В 2026 году Роскомнадзор активизировал контроль за соблюдением Федерального закона № 152‑ФЗ «О персональных данных». Новые требования, повышенные штрафы и плановые проверки ставят перед малым бизнесом задачу быстро адаптироваться к изменившемуся законодательству. В статье подробно разбираются:

• какие изменения внесены в 152‑ФЗ в 2026 году;
• какие категории риска определил Роскомнадзор;
• какой размер штрафов и оборотных санкций теперь возможен;
• как подготовиться к плановым и внеплановым проверкам;
• практический чек‑лист для ИП и ООО.

Основные изменения в 152‑ФЗ, вступившие в силу в 2026 году

Ниже перечислены ключевые нововведения, которые необходимо учесть владельцам малого бизнеса.

1. Ужесточение требований к согласию субъекта данных.
   Согласие теперь должно быть документировано в электронном виде и храниться минимум 5 лет. При обработке «чувствительных» данных (паспортные данные, биометрия, медицинская информация) требуется отдельное специальное согласие.
2. Обязательное уведомление Роскомнадзора о начале обработки.
   С года все организации, включая ИП, обязаны подавать Уведомление о начале обработки персональных данных (УНПД) в электронном виде через портал eis.rkn.gov.ru в течение 30 дней с момента начала обработки.
3. Новые правила обезличивания и псевдонимизации.
   При передаче данных третьим лицам (например, облачным сервисам) необходимо использовать технические средства обезличивания, подтверждённые независимым аудитом. Псевдонимизация считается достаточной лишь при наличии отдельного реестра сопоставления.
4. Требования к хранению и защите данных на сайте.
   На всех сайтах, собирающих персональные данные, должна быть размещена политика конфиденциальности, а также согласие на обработку cookie‑файлов в виде баннера, активируемого пользователем.
5. Внедрение ОРД (Объединённый реестр данных).
   С 2026 года все организации обязаны вести ОРД в электронном виде и регулярно (не реже одного раза в квартал) передавать в него сведения о категориях обрабатываемых данных.

План проверок Роскомнадзора на 2026 год

Роскомнадзор опубликовал план проверок на 2026 год, который включает как плановые, так и внеплановые визиты.

• Плановые проверки – назначаются на основании анализа рисков и статистики нарушений. Ожидается около 12 000 проверок в год, из них ≈ 30 % приходится на малый бизнес.
• Внеплановые проверки – проводятся без предварительного уведомления, если выявлены сигналы о возможных утечках или жалобы граждан.
• Профилактические визиты – обязательные для компаний, попавших в «красную» категорию риска. Отказ от визита карается штрафом до 5 млн руб.

Критерии формирования категорий риска

Штрафы и оборотные санкции в 2026 году

С 2026 года размер штрафов существенно вырос:

• За нарушение порядка получения согласия – от 500 000 до 5 млн руб.
• За отсутствие УНПД – от 1 млн до 10 млн руб.
• За нарушение правил обезличивания – от 2 млн до 15 млн руб.
• За утечку персональных данных (не менее 100 субъектов) – штраф до 18 млн руб. и оборотные санкции до 500 млн руб.

Кроме финансовых штрафов, Роскомнадзор может наложить:

1. Запрет на обработку персональных данных до устранения нарушений;
2. Обязание публично разместить информацию о нарушении;
3. Временное приостановление деятельности сайта/приложения.

Пошаговый план подготовки к проверке

Ниже представлен практический план, который поможет малому бизнесу пройти проверку без санкций.

