Уведомление о прекращении обработки персональных данных: штрафы

Статус обязательное уведомление при выявлении неправомерной обработки персональных данных
Основание ч. 3 ст. 21 152-ФЗ
Область применения уведомление применяется при выявлении фактов неправомерной обработки, требующих прекращения
Публичность не публикуется; направляется субъекту персональных данных, копия хранится у оператора
Кто утверждает руководитель организации, форма утверждения: приказ
Ответственный ответственный за организацию обработки персональных данных или назначенное уполномоченное лицо
Срок исполнения прекращение неправомерной обработки не более 3 рабочих дней с даты выявления
Обновлено июль 2026

01 Назначение

Уведомление о прекращении обработки персональных данных

Зачем нужно уведомление. Уведомление оформляют при выявлении факта неправомерной обработки персональных данных, который требует прекращения обработки. Документ фиксирует дату выявления, суть нарушения, принятые меры и ответственных лиц; служит основанием для внутреннего контроля и контакта с субъектом персональных данных. Нормативно установлено требование прекратить неправомерную обработку в срок не более 3 рабочих дней с даты выявления.

Что должно содержать уведомление. Типовой состав уведомления: наименование оператора и уполномоченного лица, описание события неправомерной обработки и основания для такой квалификации, дата выявления, перечень уже принятых мер по прекращению обработки и план действий с указанием применимых сроков, указание на последующие действия по уничтожению или блокированию данных при необходимости. При достижении цели обработки или при отзыве согласия применяется установленный законом порядок прекращения и уничтожения данных.

Утверждение и хранение копии. Уведомление утверждается руководителем организации в форме приказа или иным документом, закреплённым локальным порядком; копия уведомления хранится у оператора в деле по обработке соответствующей категории данных. Уведомление не публикуется в открытом доступе, оно направляется субъекту персональных данных и регистрируется в учётных системах оператора для подтверждения исполнения процедур.

Практические подсказки и типичные ошибки. Проверьте наличие подписи уполномоченного лица, указание точной даты выявления и однозначного описания факта обработки, соответствие указанных сроков требованиям закона, связь уведомления с внутренним актом расследования. Частые ошибки: отсутствие указания мер по прекращению обработки, пропуск ссылки на план уничтожения при достижении цели, несвоевременная регистрация отправки уведомления субъекту. Если уничтожение данных невозможно немедленно, документируйте основании блокирования и план уничтожения в пределах предусмотренного законом срока.

Раскрыть полностью

02 Ответственность

Административная ответственность за неправомерную обработку персональных данных

ч. 1 ст. 13.11 КоАП РФ: обработка персональных данных в случаях, не предусмотренных законодательством или несовместимая с целями сбора

Юридическое лицо 150 000 - 300 000 ₽
Должностное лицо 50 000 - 100 000 ₽
Физическое лицо (гражданин) 10 000 - 15 000 ₽

Наличие оформленного уведомления о прекращении обработки и записи о направлении ему копии помогает документально показать завершение обработки при проверке. Типичные ошибки, увеличивающие риск привлечения по ч. 1 ст. 13.11 КоАП: задержка прекращения обработки; отсутствие приказа руководителя о прекращении; отсутствие копии уведомления в делах оператора; некорректная фиксация сроков в соответствии с ч. 3-6 ст. 21 152-ФЗ.

03 Синонимы и поисковые названия

Как ещё называют этот документ

Короткие и разговорные варианты названия, которые используют на практике при оформлении ответа субъекту о прекращении обработки персональных данных.

Уведомление о прекращении обработки персональных данных
Уведомление субъекту о прекращении обработки персональных данных
Уведомление о прекращении неправомерной обработки персональных данных
Письмо о прекращении обработки персональных данных
Образец уведомления о прекращении обработки персональных данных
Ответ субъекту о прекращении обработки данных
Уведомление о прекращении обработки и предстоящем уничтожении данных
Уведомление о прекращении обработки по обращению или жалобе субъекта

04 Обязательное содержание

Чеклист содержания уведомления

Короткий список обязательных элементов уведомления о прекращении неправомерной обработки персональных данных для внутренней подготовки и проверки.

