Уведомление в Роскомнадзор об обработке персональных данных: инструкция для стоматологии
Клиника обязана подать уведомление до начала обработки данных, и с мая 2025 года за его отсутствие штрафуют отдельно — до 300 000 рублей. Разбираем, что писать в каждом поле, как проверить себя в реестре и какие ещё уведомления существуют.
Обновлено 31 августа 2026~9 мин чтенияПроверено по первоисточнику
Коротко
Уведомление подаётся до начала обработки персональных данных — статья 22 закона № 152-ФЗ.
Стоматология обязана подать его всегда: клиника обрабатывает сведения о здоровье, а это специальная категория данных, исключений для неё нет.
С 30 мая 2025 года неподача — самостоятельный состав по части 10 статьи 13.11 КоАП: до 300 000 ₽ на юридическое лицо.
Отсутствие в реестре операторов при утечке данных работает как отягчающее обстоятельство — штраф за саму утечку будет выше.
Уведомлений может быть несколько: основное, отдельное о трансграничной передаче и информационное письмо при изменении сведений.
Госпошлины нет, подача бесплатна и занимает около часа.
БЕСПЛАТНАЯ ПРОВЕРКА САЙТА
Проверьте, что видит проверяющий
Бесплатная проверка сайта клиники за минуту: есть ли политика обработки и согласия в формах, стоят ли иностранные скрипты, где размещён сайт. Плюс требования приказа 118н и Правил платных медуслуг.
Так выглядит результат:
✕Нет прейскуранта в рублях — штраф до 20 000 ₽
✕Нет сведений о лицензии текстом — штраф до 20 000 ₽
✓Политика обработки персональных данных есть
…и так по каждому из 39 пунктов — с нормой закона и суммой штрафа
39 требований законаБез регистрацииПроверка за 1 минуту
Кто обязан подавать
Оператор — это лицо, которое организует и осуществляет обработку персональных данных. Любая стоматология оператором является: она обрабатывает данные пациентов и данные работников.
Раньше в статье 22 закона был перечень исключений, и клиники иногда пытались под них подвести свою ситуацию — например, под обработку данных работников или под обработку без средств автоматизации. С 1 сентября 2022 года перечень сокращён, и для медицинской организации он не работает по простой причине: клиника обрабатывает сведения о состоянии здоровья, а это специальная категория персональных данных по статье 10 закона. Обработка спецкатегории под исключения не подпадает.
Ещё один довод, который снимает споры: пациент оставляет данные через сайт — форму записи, обратный звонок. Это обработка с использованием средств автоматизации и передача данных по сети. Даже если бы клиника не работала с медицинской информацией, сайт сам по себе выводит её из-под исключений.
Что изменилось в 2025 году
До мая 2025 года неподача уведомления практически не наказывалась: Роскомнадзор выносил предписание, оператор подавал документ, вопрос закрывался. Закон № 420-ФЗ от 30.11.2024 это изменил.
До 30.05.2025
После
Неподача уведомления
Предписание
Отдельный состав: ч. 10 ст. 13.11 КоАП, до 300 000 ₽
Утечка данных
Штраф в тысячах рублей
Оборотный штраф 1–3% выручки
Отсутствие в реестре при утечке
Не учитывалось
Отягчающее обстоятельство
Логика законодателя понятна: реестр операторов — это инструмент контроля. Пока клиники в нём нет, Роскомнадзор её не видит и не может проверить плановыми методами. Теперь отсутствие в реестре само по себе стало нарушением.
Как подать уведомление
Собрать сведения. Перечень задан пунктом 3 статьи 22: наименование и реквизиты оператора, цели обработки, категории данных и субъектов, правовые основания, перечень действий с данными, способы обработки, меры защиты, ответственное лицо, дата начала обработки, сроки и условия прекращения, сведения о трансграничной передаче и о месте нахождения баз данных.
Заполнить форму на портале Роскомнадзора pd.rkn.gov.ru. Есть электронная подача с усиленной квалифицированной подписью и подача через Госуслуги; допускается и бумажная форма в территориальный орган.
Дождаться внесения в реестр. Срок — 30 дней с момента поступления. Проверить себя можно в открытом реестре операторов по ИНН или наименованию.
Поддерживать актуальность. При изменении сведений подаётся информационное письмо — в течение 15 рабочих дней с даты изменений. Сменился адрес, ответственное лицо, добавилась новая цель обработки — надо обновить.
Госпошлина не взимается. Основное время уходит не на подачу, а на то, чтобы корректно описать цели и категории: формулировки из уведомления должны совпадать с тем, что написано в политике обработки на сайте. Расхождение между реестром и политикой — то, что инспектор увидит сразу.
Что писать стоматологии в ключевых полях
Поле
Что указывает клиника
Категории субъектов
Пациенты, законные представители пациентов, работники, соискатели, посетители сайта
Категории данных
Общие (ФИО, контакты, паспортные данные) и специальная категория — сведения о состоянии здоровья
Цели
Оказание медицинской помощи, ведение медицинской документации, заключение и исполнение договора, кадровый учёт, обратная связь с сайта
Правовое основание
ФЗ-323, ФЗ-152, Трудовой кодекс, договор с пациентом, согласие субъекта
Трансграничная передача
Как правило «не осуществляется» — но только если на сайте нет иностранных сервисов
Место нахождения баз данных
Российская Федерация
Ловушка с трансграничной передачей. Если в уведомлении написано «не осуществляется», а на сайте стоят Google Analytics, reCAPTCHA или шрифты с зарубежного CDN — данные посетителей фактически уходят за границу. Получается недостоверное уведомление плюс неуведомление о трансграничной передаче. Подробнее об этом — в статье про персональные данные на сайте стоматологии.
