Как спортивному клубу подать уведомление в Роскомнадзор
Если клуб или спортивная организация принимает заявки, ведёт клиентов в CRM, хранит контакты родителей, работает с тренерами или сотрудниками, он обрабатывает персональные данные. До начала работы с этими данными клуб обязан в обязательном порядке подать уведомление в Роскомнадзор.
Это требование распространяется даже на малый бизнес (спортивные школы, секции и клубы любого размера). После подачи уведомления сведения о клубе внесут в реестр операторов персональных данных.
Кому пригодится инструкция: руководителю клуба, администратору, бухгалтеру или сотруднику, который отвечает за документы и процессы работы с персональными данными.
С чего начать?
- Собрать сведения для формы: цели, данные, категории людей, ответственного, адреса баз
- Заполнить уведомление на портале РКН
- Подписать и отправить его: на бумаге, с УКЭП или через Госуслуги
- Проверить появление клуба в реестре по ИНН
- Важно: уведомление в РКН это не «регистрация бизнеса» и не лицензия. Это сообщение РКН о том, что клуб обрабатывает персональные данные. На его основе сведения вносятся в реестр операторов.
Нужно ли уведомление именно вашему клубу?
Спортивный клуб обрабатывает персональные данные, когда ведёт в CRM карточки клиентов, принимает заявки с сайта, хранит личные данные родителей, оформляет абонементы, работает с тренерами и сотрудниками, принимает оплату или делает рассылки.
По общему правилу оператор все обязаны уведомить РКН до начала обработки персональных данных.
💡 Быстрая самопроверка:
Если хотя бы на один пункт вы ответили “да”, то клуб обязан подать уведомление в РКН.
- В клубе есть CRM, 1С, Excel, Google Таблицы или другая электронная база с данными людей
- На сайте, в соцсетях, мессенджерах или по телефону принимаются заявки на тренировку
- Клуб хранит ФИО, телефоны, email, даты рождения, данные родителей или законных представителей
- Есть трудовые отношения с тренерами, администраторами, менеджерами, бухгалтером
- Клуб делает email, SMS или мессенджер рассылки
- Данные хранятся в облачных сервисах, на компьютерах или в CRM
Когда уведомление может не требоваться?
Уведомление может не требоваться, если клуб обрабатывает персональные данные исключительно без автоматизации. То есть только на бумаге, без CRM, таблиц, электронной почты, облачных дисков и компьютеров.
Что подготовить до заполнения?
Не нужно собирать пакет документов для загрузки на портал. Уведомление заполняется в форме РКН. Но заранее подготовленные сведения помогут не допустить ошибки при заполнении.
Данные о своей организации вы можете найти на сайте https://www.rusprofile.ru/
Состав сведений, которые включаются в уведомление, установлен частью 3 статьи 22 Закона № 152‑ФЗ. В частности, закон требует указать цели обработки, категории субъектов и данных, правовое основание, перечень действий, способы обработки, сведения об обеспечении безопасности и данные ответственного лица.
Пошаговый план подачи:
1. Откройте форму РКН
Перейдите в раздел «Реестр операторов → Электронные формы заявлений» на Портале персональных данных РКН:
Формы уведомлений утверждены приказом Роскомнадзора № 180 от 28 октября 2022 года.
2. Выберите способ отправки
РКН принимает уведомление тремя способами:
- В бумажном виде (нужно сформировать уведомление на портале, распечатать, подписать и направить в территориальный орган РКН)
- В электронном виде с усиленной квалифицированной электронной подписью (УКЭП)
- В электронном виде через ЕСИА (с использованием учётной записи Госуслуг) Если отправляете через Госуслуги от имени юрлица, заранее проверьте полномочия сотрудника и доступ к профилю организации. Если подписывает руководитель или представитель, используйте тот сценарий, который предлагает сама форма РКН.