Идентификация уведомления Название документа, регистрационный номер или код, дата и время выявления факта неправомерной обработки, ссылка на соответствующее дело или инцидент.
Описание факта неправомерной обработки Краткое описание содержания нарушения: какие действия с персональными данными имели место, какие категории данных затронуты, период и объём обработки, указание доказательной базы.
Решение о прекращении и законные сроки Формулировка о прекращении неправомерной обработки с указанием применимого срока исполнения; при выявлении - прекращение в срок не более трёх рабочих дней, при достижении цели или отзыве - сроки для уничтожения/прекращения до тридцати дней, при невозможности немедленного уничтожения - блокирование с возможным сроком до шести месяцев.
Ответственные лица и утверждение ФИО и должность ответственного за организацию обработки или уполномоченного лица, контакт для связи, указание лица, утвердившего уведомление (например, руководитель организации и реквизиты приказа).
Механизм исполнения и фиксация действий Короткое перечисление мер для прекращения обработки (блокирование, удаление, запрет доступа), указание исполнителей и порядок фиксации выполненных действий в реестре или журнале контроля.
Направление субъекту и хранение копии Способ и дата направления уведомления субъекту персональных данных, подтверждение вручения или иного способа уведомления, указание места и срока хранения копии уведомления у оператора.

05 Применимость

Области применения уведомления о прекращении обработки персональных данных

Краткое руководство - кому и в каких ситуациях направляется уведомление о прекращении обработки персональных данных, кто отвечает за подготовку и какие нормативные сроки применяются.

Когда применяется уведомление Применяется при выявлении фактов неправомерной обработки персональных данных, при которых требуется немедленное прекращение обработки и информирование субъекта. Случаи включают обработку, не предусмотренную законом, либо иные нарушения, требующие остановки операций с данными.
Кто формирует и утверждает уведомление Уведомление готовит ответственный за организацию обработки персональных данных или уполномоченное лицо; утверждает руководитель организации приказом. Оригинал или копия уведомления хранится у оператора, копия направляется субъекту персональных данных.
Сроки прекращения обработки и действия уведомления При выявлении неправомерной обработки прекращение должно быть обеспечено в срок не более трёх рабочих дней с даты выявления. При достижении цели обработки прекращение и уничтожение данных - в срок не более тридцати дней. При отзыве согласия прекращение и уничтожение данных - в срок не более тридцати дней. Если уничтожение в указанные сроки невозможно, допускается блокирование с последующим уничтожением не более чем за шесть месяцев.
Публичность уведомления и порядок направления Уведомление не подлежит публичному размещению; направляется непосредственно субъекту персональных данных. У оператора должна оставаться копия уведомления и документальные подтверждения направления и исполнения решений о прекращении обработки.
Граница применения и когда нужен другой документ Не используется для случаев законной обработки, не требующей прекращения. При внутренних расследованиях, оценке рисков или оформлении дисциплинарных мер целесообразно использовать сопутствующие внутренние документы - акт расследования, служебную записку или приказ.

06 Нормативная база

Нормативная база для уведомления о прекращении обработки персональных данных

ч. 3 ст. 21 152-ФЗ обязывает прекратить неправомерную обработку не позднее трёх рабочих дней с даты выявления; для этого уведомления норма задаёт крайний срок исполнения мероприятий по прекращению и фиксации результатов проверки и действий оператора
ч. 3 ст. 21 152-ФЗ предусматривает обязательность уничтожения персональных данных, если восстановить правомерность их обработки невозможно, в установленный нормой срок; уведомление должно содержать указание о планируемой мере уничтожения и сроках её исполнения
ч. 3 ст. 21 152-ФЗ определяет обязанность информировать субъекта персональных данных и, при обращении через уполномоченный орган, также этот орган; уведомление служит формой фиксации информирования и подлежит хранению в деле оператора
ч. 4 ст. 21 152-ФЗ регламентирует прекращение и уничтожение данных при достижении цели обработки в срок не более тридцати дней, уведомление применяется при завершении цели, оно должно фиксировать дату достижения цели и дату/план уничтожения
ч. 5 ст. 21 152-ФЗ устанавливает обязанность прекратить обработку и уничтожить данные в срок не более тридцати дней при отзыве согласия субъекта; уведомление подтверждает исполнение требования субъекта и содержит сведения о принятых мерах
ч. 6 ст. 21 152-ФЗ допускает блокирование данных, если их немедленное уничтожение невозможно, с последующим уничтожением не позднее шести месяцев; уведомление должно отражать причину блокирования и план действий до окончательного уничтожения
п. 1 ч. 1 ст. 18.1 152-ФЗ устанавливает обязанность оператора иметь внутренние документы по обеспечению безопасности, в том числе регламенты взаимодействия при прекращении обработки; уведомление является частью документальных подтверждений исполнения политики и подлежит утверждению и хранению в порядке, установленном организацией

08 Внедрение

Шаги внедрения уведомления о прекращении обработки персональных данных

Порядок от фиксации факта неправомерной обработки до документального закрытия и внутренней проверки. В каждом шаге указан ответственный и конкретный документ на выходе.

1. Фиксация факта и первичная регистрация Сотрудник внутреннего контроля или любой сотрудник, обнаруживший факт, фиксирует событие в журнале выявлений с указанием даты, описанием факта и доказательств; уведомление о факте направляется руководителю и ответственному за обработку. Результат на выходе - запись в журнале выявлений с датой и приложениями.
2. Решение руководителя и оформление приказа Руководитель принимает решение о необходимости прекращения обработки и издаёт приказ об обеспечении прекращения обработки персональных данных, назначает исполнителя(ей) и устанавливает сроки исполнения. Результат на выходе - оформленный приказ с регистрацией в делопроизводстве.
3. Оперативные меры по прекращению обработки и работа с данными Назначенный ответственный организует технические и организационные меры: блокирование и/или уничтожение записей, изменение прав доступа, остановка передачи данных внешним получателям. Оформляются акты блокирования или акты уничтожения и выполняются действия по срокам, предусмотренным законом. Результат на выходе - акт блокирования или акт уничтожения и запись в журнале операций.
4. Направление уведомления субъекту и хранение копии Ответственное лицо готовит уведомление о прекращении обработки для субъекта персональных данных и регистрирует отправление. Копия уведомления и сопутствующие документы помещаются в дело оператора и в реестр уведомлений. Результат на выходе - зарегистрированная копия уведомления в делопроизводстве и запись в реестре.
5. Внутренний контроль и подготовка материалов для проверки Служба внутреннего контроля проводит проверку соблюдения принятых мер, составляет отчёт о проверке и формирует комплект документов для аудита: приказ, журнал регистрации, копии уведомлений, акты блокирования/уничтожения. В отчёте отражается вывод о наличии или отсутствии обработки, не предусмотренной законом, для дальнейшей оценки рисков. Результат на выходе - отчёт проверки и комплект документов для проверки.

09 Актуализация

Поводы для обновления уведомления о прекращении обработки персональных данных

Форма уведомления в целом устойчива, но перечень хранилищ, основания прекращения и процедуры подтверждения устаревают быстрее. Обновления нужны, чтобы уведомление оставалось полным, соответствовало срокам и содержало актуальные реквизиты подтверждающих актов.

