Уведомление в Роскомнадзор для франчайзинговой сети: кто подаёт и что указать

Уведомление об обработке персональных данных подаёт и управляющая компания, и каждый франчайзи как самостоятельный работодатель. Обязанность стоит в части 1 статьи 22 закона 152-ФЗ. С 1 сентября 2022 года перечень исключений из части 2 той же статьи сокращён почти до нуля: уведомляет и тот, кто обрабатывает только данные собственных работников.

Дальше разбор того, что в уведомлении пишут и где заявленное чаще всего расходится с фактическим. Пример у нас свой: разбирая собственные уведомления в сентябре 2026 года, мы нашли четыре расхождения.

Кто здесь оператор

В сети данные ходят по цепочке, и на каждом звене свой статус.

Франчайзи нанимает продавцов и обслуживает покупателей. По этим данным он оператор, причём независимо от того, что вывеска чужая.

Управляющая компания ведёт кандидатов на покупку франшизы, заявки с сайта, контакты собственников точек и сотрудников самой компании. По ним оператор она.

Кабинет сети, в котором территориальный управляющий видит сотрудников точки и результаты их проверок, означает, что управляющая компания обрабатывает данные чужих работников. Законного основания “мы же одна сеть” не существует. Нужно либо поручение на обработку от франчайзи по части 3 статьи 6 закона, либо собственное основание и своё согласие.

Поручение оформляется отдельным пунктом в договоре или приложением к нему. Там указывается перечень действий, цели, обязанность соблюдать конфиденциальность и требования к защите. Занимает такой пункт половину страницы. Без него обработка идёт без основания сразу у обеих сторон.

Третье звено - платформа, в которой сеть ведёт учёт. Она обрабатывает данные по поручению сети, и такое же приложение должно быть в договоре с ней.

Что указывается в уведомлении

Состав сведений перечислен в части 3 статьи 22. На практике заполнение занимает полчаса на портале Роскомнадзора через госуслуги, а ошибаются в четырёх местах.

Цели обработки. Их указывают все, а не одну. Кадровый учёт, продвижение товаров и услуг, исполнение договора с клиентом, рассмотрение обращений. Самая частая ошибка выглядит так: у компании заявлена одна цель про соблюдение трудового законодательства, а сайт при этом собирает заявки. Это уже продвижение, и цели в уведомлении нет.

Категории субъектов и данных. Работники, клиенты, посетители сайта, кандидаты. Отдельной строкой идут сведения, собираемые метрическими программами. Если на сайте стоит счётчик с записью действий посетителя, эта строка обязательна.

Перечень действий. Сбор, запись, хранение, уточнение, использование, удаление. Слово “распространение” в этом списке лишнее у большинства. Распространением считается раскрытие неопределённому кругу лиц, и с 2021 года на него нужно отдельное согласие по статье 10.1 со своей формой. Если сеть ничего не раскрывает, она берёт на себя обязанность впустую.

Место нахождения базы данных. Пункт 10.1 части 3 статьи 22 требует указать, где физически лежит база с данными граждан России. Если сервер арендован у хостинг-провайдера, пишется его наименование и адрес дата-центра, а не юридический адрес самой компании и не квартира ответственного лица.

Что мы нашли у себя

Разбор от 20 сентября 2026 года, 4 пункта.

Цель, ради которой работает продукт, заявлена не была: в уведомлении стояло только соблюдение трудового законодательства, хотя сайт принимает заявки, а кабинет обслуживает клиентов. При этом в категориях субъектов уже стояли “Клиенты” и “Посетители сайта”, то есть уведомление противоречило само себе.

Сведения, собираемые счётчиком, указаны не были, хотя метрика с записью действий на сайте стоит.

Место нахождения базы данных было указано как адрес ответственного лица, а фактически база живёт на арендованном сервере в дата-центре в Санкт-Петербурге.

В перечне действий стояло “распространение”, которого мы не делаем.

Ни одно из этих расхождений не требует подавать уведомление заново. Обязанность из части 1 статьи 22 исполнена, оператор в реестре. Правится это информацией об изменении сведений.

Срок на неё стоит в части 7 статьи 22 и звучит неочевидно: уведомить нужно не позднее 15-го числа месяца, следующего за месяцем, в котором изменения возникли. 10 рабочих дней, которые обычно называют по памяти, относятся к другому случаю: к прекращению обработки персональных данных. Мы сами держали в голове неверный срок, пока не открыли действующую редакцию.

Трансграничная передача

Отдельный сюжет для сетей, которые ведут учёт в зарубежных сервисах: почта, таблицы, мессенджеры, CRM на иностранных серверах. Статья 12 требует подать в Роскомнадзор отдельное уведомление о намерении передавать данные за границу, и подаётся оно до начала передачи.

Уведомление об обработке этот случай не покрывает. Это два разных документа, и второй про франчайзинговые сети вспоминают редко.

Чем грозит расхождение

Часть 10 статьи 13.11 КоАП отвечает за неисполнение обязанности направить уведомление, включая направление сведений, не соответствующих действительности. Норма введена законом 420-ФЗ от 30 ноября 2024 года и действует с 30 мая 2025 года, для юридических лиц счёт идёт на сотни тысяч рублей. Точные вилки перед тем, как на них ссылаться, стоит сверить с действующей редакцией: их правили дважды за 2 года.

Проверок “по звонку” ждать не стоит, сценария три. Автоматический обход сайтов смотрит формальные признаки: лежит ли политика обработки по отдельному адресу, стоит ли у формы галочка согласия, назван ли оператор. Сверка с реестром сопоставляет то, что сайт собирает, с тем, что заявлено. Третий сценарий - жалоба субъекта. Приходит она обычно после рассылки, на которую человек не подписывался.

Что сделать сети на этой неделе

проверить себя в реестре операторов и сравнить заявленные цели с тем, что происходит на самом деле;
посмотреть, указано ли фактическое место нахождения базы данных;
найти в договоре с франчайзи пункт про поручение на обработку, а если его нет, добавить;
проверить, есть ли такой же пункт в договоре с платформой или подрядчиком, который ведёт учёт;
если что-то из перечисленного изменилось, подать информацию об изменении сведений, не дожидаясь проверки.

Доказывать, что согласие получено, обязан оператор (часть 3 статьи 9). Галочка, которая проверяется только в браузере, этого не доказывает. Проверять её нужно на сервере, а сам факт согласия записывать вместе с версией документа и датой.

Это не юридическая консультация

Здесь описан порядок в общем виде и наш собственный разбор. Конкретный состав целей и категорий зависит от того, что именно делает сеть, и его стоит проверить с юристом.