Федеральный закон от 27 июля 2006 г․ № 152-ФЗ «О персональных данных» — это основной нормативный правовой акт в Российской Федерации, регулирующий отношения по обработке и защите персональных данных․ На 02 августа 2026 года закон включает множество поправок (последние значимые изменения вносились ФЗ от № 8-ФЗ, № 266-ФЗ и др․), которые существенно ужесточили требования к операторам данных и расширили полномочия регуляторов․

В данной статье подробно разберем, что представляет собой 152-ФЗ, какие требования он предъявляет к бизнесу и, что наиболее важно, как он формирует алгоритм проведения контрольных мероприятий — как внутренних (самостоятельных), так и внешних (проверок Роскомнадзора)․

Суть 152-ФЗ: ключевые определения и принципы

Закон устанавливает правовые и организационные основы защиты персональных данных․ Главная цель — защита прав и свобод человека и гражданина при обработке его персональных данных, в т․ч․ защиты прав на неприкосновенность частной жизни, личную и семейную тайну․

Основные субъекты закона:

• Оператор персональных данных — государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав подлежащих обработке персональных данных, действия (операции), совершаемые с персональными данными․
• Субъект персональных данных — физическое лицо, персональные данные которого обрабатываются․
• Уполномоченный орган (Роскомнадзор), федеральный орган исполнительной власти, осуществляющий контроль за соблюдением законодательства о персональных данных․

Ключевые принципы обработки (ст․ 5-6 152-ФЗ):

1. Законность и справедливость․
2. Ограничение целей․ Обработка только для определенных, заранее заявленных целей․
3. Минимизация данных․ Недопустимость обработки данных, избыточных по отношению к целям․
4. Точность и актуальность․
5. Хранение не дольше необходимого срока․

Требования 152-ФЗ к бизнесу в 2026 году: акцент на технологические меры

Согласно актуальной практике и позициям регуляторов на 2026 год, технологические меры защиты становятся ключевыми․ Компании вынуждены инвестировать в защиту данных (шифрование, мониторинг ИТ-систем, DLP-системы, SIEM) не только для соответствия закону, но и для подготовки к автоматизированным проверкам РКН․

Два контура требований:

Организационные меры (Документальная база):

• Политика в отношении обработки персональных данных (публикуется на сайте)․
• Приказ о назначении ответственного за обработку ПДн․
• Локальные нормативные акты (ЛНА): Положение о защите ПДн, инструкции для сотрудников, регламенты обработки․
• Согласия субъектов ПДн (или иные основания ст․ 6, 11 152-ФЗ)․
• Уведомление Роскомнадзора о обработке ПДн (если не действуют исключения ст․ 22)․
• Договоры с провайдерами/подрядчиками (ст․ 28 152-ФЗ) с обязательными условиями защиты данных․
• Журналы учета: доступа к носителям, инцидентов, обучения сотрудников, выдачи носителей․

Технические меры (Средства защиты информации — СЗИ):

• Идентификация и аутентификация пользователей (МФА)․
• Разграничение прав доступа (модель минимальных привилегий)․
• Антивирусная защита, средства предотвращения утечек (DLP)․
• Шифрование персональных данных при передаче (TLS/VPN) и хранении․
• Резервное копирование и восстановление данных․
• Учет действий пользователей (логирование, SIEM)․
• Защита от несанкционированного доступа к физическим носителям (серверные, шкафы, контроль доступа)․

> Важно! Отсутствие даже одного обязательного документа может привести к штрафу до 6 млн рублей (ч․ 3 ст․ 13․11 КоАП РФ для юрлиц)․ Максимальные штрафы за повторные нарушения или утечки достигают 18 млн рублей․

Влияние 152-ФЗ на контрольные мероприятия: Внутренний контроль (Самопроверка)

Согласно ст․ 18․1 152-ФЗ и Постановлению Правительства РФ № 1119, оператор обязан проводить внутренний контроль за соблюдением требований закона․ Это не рекомендация, а прямое требование, проверяемое Роскомнадзором в первую очередь․

Элементы системы внутреннего контроля:

1. Утвержденный график проверок (планово-профилактический характер)․
2. Поручение (приказ) о проведении проверки с указанием состава проверяющих и проверяемых объектов․
3. Методика проверки (чек-листы, опросники)․
4. Фиксация результатов: Акт внутреннего контроля / Акт проверки․
5. План устранения выявленных нарушений с сроками и ответственными․

Чек-лист самопроверки (45 ключевых требований):

Профессиональные аудиторы (например, ЦЭК Безопасность, ITG Security, Контур) рекомендуют структурировать проверку по блокам:

• Нормативная база: Наличие всех ЛНА, актуальность версий, ознакомление сотрудников под роспись․
• Учет ПДн: Реестр систем обработки, карта потоков данных, категории субъектов и категорий данных․
• Права доступа: Соответствие должностным инструкциям, своевременное блокирование уволенных, отсутствие избыточных прав․
• СЗИ: Актуальность лицензий ФСТЭК/ФСБ, настройки антивирусов, DLP, шифрования, работа журналов аудита․
• Инциденты: Наличие регламента реагирования, учет инцидентов, уведомление РКН и субъектов при утечках (ст․ 22․1 152-ФЗ)․
• Провайдеры: Наличие договоров со ст․ 28 152-ФЗ, аудит безопасности провайдеров (облаков, CRM, почты)․
• Сайт и веб-формы: Наличие политики конфиденциальности, чек-боксов согласия, защита форм (reCAPTCHA, HTTPS), отсутствие утечек через GET-параметры․