Обнаружена новая информационная система с персональными данными Уведомление должно охватывать все места хранения: базы данных, резервные копии, интеграции с внешними сервисами и рассылочные списки. Пропуск хранилища делает уведомление неполным и мешает фактическому прекращению обработки. Провести инвентаризацию хранилищ, обновить перечень и приложить его к уведомлению; издать приказ о прекращении обработки для затронутых систем.
Сменился подрядчик или оператор, действующий по поручению Обязанности по прекращению обработки и подтверждению уничтожения или блокирования данных должны быть зафиксированы в новом договоре и оперативно исполнены; отсутствие таких условий может оставить данные доступными у бывшего исполнителя. Внести требование о порядке прекращения и подтверждающих актах в договор, получить от нового и бывшего исполнителя письменные подтверждения и при необходимости подготовить дополнительный приказ.
Изменились цель обработки или сроки хранения данных При достижении цели или при отзыве согласия обработка прекращается и данные подлежат уничтожению или блокированию в установленные законом сроки; исключения для архивного и налогового хранения должны отражаться в уведомлении. Сверить уведомление с реестром целей и режимов хранения, при необходимости обновить формулировки и приказ, уведомить ответственных за архивирование и резервные копии.
Выявлена неправомерная обработка персональных данных Процедура начинается с даты выявления нарушения; уведомление должно фиксировать дату и объем неправомерной обработки. Прекращение такой обработки должно быть выполнено в срок, установленный законом, в том числе оперативные меры по блокированию доступа. Оформить уведомление и приказ, зафиксировать дату выявления, выполнить оперативные меры по прекращению обработки и направить субъекту копию уведомления; сохранить подтверждающие акты у оператора.
Частичное прекращение обработки или изменение порядка подтверждения уничтожения Если прекращается не вся обработка, форма уведомления должна ясно описывать объем прекращаемых операций и оставшиеся способы обработки. При изменении порядка подтверждения уничтожения уведомление должно ссылаться на форму и реквизиты подтверждающего документа. Дополнить шаблон полями для описания объема прекращения и для реквизитов акта уничтожения, назначить ответственного за прием и хранение подтверждающих документов.

10 Проверка

Инспектор проверит

Документы и материалы проверки уведомления о прекращении обработки персональных данных.

Вопрос 01 «Предъявите документ, которым утверждена форма уведомления и порядок её применения.»
Вопрос 02 «Предъявите подтверждение направления уведомления субъекту персональных данных.»
Вопрос 03 «Укажите сроки прекращения обработки и основания для выбранного срока.»
Вопрос 04 «Предъявите документы о блокировании или уничтожении персональных данных, если эти меры применялись.»
Вопрос 05 «Назовите ответственное лицо за направление уведомлений и контроль прекращения обработки.»

Инспектор при проверке, может запросить:

приказ руководителя об утверждении формы уведомления и порядка направления уведомлений, действующая редакция текста уведомления
запись о направлении уведомления субъекту персональных данных, почтовое уведомление с отметкой о дате отправки или копия электронного сообщения с отметкой о доставке
документы и записи, обосновывающие сроки прекращения обработки: служебная записка с датой выявления факта, журнал учёта операций или протокол расследования
акт уничтожения персональных данных или журнал блокирования данных, протоколы операций с указанием дат, методов и исполнителей
приказ или распоряжение о назначении ответственного за организацию обработки персональных данных, должностная инструкция с указанием обязанностей по прекращению обработки

11 Экспертная позиция

Практический риск и контролируемые доказательства

Частая ошибка - формальное прекращение обработки без оперативной фиксации и без комплекса доказательств, которые проверяющий сможет сопоставить: дата выявления, перечень принятых мер, приказ об утверждении формы уведомления и подтверждение направления субъектам. Рекомендуем одновременно с техническими мероприятиями (блокирование доступа, остановка процессов) оформить акт с указанием ответственного и списком носителей, отдельно описать порядок действий на случай, если уничтожение данных затруднено; это минимизирует спорные выводы проверяющих и ускорит исполнение установленного законом порядка.

Дмитрий Алексеевич Барышников

Экспертиза

Ведущий эксперт по персональным данным (ПДн) и информационной безопасности (ИБ) группы компаний Антагора

Компетенции

Высшее образование инженер-программист
Переподготовка более 1 420 часов

Учебные центры УЦ «Информзащита»
УЦ ФГУП «НПП «Гамма»
ФГУП «ВНИИ «Центр»
НИУ «Высшая школа экономики» (ВШЭ)

12 Вопросы и ответы

Частые вопросы - уведомление о прекращении обработки ПДн

Уведомление направляют при выявлении фактов неправомерной обработки, которые требуют прекращения обработки. Документ обязателен для случаев, когда необходимо остановить обработку в связи с нарушением прав субъекта или несоответствием требованиям обработки. Сроки прекращения зависят от конкретной ситуации, см. следующий вопрос.

Уведомление о прекращении обработки персональных данных