о состоянии здоровья пациентов — это специальная категория персональных данных по статье 10 закона № 152-ФЗ, и исключения из статьи 22 на неё не распространяются. Дополнительный довод: формы на сайте — это обработка с использованием средств автоматизации, что само по себе выводит клинику из-под исключений.

Какой штраф за неподачу уведомления?

До 300 000 рублей на юридическое лицо по части 10 статьи 13.11 КоАП РФ. Этот состав действует с 30 мая 2025 года, до этого за неподачу выносили только предписание. Кроме того, отсутствие клиники в реестре операторов при утечке персональных данных расценивается как отягчающее обстоятельство и увеличивает штраф за саму утечку.

Сколько стоит подать уведомление и сколько ждать?

Государственная пошлина не взимается, подача бесплатна. Сведения вносятся в реестр операторов в течение 30 дней с момента поступления уведомления. Проверить себя можно в открытом реестре на портале Роскомнадзора по ИНН или наименованию организации.

Что указывать в графе о трансграничной передаче?

Как правило, «не осуществляется» — но только если на сайте клиники действительно нет иностранных сервисов. Google Analytics, Google Tag Manager, reCAPTCHA и шрифты с зарубежного CDN фактически передают данные посетителей за рубеж. В этом случае в уведомлении будут недостоверные сведения, а сама передача — без обязательного отдельного уведомления о трансграничной передаче.

Нужно ли что-то делать после внесения в реестр?

Да, после внесения в реестр сведения нужно поддерживать актуальными: при изменении сведений подаётся информационное письмо в течение 15 рабочих дней. Кроме того, у клиники должны быть внутренние документы: приказ о назначении ответственного за организацию обработки, политика обработки на сайте, положение о защите данных, формы согласий, журнал учёта обращений субъектов, определение уровня защищённости. Именно их спрашивают при проверке.

Что делать при утечке персональных данных?

Уведомить Роскомнадзор в течение 24 часов о самом факте инцидента и в течение 72 часов — о результатах внутреннего расследования. Сроки жёсткие, поэтому порядок действий стоит прописать заранее. За саму утечку с 30 мая 2025 года предусмотрены оборотные штрафы от 1 до 3 процентов выручки.

Материал носит информационный характер и не является юридической консультацией. Проверяйте актуальную редакцию документа по первоисточнику.

Проверка не приходит письмом — приходит штраф

Сайты клиник проверяют дистанционно: сканеру не нужен визит и согласование даты

Нарушение фиксируется, и клиника узнаёт о нём уже из постановления. Оспаривать после — дольше и дороже, чем закрыть заранее, особенно когда речь о штрафах до 700 000 ₽ по персональным данным или приостановлении деятельности до 90 суток. И хватит переплачивать: студия берёт за сайт как за стройку, а потом за каждую правку — в СтомСистеме всё это входит в обслуживание за 1 490 ₽ в месяц.

Проверим сайт по 46 пунктам за минуту — бесплатно и без регистрации
Нашли нарушения — доработаем ваш сайт в рамках обслуживания: дизайн и адрес остаются
Сайта нет — подключим готовый за день: врачи, цены, отзывы, карточка в Яндексе
Меняется закон — обновляем разделы у всех клиник сразу и проверяем сайт каждый месяц
Новые функции СтомСистемы включаются в кабинете — без доплат за доработки

Проверить свой сайт

Проверка бесплатная и без регистрации, результат — на экране через минуту. Сайта ещё нет — посмотрите готовый. Нужен совет по вашей ситуации — оставьте заявку, перезвоним.