3. Заполните разделы формы
При заполнении держите перед глазами подготовленную выше карточку клуба:
4. Проверьте уведомление перед отправкой
- Название, ИНН и ОГРН совпадают с реквизитами клуба
- Цели не противоречат тому, как клуб работает в реальности
- Не указаны лишние категории данных — например, паспортные или медицинские, если клуб их не собирает
- Учтены данные клиентов, родителей, сотрудников и тренеров если клуб с ними работает
- Указан действующий ответственный сотрудник
- Понятно, где размещаются электронные базы
- Выбран корректный способ отправки
5. Отправьте и сохраните подтверждение
После подачи сохраните номер, квитанцию или другое подтверждение отправки. По закону РКН вносит сведения из уведомления в реестр в течение 30 дней с даты поступления уведомления.
Как проверить клуб в реестре
Проверить запись можно в публичном реестре операторов персональных данных РКН:
Для наиболее точного поиска РКН рекомендует использовать ИНН. Если ИНН неизвестен, можно искать по части наименования без организационно-правовой формы, кавычек и сокращений.
Обратите внимание: в реестре публикуются не все сведения: данные о средствах обеспечения безопасности персональных данных исключены из общедоступной части.
Что делать после подачи
Если изменились сведения:
Если меняются сведения, указанные в уведомлении, например адрес, ответственный сотрудник, цели обработки, категории данных или иные заявленные сведения, направьте уведомление об изменении через портал РКН.
Актуальный срок, указанный РКН: не позднее 15-го числа месяца, следующего за месяцем, в котором произошли изменения.
- Сменили юридический адрес или контакты
- Назначили нового ответственного за обработку ПДн
- Добавили новую цель: например, начали вести маркетинговые рассылки
- Стали собирать новую категорию данных
- Изменили процессы или размещение баз, которые были указаны в уведомлении
Если клуб прекратил обработку
При прекращении обработки персональных данных нужно уведомить РКН в течение 10 рабочих дней с даты прекращения обработки.
Разберем подробнее каждый вопрос и раздел.
1) Здесь вы вводите данные своей организации:
2) Что отмечать и как создавать цели в перечне действий с персональными данными?
В форме лучше создать отдельную цель для каждого крупного процесса. Так уведомление будет понятнее, а состав данных не окажется шире, чем нужно. Перед этим разберем что отмечать и в каком случае:
Разберем что выбирать и в каком случае:
| Действие | Когда отмечать | Примеры ситуаций, когда это происходит в спортивном клубе | Пояснение на конкретном примере |
|---|---|---|---|
| Сбор | Если клуб получает данные человека | Посетитель оставил заявку на пробную тренировку на сайте. Родитель записал ребёнка через администратора. Клиент написал в любой мессенджер. Сотрудник заполнил анкету при трудоустройстве. | Клиент сообщил имя и телефон для записи на тренировку это сбор |
| Запись | Если полученные данные куда-то вносятся или фиксируются | Администратор добавил клиента в CRM. Данные записали в Excel. Оформили бумажный договор. Внесли сотрудника в кадровую систему | Телефон и имя из сообщения занесли в карточку клиента это запись |
| Систематизация | Если данные распределяются по категориям, карточкам, группам или разделам | Клиентов распределяют по группам. В CRM отдельно указаны тренер, абонемент и филиал. Сотрудников разделяют по должностям. Заявки сортируют по статусам: «новая», «записан», «оплатил» | Спортсмена добавили в группу “Дети 8–10 лет” и назначили ему тренера это систематизация |
| Накопление | Если в базе постепенно появляется новая информация о человеке | Добавляются оплаты и посещения. Сохраняется история обращений. Клиент покупает новый абонемент. В карточку ребёнка добавляются данные родителя | После каждой тренировки в CRM появляется новая отметка о посещении это накопление |
| Хранение | Если данные остаются где-либо после получения | • в CRM • в Google Таблицах или Excel • в электронной почте • на компьютере администратора • в бумажных договорах • в облачном хранилище | Карточка клиента остаётся в CRM до окончания обслуживания это хранение |
| Уточнение | Если данные изменяются, исправляются или обновляются | Клиент сменил номер телефона. Ребёнка перевели в другую группу. Исправили ошибку в фамилии. Обновили адрес или email. Сотрудник сменил должность | Администратор заменил старый номер телефона клиента на новый это уточнение |