1. Аудит текущих процессов
   • Составьте карту всех точек сбора персональных данных (сайт, CRM, телефон, соцсети).
   • Определите, какие категории данных вы обрабатываете (общие, чувствительные).
2. Проверка согласий
   • Убедитесь, что у каждого субъекта есть документальное согласие в электронном виде.
   • Для чувствительных данных – отдельные формы согласия с указанием цели и срока хранения.
3. Подготовка УНПД
   • Заполните форму Уведомления о начале обработки (включите перечень категорий данных, цели, сроки).
   • Отправьте уведомление в течение 30 дней с момента начала обработки.
4. Обезличивание и псевдонимизация
   • Внедрите технические средства (шифрование, токенизация) для всех внешних передач.
   • Закажите независимый аудит методов обезличивания (не реже одного раза в год).
5. Обновление политики конфиденциальности и cookie‑баннера
   • Разместите актуальную политику на каждой странице сайта.
   • Установите cookie‑баннер, позволяющий пользователю дать явное согласие.
6. Ведение ОРД
   • Создайте электронный реестр (можно использовать готовый сервис, например, DataReg).
   • Обновляйте реестр ежеквартально и экспортируйте в требуемый формат для Роскомнадзора.
7. Тренинг персонала
   • Проведите обучение сотрудников (служба поддержки, маркетинг, IT) по правилам обработки данных.
   • Разработайте инструкцию по реагированию на запросы субъектов данных.
8. Тестовый «пробный» аудит
   • Пригласите внешнего консультанта для имитации проверки.
   • Составьте список выявленных несоответствий и устраните их до реального визита.

Чек‑лист «Что проверить перед проверкой»

• Документы
  • Политика конфиденциальности (актуальная версия, дата последнего обновления).
  • Образцы согласий (общие и специальные).
  • Уведомление о начале обработки (копия отправленного заявления).
  • Реестр ОРД (последний квартальный отчёт).
• Технические меры
  • Шифрование баз данных (AES‑256 или выше).
  • Логирование доступа к персональным данным (журналы аудита).
  • Средства обезличивания при передаче данных третьим лицам.
• Процедурные меры
  • Регламент обработки запросов субъектов (право на доступ, исправление, удаление).
  • План реагирования на утечку (информирование Роскомнадзора в течение 72 часов).
  • Контактные данные ответственного за обработку персональных данных (DPO).

Часто задаваемые вопросы (FAQ)

Вопрос 1: Нужно ли подавать УНПД, если я собираю только имя и email?

Да. С 2026 года любая обработка персональных данных, включая простые контактные сведения, требует подачи уведомления в течение 30 дней.

Вопрос 2: Что делать, если в ходе проверки обнаружена небольшая утечка (менее 10 субъектов)?

Согласно новому пункту 4 статьи 13‑ФЗ, в случае утечки менее 10 субъектов штраф составляет от 200 000 до 1 млн руб.. Необходимо немедленно:

1. Уведомить Роскомнадзор (в течение 72 часов).
2. Зафиксировать причины утечки и принять меры по их устранению.
3. Сообщить пострадавшим субъектам о факте утечки.

Вопрос 3: Можно ли использовать сторонние облачные сервисы без дополнительного согласия?

Только если данные передаются в обезличенном виде. Для передачи «сырого» персонального набора данных требуется отдельное согласие на передачу третьим лицам и подтверждение технической защиты со стороны провайдера.

Вопрос 4: Какие документы необходимо предоставить инспектору на месте?

Список типовых документов:

• Политика конфиденциальности и согласия.
• Уведомление о начале обработки (копия).
• Реестр ОРД.
• Журналы доступа к базам данных за последние 12 месяцев.
• Отчёты о проведённых аудитах обезличивания.
• План реагирования на инциденты и протоколы последних инцидентов;

2026 год стал переломным моментом в регулировании персональных данных в России. Для малого бизнеса главное – проактивно внедрить новые требования, а не ждать проверку. Своевременное подписание согласий, подача УНПД, надёжное обезличивание и регулярный аудит позволяют избежать штрафов, которые в 2026 году могут достигать 15–18 млн рублей и даже оборотных санкций до 500 млн рублей. Следуя предложенному пошаговому плану и чек‑листу, вы сможете уверенно пройти как плановые, так и внеплановые проверки Роскомнадзора.

Помните: защита персональных данных – это не только юридическое требование, но и конкурентное преимущество, которое повышает доверие клиентов к вашему бизнесу.

Автор: Ваш помощник по юридическим вопросам | Дата публикации: