С 2025 года тема соблюдения законодательства о персональных данных (ФЗ-152) перестала быть заботой исключительно крупных корпораций․ Роскомнадзор (РКН) системно сместил фокус контроля на малый и средний бизнес (МСБ): кофейни, пункты выдачи заказов (ПВЗ), салоны красоты, автосервисы, стоматологии и интернет-магазины․ Дата 30 мая 2025 года стала переломным моментом — вступили в силу существенно повышенные штрафы, а практика проверок показала, что инспекторы смотрят не только на внутренние приказы, но и на реальные процессы передачи данных подрядчикам․

Кто попадает под определение «оператор» и обязан соблюдать 152-ФЗ?

Согласно ст․ 3 ФЗ-152, оператором является любое лицо (юридическое, ИП или физлицо в рамках профессиональной деятельности), которое организует и/или осуществляет обработку персональных данных (ПДн), а также определяет цели обработки․

• Нанимаете сотрудников? Вы обрабатываете ПДн кадров (ФИО, паспорт, СНИЛС, медкнижки)․
• Собираете базы клиентов? Телефоны, email, адреса доставки, история покупок, это ПДн․
• Имеете сайт с формами обратной связи, корзиной или личным кабинетом? Вы автоматизировано обрабатываете данные посетителей․
• Работаете с подрядчиками? Передача данных в колл-центры, логистику, маркетинговые агентства, бухгалтерию-аутсорс — это передача третьим лицам, требующая правовых оснований․

Мораторий на проверки: главное заблуждение малого бизнеса

Многие предприниматели ссылаются на мораторий на плановые проверки МСБ до 2030 года․ Важно понимать:

• Мораторий распространяется только на плановые выездные проверки, включенные в ежегодный план контрольных мероприятий;
• Внеплановые проверки (по жалобам субъектов ПДн, сообщениям СМИ, результатам дистанционного мониторинга, поручениям вышестоящих органов) мораторий не запрещает․
• Дистанционные проверки (OSINT/ИИ): РКН массово сканирует сайты на наличие политики конфиденциальности, форм согласия, фото сотрудников без запрета на использование․ Это не считается «плановой выездной проверкой» и позволяет выявить нарушения за часы․

На чем фокусируется Роскомнадзор в 2025–2026 гг․ (Чек-лист инспектора)

Уведомление и Реестр операторов (База оснований)

До начала обработки оператор обязан уведомить РКН (ст․ 22 ФЗ-152)․ Уведомление подается один раз за весь период деятельности (при изменении сведений — в течение 30 дней)․

• РКН вносит запись в Реестр операторов в течение 30 дней․
• Критический момент: Инспекторы сверяют данные уведомления с реальностью на сайте․ Достаточно 3-х расхождений между целью/перечнем данных в уведомлении и тем, что написано в Политике конфиденциальности на сайте, чтобы считать это нарушением․
• Проверить статус можно онлайн на портале РКН по ИНН/ОГРН․

Сайт и публичные формы сбора данных (Цель дистанционного мониторинга)

Это «лицо» компании для автоматических ботов РКН․ Проверяется в первую очередь:

1. Политика обработки ПДн: Доступна по ссылке в футере/шапке, содержит все обязательные реквизиты (ст․ 18․1 ФЗ-152): цели, категории данных, правовые основания, сроки, меры защиты, права субъектов, данные о ДПО (если есть)․
2. Согласия на обработку: На каждой форме сбора (обратная связь, заказ звонка, регистрация, оформление заказа) — чек-бокс (непредустановленный!) со ссылкой на Политику․ Текст согласия должен соответствовать целям в уведомлении․
3. Данные сотрудников: Страницы «О нас», «Наша команда», «Вакансии» с фото и именами․ Если нет явного согласия сотрудника на публикацию и запрета посторонним на использование — это нарушение․
4. Cookie-политика и баннер: Обязательно для аналитики (Яндекс․Метрика, GA), рекламы, виджетов чатов․

Передача данных подрядчикам (Новый приоритет 2025 года)

РКН требует доказать законность передачи данных третьим лицам (логистика СДЭК/Почта России/Яндекс․Доставка, колл-центры, CRM-системы, таргетологи, бухгалтерия)․

• Должен быть договор (или приложение) с условиями защиты ПДн (ст․ 28 ФЗ-152): запрет на дальнейшую передачу без согласия, обязанность обеспечить защиту, сроки уничтожения после целей․
• В Политике конфиденциальности должен быть перечень категорий получателей (или конкретные наименования)․
• Передача данных в CRM/почту/хостинг — тоже передача третьим лицам․ Нужен ДПА (Data Processing Agreement) или пункт в договоре․

Внутренняя документация и локализация

• Приказ об назначении ответственного за защиту ПДн (ДПО)․
• Модель угроз / Анализ рисков (обоснование выбранных мер защиты)․
• Перечень мер защиты (организационных и технических) — соответствует уровню угроз?
• Журналы учета: носителей ПДн, доступа, инцидентов, обучения сотрудников․
• Локализация баз данных (ст․ 18 ФЗ-152): Системы, хранящие ПДн граждан РФ, должны находиться на территории РФ (серверы, облака)․ Использование зарубежных хостингов/CRM без зеркала в РФ — грубое нарушение․

Штрафы с 30 мая 2025 года: Цена ошибки

Изменения в КоАП РФ (ст․ 13․11, 19․7 и др․) резко подняли ставки․ Повторные нарушения влекут оборотную ответственность․

Пошаговый план подготовки к проверке (Action Plan)

Шаг 1; Инвентаризация процессов (Data Mapping)

Составьте реестр процессов обработки: Какие данные → Откуда → Куда → Зачем → На каком основании → Кому передаем → Где храним → Сроки хранения․

Шаг 2․ Подача/Актуализация уведомления в РКН

Через личный кабинет на pd․rkn․gov․ru или сервисы-помощники (Контур, Эльба, 1С)․ Сохраните номер и ключ уведомления․ Проверьте статус в Реестре через 30 дней․

Шаг 3․ Приведение сайта в соответствие (Аудит «глазами бота»)

• Политика конфиденциальности = Уведомлению (цели, категории данных, получатели)․
• Чек-боксы согласия на всех формах (непредустановленные)․
• Согласия сотрудников на фото/видео на сайте/соцсетях․
• Cookie-баннер с настройками (необходимые / аналитика / маркетинг);

Шаг 4․ Документооборот с подрядчиками

• Соберите все договоры с получателями ПДн․
• Дополните их пунктами ст․ 28 ФЗ-152 (ДПА)․
• Запросите у критических подрядчиков (облака, CRM, логистика) подтверждение локализации данных в РФ․

Шаг 5․ Внутренний заказ и обучение

• Приказ о назначении ДПО (можно на себя, если ИП/Гендиректор)․
• Утвердите: Политику безопасности, Модель угроз, Перечень мер защиты, Инструкции для сотрудников․
• Проведите обучение персонала (под роспись в журнале) — как работать с ПДн, как реагировать на запросы субъектов, что делать при инциденте․

Шаг 6․ Технические меры защиты

• Доступы по принципу «минимум необходимого» (RBAC)․
• Шифрование дисков/БД, VPN для удаленки, защита от утечки (DLP — по результатам модели угроз)․
• Резервное копирование и план восстановления․
• Антивирус, обновления ОС, учет носителей․

Полезные сервисы для самостоятельной проверки

• Реестр операторов РКН (pd․rkn․gov․ru): Проверка своего ИНН/ОГРН — есть ли запись, актуальны ли данные․
• Сервисы подготовки документов (Контур․Персональные данные, Эльба, 1С-Защита ПДн): Помогут сгенерировать уведомление, политику, приказы, журналы, модель угроз «под ключ»․
• Выездная идентификация (Т-Банк и др․): Для бизнеса, которому нужно идентифицировать клиентов удаленно (ФЗ-115/152-ФЗ), упрощает сбор согласий и проверку документов․

В 2026 году стратегия «сделаем за неделю до проверки» не работает․ Дистанционный мониторинг ИИ РКН работает 24/7․ Главные риски малого бизнеса сегодня — это расхождения между уведомлением и сайтом, отсутствие договоров с подрядчиками (ДПА) и игнорирование локализации баз․

Системная работа: разовый аудит → приведение документов и сайта в порядок → внедрение рутин (журналы, обучение, контроль подрядчиков) → ежеквартальная самопроверка․ Это стоит дешевле любого штрафа и сохраняет репутацию бизнеса․

Статья подготовлена на основе актуальной практики Роскомнадзора, изменений КоАП РФ от и открытых источников на ․ Не является правовой консультацией․ Для решения конкретных вопросов обратитесь к юристу по защите ПДн․