| Извлечение | Если сотрудник находит, получает или выгружает уже сохранённые данные | Открывает карточку клиента. Формирует список группы. Ищет должника. Выгружает телефоны родителей. Находит договор или справку | Администратор открывает список группы, чтобы связаться с родителями это извлечение |
| Использование | Если клуб применяет данные в своей работе | Записывает клиента на тренировку. Отправляет напоминание. Отмечает посещаемость. Оформляет абонемент. Контролирует оплату. Связывается с родителем. Формирует расписание | Клуб использует номер телефона, чтобы предупредить об отмене занятия это использование |
| Передача (предоставление или доступ) | Если данные становятся доступны другому сотруднику, сервису или подрядчику | Тренер видит список своей группы. Бухгалтер получает данные для расчётов;. Администратор видит карточки клиентов. CRM-провайдер технически обрабатывает данные. Сервис рассылок получает телефоны или email | Тренер видит в CRM имена спортсменов и посещаемость это передача (предоставление, доступ) |
| Обезличивание | Если из данных убирают всё, что позволяет определить конкретного человека | В отчёте оставляют только количество спортсменов. Показывают среднюю посещаемость группы без ФИО. Передают подрядчику статистику без телефонов и имён | Руководитель видит, что группу посещают в среднем 15 человек, но не видит список спортсменов это обезличивание |
| Блокирование | Если обработку данных временно приостанавливают или ограничивают | Карточку закрывают до проверки ошибки. Ограничивают доступ к данным. Временно запрещают использовать спорную информацию. Приостанавливают обработку по запросу клиента | Клиент сообщил, что в его карточке указан чужой номер. До проверки доступ к карточке ограничили это блокирование |
| Удаление | Если данные убирают из карточки, файла или системы | Удаляют заявку, убирают номер телефона, удаляют фотографию, очищают карточку клиента, удаляют файл из общей папки | По просьбе клиента администратор удалил его телефон из CRM это удаление |
| Уничтожение | Если данные удаляются без возможности восстановления | Уничтожают бумажные анкеты. Удаляют электронные файлы после окончания срока хранения. Стирают старую базу. Уничтожают носитель с данными | Старые анкеты клиентов измельчили, а электронные копии удалили без возможности восстановления это уничтожение |
| Распространение | Если данные публикуются для неопределённого круга людей | ФИО спортсменов размещают на сайте. Результаты соревнований публикуют в соцсетях. Выкладывают фото ребёнка с именем. Публикуют список победителей в открытых соцсетях | Клуб публикует пост «Иван Петров занял первое место» это распространение |
| Иные действия | Только если клуб выполняет действие, которого нет среди остальных вариантов | Для обычной работы спортивного клуба, как правило, не требуется | Если конкретное действие нельзя отнести ни к одному из перечисленных вариантов это иные действия |
Важное различие между передачей и распространением
| Ситуация | Что отмечать |
|---|---|
| Тренер видит список спортсменов в закрытой CRM (разграничены права доступа для сотрудников) | Передача (предоставление, доступ) |
| Администратор предоставляет данные бухгалтеру | Передача (предоставление, доступ) |
| CRM-провайдер технически обрабатывает данные | Передача (предоставление, доступ) |
| Сервис рассылок получает телефоны или email | Передача (предоставление, доступ) |
| Результаты соревнований публикуются в открытом аккаунте | Распространение |
| ФИО спортсмена публикуется на сайте | Распространение |
| Фото ребёнка с именем выкладывается в открытый аккаунт | Распространение |
| Список победителей публикуется в открытом канале MAX | Распространение |
Теперь разберем как создавать цели и примеры которые можно использовать в качестве шаблона:
Для создания цели нужно заполнить все данные и нажать кнопку “Добавить цель обработки”. После этого цель появится в начале модуля:
Цель 1. Оказание услуг клуба
Цель обработки:
Заключение, исполнение и прекращение договоров на оказание физкультурно-оздоровительных, спортивных и иных услуг клуба; запись на занятия, формирование групп и расписания, учёт посещаемости, абонементов, оплат и задолженности, взаимодействие с клиентами и законными представителями.
Кого отметить в категории субъектов:
- Клиенты
- Законные представители — если клуб работает с детьми
- Учащиеся — если используется этот статус в работе клуба
- Иные категории субъектов — можно указать: «спортсмены, участники занятий и мероприятий»
Какие данные отметить:
- фамилия, имя, отчество;
- дата рождения — если нужна для распределения по возрастным группам;
- номер телефона;
- адрес электронной почты — если клуб его получает;
- данные документа, содержащиеся в свидетельстве о рождении — только если действительно запрашиваете;
- данные документа, удостоверяющего личность — только если действительно запрашиваете;
- адрес места жительства или регистрации — только если действительно запрашиваете;
- фото-видео изображение лица — если храните фотографии и видео, по которым можно идентифицировать спортсмена;
- иные персональные данные — если в карточке есть сведения, которых нет в готовом перечне формы.
Правовое основание:
- обработка необходима для исполнения договора;
- обработка осуществляется с согласия субъекта персональных данных — если согласие действительно используется для части процессов. Для записи, оказания услуг, ведения абонемента и учёта оплат основным основанием обычно является договор. Согласие не стоит указывать как единственное основание, если клуб обрабатывает данные для исполнения договора.
Способ обработки: смешанная; с передачей по внутренней сети юридического лица; с передачей по сети Интернет.
Выбирайте этот вариант, если клуб одновременно использует CRM, сайт, почту или облачные сервисы и хранит бумажные договоры, заявления или согласия.
Цель 2. Кадровый и бухгалтерский учёт
Добавляйте цель, если у клуба есть работники: тренеры, администраторы, менеджеры, бухгалтеры или другие сотрудники.
Цель обработки:
Ведение кадрового и бухгалтерского учёта, оформление трудовых и гражданско-правовых отношений, начисление и выплата заработной платы и вознаграждений, исполнение обязанностей, предусмотренных трудовым, налоговым и иным законодательством Российской Федерации.
Кого отметить:
- Работники
- Уволенные работники
- Родственники работников — только если клуб хранит сведения о родственниках, например для кадровых документов
- Контрагенты — если тренеры или специалисты работают как ИП или самозанятые
Какие данные отметить:
- фамилия, имя, отчество;
- дата и место рождения — если есть в кадровых документах;
- номер телефона и email;
- адрес регистрации и адрес места жительства;
- СНИЛС;
- ИНН;
- гражданство;
- данные паспорта;
- банковские реквизиты;
- профессия и должность;
- сведения о трудовой деятельности;
- сведения об образовании — если клуб собирает дипломы и сертификаты тренеров;
- сведения о воинском учёте — если применимо;
- сведения о состоянии здоровья — только если клуб реально хранит такие сведения по сотрудникам.
Правовое основание:
Обработка необходима для достижения целей, предусмотренных законодательством Российской Федерации, для выполнения обязанностей, возложенных на оператора законодательством Российской Федерации.
Также можно отметить исполнение договора — если клуб работает с тренерами по гражданско-правовому договору.
Какие действия отмечать:
- сбор;
- запись;
- систематизация;
- накопление;
- хранение;
- уточнение;
- извлечение;
- использование;
- передача (предоставление, доступ);
- блокирование;
- удаление;
- уничтожение.
Цель 3. Рассказ об услугах и мероприятиях
Добавляйте этот блок только если клуб делает рекламные или информационные рассылки: отправляет акции, предложения, приглашения на мероприятия, новости клуба.
Цель обработки:
Информирование клиентов и потенциальных клиентов об услугах, мероприятиях, акциях и специальных предложениях клуба посредством телефонной связи, электронной почты, SMS-сообщений и мессенджеров.
Кого отметить:
- Клиенты
- Посетители сайта — если собираете заявки или контакты через сайт
- Законные представители — если рассылаете информацию родителям спортсменов
Какие данные отметить:
- фамилия, имя, отчество — если используете в рассылке;
- номер телефона;
- адрес электронной почты;
- иные персональные данные — только если они реально используются для сегментации рассылок, например вид спорта или возрастная группа.
Правовое основание:
Обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных.
Какие действия отмечать:
- сбор;
- запись;
- систематизация;
- накопление;
- хранение;
- уточнение;
- извлечение;
- использование;
- передача (предоставление, доступ) — если есть внешний сервис рассылок;
- удаление;
- уничтожение. Если клиент дал данные для оформления абонемента, это само по себе не означает согласие на рекламу. Для рекламных рассылок клубу нужен отдельный корректный процесс получения согласия.
