Практически любой бизнес в России‚ у которого есть сайт‚ сотрудники или клиенты‚ считается оператором персональных данных и обязан соблюдать требования Федерального закона № 152‑ФЗ «О персональных данных». С 2025 года требования к операторам ужесточились‚ а размеры штрафов выросли до нескольких миллионов рублей. Ниже – подробный план действий‚ который поможет вам минимизировать риск предписаний и финансовых санкций.

Краткий обзор ключевых требований ФЗ‑152

• Определить‚ какие данные вы собираете и обрабатываете;
• Получить согласие субъекта данных в письменной или электронной форме.
• Уведомить Роскомнадзор о начале обработки (подача в реестр операторов).
• Обеспечить техническую и организационную защиту ПДн.
• Вести журнал регистрации операций с ПДн.
• Обеспечить возможность субъекту отозвать согласие и потребовать удаление данных.

Что изменилось в 2025‑2026 гг.

С 1 сентября 2025 года вступили в силу новые правила оформления согласия и обязательного уведомления. Основные нововведения:

• Обязательное уведомление Роскомнадзора – отсутствие записи в реестре считается отдельным нарушением (штраф от 300 000 руб.).
• Согласие должно быть активным (запрещены галочки «по умолчанию»).
• Штрафы за нарушение согласия могут достигать 700 000 руб. за первое нарушение и до 1 млн руб. за повторное.
• За утечку персональных данных предусмотрены санкции от 1 млн до 3 млн руб. (ч. 8 ст. 13.11 КоАП РФ).
• В случае нарушения требований к передаче данных за границу штраф может составлять до 20 млн руб.

Основные причины наложения штрафов

1. Отсутствие или неправильное оформление согласия (неактивные чек‑боксы‚ отсутствие даты‚ подписи).
2. Не подано уведомление в реестр Роскомнадзора либо сведения в реестре устарели.
3. Неправильная или неполная политика конфиденциальности (не указаны цели обработки‚ сроки хранения‚ права субъектов).
4. Отсутствие договоров с подрядчиками (договоры о передаче ПДн‚ обязательства по защите).
5. Технические уязвимости (отсутствие шифрования‚ слабые пароли‚ отсутствие резервного копирования).
6. Не проведён внутренний аудит и отсутствие журналов регистрации операций.

Пошаговый чек‑лист «Без штрафов»

Как правильно оформить согласие

С 1 сентября 2025 года согласие должно соответствовать следующим требованиям:

• Активное действие субъекта – пользователь ставит галочку самостоятельно.
• Указание конкретных целей обработки (например‚ рассылка новостей‚ обработка заявки).
• Информация о сроках хранения и праве отозвать согласие в любой момент.
• Отображение даты и времени получения согласия (для аудита).
• Возможность получить копию согласия по запросу субъекта.

<form action="/submit" method="post">
 <label>
 <input type="checkbox" name="consent" required>
 Я даю согласие на обработку моих персональных данных (ФИО‚ email) 
 в целях получения рассылки и обработки заявки. 
 Согласие действует до . 
 Я ознакомлен(а) с <a href="/privacy">политикой конфиденциальности</a>.
 </label>
 <button type="submit">Отправить</button>
</form>

Уведомление в реестр Роскомнадзора

Согласно п. 1 ст. 5 ФЗ‑152 каждый оператор обязан подать в Роскомнадзор уведомление о начале обработки ПДн. Необходимо:

1. Зарегистрировать юридическое лицо в личном кабинете Роскомнадзора.
2. Заполнить форму «Уведомление об обработке персональных данных» (указать цели‚ категории данных‚ способы защиты).
3. Прикрепить копию политики конфиденциальности и образцы согласий.
4. Получить подтверждение о внесении записи в реестр (обычно в течение 10‑15 дней).

Важно: отсутствие записи в реестре – отдельное административное правонарушение (штраф от 300 000 руб.).

Договорные отношения с подрядчиками

Если обработка ПДн передаётся третьим лицам (облачные сервисы‚ рекламные сети‚ колл‑центры)‚ в договоре обязаны быть следующие пункты:

• Определение объёма и целей передачи данных.
• Требования к технической защите (шифрование‚ ограничение доступа).
• Обязанность сообщать о любых инцидентах в течение 24 часов.
• Положения о конфиденциальности и ответственности за нарушение.
• Условие о возврате или уничтожении данных после завершения сотрудничества.

Отсутствие такого пункра может привести к штрафу от 100 000 руб. за первое нарушение и до 300 000 руб. за повторное.

Технические меры защиты

Техническая защита – один из самых проверяемых аспектов при проверке Роскомнадзора.

8.1 Шифрование

• Все соединения с сайтом – HTTPS (TLS 1.2+).
• Хранение чувствительных данных – AES‑256 или аналогичный алгоритм.

8.2 Аутентификация и контроль доступа

• Двухфакторная аутентификация (2FA) для администраторов.
• Разграничение прав доступа (принцип «необходимости знать»).

8.3 Мониторинг и журналирование

• Вести журнал регистрации операций (кто‚ когда‚ какие данные изменил).
• Настроить систему обнаружения вторжений (IDS/IPS).

8.4 Резервное копирование

• Регулярные бэкапы (не реже одного раза в сутки) с хранением в зашифрованном виде.
• Тестировать восстановление данных минимум раз в квартал.

Как подготовиться к проверке Роскомнадзора

1. Соберите пакет документов: политика конфиденциальности‚ образцы согласий‚ копию уведомления в реестр‚ договоры с подрядчиками‚ журналы регистрации.
2. Проведите внутренний аудит: сравните текущие практики с чек‑листом выше‚ зафиксируйте расхождения.
3. Исправьте выявленные нарушения в течение 30 дней (это считается смягчающим фактором).
4. Подготовьте ответы на типовые запросы: «Как вы защищаете данные?»‚ «Каков порядок отзыва согласия?»‚ «Какие меры приняты при утечке?».
5. Назначьте ответственного за взаимодействие с Роскомнадзором (обычно – главный специалист по информационной безопасности).

Часто задаваемые вопросы (FAQ)

10.1 Нужно ли подавать уведомление‚ если я собираю только имя и email?

Да. Закон не делает различий по объёму данных – любой набор ПДн подлежит регистрации.

10.2 Что делать‚ если произошла утечка данных?

Сразу уведомить Роскомнадзор (в течение 72 часов)‚ проинформировать затронутых субъектов и принять меры по устранению уязвимости. За несвоевременное уведомление штраф может достигать 3 млн руб.

10.3 Можно ли использовать готовый шаблон политики конфиденциальности?

Шаблоны допустимы‚ но их необходимо адаптировать под конкретные цели и категории данных вашего бизнеса. Универсальный шаблон без указания целей может быть признан несоответствующим.

10.4 Как часто нужно обновлять запись в реестре?

При изменении целей обработки‚ категорий данных‚ способов защиты или переходе на новые сервисы – немедленно (не более 10 дней).

Ужесточение требований Роскомнадзора в 2025‑2026 годах делает профилактику более выгодной‚ чем реагирование на штрафы. Следуйте чек‑листу‚ фиксируйте каждый процесс‚ обучайте персонал и поддерживайте техническую защиту – и риск финансовых санкций будет минимален.

Помните: правильная организация обработки персональных данных – это не только юридическое требование‚ но и конкурентное преимущество. Клиенты ценят компании‚ которые бережно относятся к их личной информации.