Работа с персональными данными (ПДн) клиентов, это не просто формальность, а обязательное требование законодательства, невыполнение которого грозит серьезными штрафами и репутационными рисками. На основе актуальной практики Роскомнадзора, судебной практики и изменений в Федеральном законе от № 152-ФЗ «О персональных данных» (далее — 152-ФЗ), актуальных на 02 августа 2026 года, мы подготовили подробные ответы на самые частые вопросы предпринимателей, юристов, ИП и самозанятых.

Базовые понятия: Кто вы в глазах закона?

Оператор персональных данных

Согласно п. 2 ст. 3 152-ФЗ, оператором является государственный орган, муниципальный орган, юридическое или физическое лицо, которые:

• организуют и (или) осуществляют обработку персональных данных;
• определяют цели обработки персональных данных;
• определяют состав обрабатываемых персональных данных;
• определяют действия (операции), совершаемые с персональными данными.

Субъект персональных данных

Это физическое лицо, чьи персональные данные обрабатываются (ваш клиент, покупатель, пациент, сотрудник).

Основание для обработки: Согласие или Договор?

Это один из самых популярных мифов. Многие считают, что всегда нужно бумажное согласие. Статья 6 152-ФЗ перечисляет случаи, когда согласие НЕ требуется.

Когда согласие НЕ нужно (Исключения ст. 6):

1. Исполнение договора (п. 2 ч. 1 ст. 6): Обработка необходима для исполнения договора, стороной которого является субъект ПДн. Важный нюанс: обработка должна ограничиваться только исполнением этого договора (рассылка рекламы, передача партнерам для маркетинга — уже выходит за рамки и требует отдельного согласия).
2. Законодательство (п. 1 ч. 1 ст. 6): Обработка необходима для достижения целей, предусмотренных законом (например, передача данных в налоговую, фонды, суды).
3. Жизненно важные интересы (п. 4 ч. 1 ст. 6): Охрана жизни, здоровья и иных жизненно важных интересов субъекта (медицина скорой помощи).
4. Публично сделанные данные (п. 3 ч. 1 ст. 6): Субъект сам сделал их общедоступными (например, открытый профиль в LinkedIn для нетворкинга).

Когда согласие ОБЯЗАТЕЛЬНО:

• Рассылка маркетинговых писем (SMS, email, пуш-уведомления) — ФЗ «О рекламе» + 152-ФЗ требуют явного согласия.
• Передача данных третьим лицам (подрядчикам, маркетплейсам, колл-центрам), если это не прописано в договоре с клиентом как необходимое условие исполнения.
• Обработка специальных категорий данных (здоровье, раса, политические взгляды, биометрия) — требуется письменное согласие (ч. 1 ст. 10 152-ФЗ).

Работа с подрядчиками (Аутсорсинг обработки)

Частая схема: вы (Оператор) нанимаете колл-центр, CRM-систему, курьерскую службу или бухгалтерию (Подрядчик/Уполномоченное лицо).

Правила передачи данных подрядчику (ст. 8 152-ФЗ):

• Передача допускается только на основании договора (или поручения).
• В договоре обязательно должны быть зафиксированы:
  • Цели обработки;
  • Перечень действий с данными (сбор, запись, хранение, передача, удаление и т.д.);
  • Обязательство подрядчика соблюдать конфиденциальность;
  • Обязательство подрядчика принимать меры безопасности (технические и организационные);
  • Сроки обработки и условия уничтожения данных после завершения работ.

Чек-лист соблюдения 152-ФЗ: 4 шага к безопасности

Для малого и среднего бизнеса достаточно следовать базовому плану (актуально на 2025–2026 гг.):

Шаг 1. Инвентаризация: «Узнайте свои данные»

Составьте реестр процессов обработки. Ответьте на вопросы:

• Какие именно данные вы собираете (ФИО, телефон, паспорт, ИНН, биометрия, IP-адреса, cookies)?
• Откуда они приходят (сайт, звонок, бумажная анкета, маркетплейс)?
• Куда они уходят (CRM, 1С, почта, курьер, облако, подрядчик)?
• Какое основание для каждой операции (договор, согласие, закон)?

Шаг 2. Документация: «Подготовьте документы»

Обязательный пакет локальных актов (внутренних документов компании):

1. Политика конфиденциальности (для сайта/приложения), публичный документ.
2. Политика обработки ПДн (внутренняя) — описывает организацию процессов.
3. Приказ о назначении ответственного за обработку ПДн (можно назначить себя, если ИП/Гендиректор).
4. Модель согласия (если требуется) — на бумаге или электронном виде (чек-бокс на сайте с ссылкой на политику).
5. Журналы учета: обращений субъектов, инцидентов (утечек), передач третьим лицам.
6. Акт категорирования объектов информатизации (ОИ) — определение уровня угроз (УБИ 1, 2, 3 или 4) для подбора мер защиты.