Цель 4. Приём заявок через сайт
Добавляйте отдельную цель, если сайт принимает заявки на пробное занятие, обратный звонок или консультацию.
Цель обработки:
Приём и обработка заявок, поступающих через сайт, организация обратной связи с посетителями сайта, запись на пробное занятие или консультацию.
Кого отметить:
- Посетители сайта
- Клиенты — если после заявки человек становится клиентом клуба
Какие данные отметить:
- фамилия, имя, отчество — если есть в форме;
- номер телефона;
- адрес электронной почты — если есть в форме;
- сведения, собираемые посредством метрических программ — только если используются системы аналитики, которые собирают данные, относящиеся к персональным.
Правовое основание:
Обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных.
Какие действия отмечать:
- сбор;
- запись;
- систематизация;
- хранение;
- извлечение;
- использование;
- передача — если заявка передаётся в CRM, сторонний коллтрекинг или другой сервис;
- удаление;
- уничтожение.
Цель 5. Медицинские справки и ограничения
Добавляйте этот блок, только если клуб получает справки, заключения о допуске или другие сведения о здоровье спортсменов.
Цель обработки:
Проверка наличия медицинского допуска к занятиям и спортивным мероприятиям, учёт медицинских документов и ограничений, необходимых для безопасного участия в занятиях и мероприятиях клуба.
Кого отметить:
- Клиенты
- Учащиеся
- Законные представители — если справки передают родители
Какие данные отметить:
- фамилия, имя, отчество;
- дата рождения — если есть в документе;
- сведения о состоянии здоровья.
Правовое основание:
Выбирайте основание только после юридической проверки конкретного процесса. Для обычного клуба безопаснее использовать:
Обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных.
Если речь о ребёнке, согласие оформляет законный представитель в предусмотренных законом случаях.
Какие действия отмечать:
- сбор;
- запись;
- хранение;
- извлечение;
- использование;
- передача — только если доступ действительно есть у тренера, медработника или организатора соревнований;
- блокирование;
- удаление;
- уничтожение.
3) Описание мер по статьям 18.1 и 19 Федерального закона “О персональных данных”
Пример, адаптируйте его под ваш клуб и процессы. Перед вставкой уберите то, чего в клубе нет. Например, не пишите о резервном копировании, если его никто не настраивал, или об антивирусе, если сотрудники работают со своих незащищённых устройств.
Разработаны и утверждены документы, определяющие политику оператора в отношении обработки персональных данных, а также локальные акты по вопросам обработки и защиты персональных данных. Назначено лицо, ответственное за организацию обработки персональных данных.
Работники, непосредственно осуществляющие обработку персональных данных, ознакомлены с требованиями законодательства Российской Федерации о персональных данных, локальными актами оператора и правилами обработки персональных данных.
Доступ к персональным данным предоставляется только работникам, которым он необходим для исполнения должностных обязанностей. Применяются организационные и технические меры защиты персональных данных: разграничение прав доступа, парольная защита учётных записей, использование антивирусного программного обеспечения, резервное копирование данных и внутренний контроль соблюдения требований к обработке персональных данных.
Обеспечивается сохранность материальных носителей персональных данных и ограничивается доступ посторонних лиц в помещения, где осуществляется их обработка.
4) Средства обеспечения безопасности
Пример, адаптируйте под ваш клуб и процессы:
Используются антивирусные средства защиты информации, индивидуальные учётные записи пользователей, парольная защита, разграничение прав доступа к информационным системам и персональным данным, а также резервное копирование данных.
При наличии можно добавить: для доступа к информационным системам применяется двухфакторная аутентификация.
5) Использование шифровальных средств
Если клуб не использует специальные криптографические средства защиты информации, в форме выберите:
Не используются.
6). Ответственный за обработку ПДн
Здесь укажите сотрудника, которого клуб назначил ответственным приказом: обычно это руководитель, администратор, специалист по документам или иной уполномоченный сотрудник.
7) Дата начала обработки
Укажите дату, когда клуб фактически начал обрабатывать персональные данные. Обычно это: дата регистрации ИП или юридического лица (если с этого момента начали принимать клиентов или нанимать сотрудников), дата запуска первой клиентской базы, сайта или CRM, дата начала деятельности клуба.