Другие уведомления, о которых забывают
О трансграничной передаче — отдельное уведомление, подаётся до начала передачи данных за рубеж. Если клиника всё же использует иностранный сервис, без него передача незаконна.
Об утечке. При инциденте оператор уведомляет Роскомнадзор в течение 24 часов о самом факте и в течение 72 часов — о результатах внутреннего расследования. Сроки жёсткие, порядок лучше прописать заранее.
Информационное письмо об изменениях — 15 рабочих дней с даты изменения сведений.
БЕСПЛАТНАЯ ПРОВЕРКА САЙТА
Проверьте, что видит проверяющий
Бесплатная проверка сайта клиники за минуту: есть ли политика обработки и согласия в формах, стоят ли иностранные скрипты, где размещён сайт. Плюс требования приказа 118н и Правил платных медуслуг.
39 требований законаБез регистрацииПроверка за 1 минуту
Уведомление — не финальная точка, а вход в зону видимости регулятора. После него у клиники должны быть в порядке внутренние документы, потому что при проверке спросят именно их:
Приказ о назначении ответственного за организацию обработки персональных данных
Политика обработки персональных данных — опубликована на сайте
Положение об обработке и защите данных, перечень обрабатываемых данных
Формы согласий: на обработку данных, на обработку спецкатегории, на размещение отзыва
Журнал учёта обращений субъектов данных
Определение уровня защищённости информационных систем и модель угроз
Обязательства работников о неразглашении, ознакомление под подпись
Регистрационный номер оператора публиковать на сайте закон не обязывает, но указать его в конце политики обработки — хорошая практика: видно, что клиника состоит на учёте, и это снимает часть вопросов при жалобе.
Чек-лист
Клиника подала уведомление об обработке персональных данных
Запись о клинике есть в открытом реестре операторов — проверено по ИНН
Цели и категории в уведомлении совпадают с политикой на сайте
Указана специальная категория данных — сведения о здоровье
Сведения о трансграничной передаче достоверны: на сайте нет иностранных сервисов
Место нахождения баз данных — Российская Федерация
Назначен ответственный за организацию обработки, есть приказ
При изменении сведений подаётся информационное письмо в 15 рабочих дней
Известен порядок действий при утечке: 24 часа и 72 часа
Пункты 1, 7 и 8 закрываются внутри клиники. Пункты 3 и 5 зависят от того, что фактически стоит на сайте, — их стоит проверить до подачи, а не после.
Частые вопросы
Обязана ли стоматология подавать уведомление в Роскомнадзор?
Да, всегда. Клиника обрабатывает сведения о состоянии здоровья пациентов — это специальная категория персональных данных по статье 10 закона № 152-ФЗ, и исключения из статьи 22 на неё не распространяются. Дополнительный довод: формы на сайте — это обработка с использованием средств автоматизации, что само по себе выводит клинику из-под исключений.
Какой штраф за неподачу уведомления?
До 300 000 рублей на юридическое лицо по части 10 статьи 13.11 КоАП РФ. Этот состав действует с 30 мая 2025 года, до этого за неподачу выносили только предписание. Кроме того, отсутствие клиники в реестре операторов при утечке персональных данных расценивается как отягчающее обстоятельство и увеличивает штраф за саму утечку.
Сколько стоит подать уведомление и сколько ждать?
Государственная пошлина не взимается, подача бесплатна. Сведения вносятся в реестр операторов в течение 30 дней с момента поступления уведомления. Проверить себя можно в открытом реестре на портале Роскомнадзора по ИНН или наименованию организации.
Что указывать в графе о трансграничной передаче?
Как правило, «не осуществляется» — но только если на сайте клиники действительно нет иностранных сервисов. Google Analytics, Google Tag Manager, reCAPTCHA и шрифты с зарубежного CDN фактически передают данные посетителей за рубеж. В этом случае в уведомлении будут недостоверные сведения, а сама передача — без обязательного отдельного уведомления о трансграничной передаче.
Нужно ли что-то делать после внесения в реестр?
Да. При изменении сведений подаётся информационное письмо в течение 15 рабочих дней. Кроме того, у клиники должны быть внутренние документы: приказ о назначении ответственного за организацию обработки, политика обработки на сайте, положение о защите данных, формы согласий, журнал учёта обращений субъектов, определение уровня защищённости. Именно их спрашивают при проверке.
Что делать при утечке персональных данных?
Уведомить Роскомнадзор в течение 24 часов о самом факте инцидента и в течение 72 часов — о результатах внутреннего расследования. Сроки жёсткие, поэтому порядок действий стоит прописать заранее. За саму утечку с 30 мая 2025 года предусмотрены оборотные штрафы от 1 до 3 процентов выручки.
Материал носит информационный характер и не является юридической консультацией.
Проверяйте актуальную редакцию документа по первоисточнику.
Проверка не приходит письмом — приходит штраф
Сайты клиник проверяют дистанционно: сканеру не нужен визит и согласование даты
Нарушение фиксируется, и клиника узнаёт о нём уже из постановления. Оспаривать после — дольше и дороже, чем закрыть заранее, особенно когда речь о суммах в 200–500 тысяч рублей или приостановлении деятельности до 90 суток.
Проверим сайт по 39 требованиям за минуту — бесплатно и без регистрации
Найдём нарушения — доработаем ваш сайт, делать новый не нужно