Рекомендация: Для комплексной проверки рекомендуется заказать профессиональный аудит (предпроверочный аудит)․ Аудит позволяет заранее выявить нарушения и устранить их до визита инспектора, минимизируя риск штрафов․

Внешний контроль: Проверки Роскомнадзора (РКН)

Роскомнадзор осуществляет контроль за соблюдением 152-ФЗ на основании Федерального закона № 294-ФЗ «О защите прав юридических лиц и ИП при осуществлении государственного контроля (надзора)»․

Виды проверок РКН:

• Плановые проверки — проводятся по утвержденному графику (не чаще 1 раза в 3 года для одного оператора, есть исключения для высокорисковых)․
• Внеплановые проверки — по обращениям граждан, сообщениям СМИ, информации о утечках, поручениям вышестоящих органов․
• Профилактические визиты / Мероприятия по профилактике нарушений — не являются проверками в строгом смысле (нет акта), но позволяют инспектору оценить готовность и выдать предписание об устранении нарушений․
• Автоматизированные проверки (мониторинг) — анализ открытых источников (сайты, реестры уведомлений, реестр утечек) без визита на объект․

На что обращает внимание РКН в первую очередь (по материалам проверок 2024-2026 гг․):

1. Наличие и актуальность Политики обработки ПДн на сайте (ссылка в футере)․
2. Наличие Уведомления в реестре РКН (или обоснование исключения)․
3. Наличие Приказа о назначении ответственного лица․
4. Наличие Актов внутреннего контроля за последние периоды (доказательство работы системы)․
5. Наличие Договоров с провайдерами с условиями ст․ 28 152-ФЗ (без поручения провайдер не обязан выполнять условия оператора)․
6. Соответствие фактической обработки заявленным в уведомлении/политике целям и категориям данных․
7. Техническая защита: шифрование, пароли, обновления ПО, защита от брутфорса․

Последствия нарушений: Штрафы и репутационные риски (2026)

Статья 13․11 КоАП РФ (ред․ на 2026 г․) предусматривает:

Дополнительные меры: Приостановка деятельности сайта/ресурса (до 6 месяцев), блокировка доступа к ресурсу в РФ (судебный порядок), взыскание ущерба и морального вреда в гражданском процессе․

Пошаговая инструкция: Как подготовиться к контрольным мероприятиям

1. Инвентаризация (Аудит текущего состояния): Определите, какие ПДн собираете, где храните, кто имеет доступ, через какие провайдеры идут данные․ Составьте реестр систем обработки․
2. Документальное оформление (Compliance): Разработайте/обновите Политику, Приказы, ЛНА, Договоры с провайдерами (ст․ 28), Получите согласия субъектов․ Подайте/обновите Уведомление в РКН․
3. Техническая защита (Hardening): Внедрите МФА, шифрование (БД, бэкапы, каналы связи), DLP/SIEM, настройте логирование событий безопасности․ Проверьте соответствие СЗИ требованиям ФСТЭК (если требуется класс защиты)․
4. Организация процесса внутреннего контроля: Утвердите График проверок на год; Проведите первую полноценную внутреннюю проверку по чек-листу (45+ пунктов)․ Оформите Акт и План устранения нарушений․ Именно эти акты РКН просит показать в первую очередь․
5. Обучение персонала: Проведите инструктаж по защите ПДн для всех сотрудников с доступом к данным․ Оформите журналы ознакомления․
6. Управление инцидентами: Утвердите Регламент реагирования на инциденты․ Настройте процесс уведомления РКН и субъектов в срок не позднее 24 часов с момента обнаружения утечки․
7. Работа с провайдерами: Проведите аудит безопасности ключевых подрядчиков (облака, CRM, колл-центры)․ Подпишите доп․ соглашения со ст․ 28 152-ФЗ․
8. Мониторинг изменений законодательства: Отслеживайте поправки в 152-ФЗ, постановительства Правительства, разъяснения РКН и ФСТЭК․

Резюме

152-ФЗ — это не просто про «галочки в документах», а про построение цикла управления защитой персональных данных (PDPA — Personal Data Protection Assurance)․

Влияние закона на контрольные мероприятия двояко:

1. Внутренний план: Закон обязывает оператора создавать систему внутреннего контроля (ст․ 18․1)․ Отсутствие актов проверок, графиков и планов устранения нарушений, это прямое основание для штрафов и предписаний РКН․
2. Внешний план: Роскомнадзор использует 152-ФЗ как чек-лист для своих проверок․ Готовность к проверке РКН — это побочный эффект качественно выстроенной системы внутреннего контроля и технической защиты․

Главный совет на 2026 год: Не ждите проверки․ Проведите независимый аудит (предпроверочный), устраните пробелы в документации и технике, настройте регулярный внутренний контроль․ Стоимость аудита и внедрения СЗИ несоизмеримо ниже потенциальных штрафов (до 18 млн руб․), ущерба от утечки и репутационных потерь․

Данная статья носит информационный характер и не является юридической консультацией․ Для решения конкретных вопросов соответствия 152-ФЗ рекомендуется обратиться к специалистам по защите персональных данных и юристам․