Не ставьте текущую дату только потому, что уведомление подаётся сейчас.
8) Условия прекращения обработки
Пример, адаптируйте под ваш клуб и процессы:
Достижение целей обработки персональных данных, истечение сроков хранения персональных данных, прекращение деятельности оператора, прекращение договорных отношений с субъектом персональных данных, отзыв согласия на обработку персональных данных в случаях, когда обработка осуществляется на основании согласия субъекта персональных данных, а также иные основания, предусмотренные законодательством Российской Федерации.
9) Трансграничная передача
Если клуб не передаёт персональные данные за пределы России, выберите:
Не осуществляется.
10) Местонахождение базы данных
Если вы клиент SportCRM, запросите у менеджера данные:
- адрес центра обработки данных;
- наименование организации, которая отвечает за хранение;
- ИНН и ОГРН этой организации;
- является ли ЦОД собственным или арендованным;
11) Сведения о лицах, имеющих доступ и (или) осуществляющих на основании договора обработку персональных данных, содержащихся в государственных и муниципальных информационных системах
Этот блок не нужно заполнять обычному спортивному клубу.
Он нужен только операторам, которые обрабатывают персональные данные в государственных или муниципальных информационных системах.
12) Сведения об обеспечении безопасности
Пример, адаптируйте под ваш клуб и процессы. Этот текст подходит если вы используете SportCRM и храните документы в бумажном виде:
Обеспечивается безопасность помещений, в которых размещаются информационные системы и материальные носители персональных данных. Обеспечивается сохранность носителей персональных данных. Утверждён перечень работников, которым доступ к персональным данным необходим для исполнения должностных обязанностей. Доступ к информационным системам предоставляется уполномоченным пользователям с использованием индивидуальных учётных записей и парольной защиты.
При обработке персональных данных без использования средств автоматизации определены места хранения документов и перечень лиц, допущенных к их обработке. Работники проинформированы о правилах обработки персональных данных и требованиях к их защите.
13) Машиночитаемая доверенность
Если уведомление подписывает руководитель
Например, директор ООО или сам ИП.
Выберите:
«Уведомление будет подписано лицом, имеющим право действовать без доверенности от имени оператора».
XML- и SIG-файлы загружать не нужно. Руководитель подписывает уведомление своей квалифицированной электронной подписью или действует через доступный ему способ подачи на портале.
Если уведомление подаёт сотрудник или подрядчик
Например, уведомление отправляет администратор, бухгалтер, юрист или внешний специалист, а не директор клуба. Нужна машиночитаемая доверенность (МЧД) — электронная доверенность, подтверждающая полномочия этого человека действовать от имени клуба. Тогда загрузите два файла:
- XML-файл МЧД — сама доверенность с данными доверителя, представителя и полномочиями;
- SIG-файл МЧД — электронная подпись, которой руководитель заверил доверенность.
Оба файла составляют единый комплект: без SIG-файла XML-доверенность не подтверждена.
💡Частые ошибки спортивных клубов
«У нас небольшая школа, поэтому уведомление не нужно»
Размер клуба сам по себе не освобождает от обязанности. Все обязаны подавать уведомление.
«Укажем все возможные данные и цели, так безопаснее»
Нет. В уведомлении лучше фиксировать фактические процессы клуба. Лишние категории данных и цели усложняют дальнейшее поддержание сведений в актуальном состоянии.
«После отправки можно забыть о реестре»
Нет. Если меняются сведения из уведомления, их нужно актуализировать через форму изменения сведений.
Ответственность
С 30 мая 2025 года за неподачу или несвоевременную подачу уведомления об обработке персональных данных действует отдельная ответственность по части 10 статьи 13.11 КоАП РФ. Для юридических лиц штраф составляет от 100 000 до 300 000 ₽ (в том числе ИП), для должностных лиц от 30 000 до 50 000 ₽, для граждан от 5 000 до 10 000 ₽.
Эта инструкция помогает организовать подачу уведомления, но не заменяет юридическую проверку. Особенно это важно, если клуб получает медицинские сведения, работает с детьми, использует несколько подрядчиков и сервисов или передаёт данные за пределы России.
Официальные источники