Шаг 3. Технические и организационные меры (ТОМ)

Меры должны соответствовать уровню угроз (обычно 3 или 4 уровень для малого бизнеса):

• Организационные: режим доступа к помещениям, инструкции для сотрудников, НДА (соглашения о неразглашении) с кадрами, учет носителей (флешки, диски, бумага).
• Технические: антивирус (актуальные базы, например, Microsoft Defender с облачной защитой), пароли (сложные, сменяемые), шифрование дисков (BitLocker, FileVault), бэкапы, ограничение прав доступа в CRM/1С (ролевая модель), защита каналов связи (VPN, HTTPS/TLS на сайте).

Шаг 4. Работа с правами субъектов (Ст. 14, 15, 18, 21 152-ФЗ)

Клиент имеет право потребовать:

• Подтверждения факта обработки.
• Уточнения неполных/неверных данных.
• Блокирования или удаления данных (если обработка незаконна или цель достигнута).
• Отзыва согласия (если обработка шла на основании согласия).

Срок реакции: 10 дней (ч. 2 ст. 14 152-ФЗ) на запрос о предоставлении информации, 3 рабочих дня — на уточнение/блокирование/удаление (ч. 1 ст. 21 152-ФЗ). Игнорирование запроса, верный путь к штрафу.

Локализация данных (Ст. 18 152-ФЗ)

При сборе ПДн граждан РФ (в т.ч. через сайт, приложение) обязательно обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение на базах данных, находящихся на территории РФ.

• Используйте хостинг/облака с дата-центрами в РФ (Selectel, Timeweb, Яндекс.Облако, VK Cloud, СБЕРОблако и др.).
• Если используете зарубежные SaaS-сервисы (Bitrix24 в облаке за рубежом, HubSpot, Salesforce, Google Forms/Sheets для сбора лидов) — это риск нарушения ст. 18. Решение: перенос на on-premise (коробку) на сервере в РФ или переход на российские аналоги.

Уведомление Роскомнадзора

С 2022 года общая обязанность уведомлять Роскомнадзор о начале обработки отменена для большинства операторов.

Исключения (когда уведомление все еще нужно):

• Обработка биометрических данных.
• Обработка ПДн без согласия субъекта на основании закона (п. 1 ч. 1 ст. 6) — для госорганов и спец. операторов.
• Трансграничная передача данных.

Для обычного бизнеса (ИП, ООО, самозанятые), обрабатывающих данные клиентов по договору или согласию — уведомление не подается. Но документы (п. 4) должны быть готовы к проверке.

Ответственность и штрафы (Актуальные суммы на 2026 год)

Нарушения фиксируются Роскомнадзором (плановые/внеплановые проверки, обращения граждан).

Важно: За одну утечку можно получить несколько протоколов (по ч. 1, ч. 4, ч. 6). Суммы складываются. Плюс возможны иски о компенсации морального вреда от клиентов (суды взыскивают от 1 000 до 50 000+ руб. с человека).

Специфика для Юристов, ИП и Самозанятых

Юристы / Адвокаты

• Обработка данных клиентов основана на договоре возмездного оказания услуг (п. 2 ч. 1 ст. 6).
• Данные часто относятся к специальным категориям (здоровье — ст. 10, судимости — ст. 11, адвокатская тайна, ФЗ «Об адвокатуре»).
• Требуется письменное согласие на обработку спец. категорий (можно включить в договор).
• Меры защиты должны быть максимальными (шифрование, изолированное хранение, запрет на облака без шифрования на стороне клиента).

ИП и Самозанятые

• Вы — операторы на равных с юрлицами.
• Если работаете только по договору/чеку — согласие не нужно (п. 2 ч. 1 ст. 6).
• Если ведете рассылки в WhatsApp/Telegram/Email — нужно согласие (лучше через чек-бокс на сайте или кнопку в боте с логированием).
• Политику конфиденциальности разместите в профиле соцсетей/на сайте/в боте.
• Учет носителей: телефон, ноутбук, бумажный блокнот, это объекты информатизации. Пароль на телефон/ноутбук — обязательно. Блокнот — в запертом ящике.

Типовые ошибки (Топ-5), за которые штрафуют

1. Сбор «лишних» данных. Просите только то, что нужно для договора/услуги (не просите паспорт для доставки пиццы, не просите СНИЛС для рассылки). Принцип минимальности (ст. 5 152-ФЗ).
2. Отсутствие политики конфиденциальности на сайте/лендинге. Первое, что проверяет инспектор.
3. Передача данных в CRM/рассылки без договора с подрядчиком (ДПА / DPA). Подписание оферты сервиса — это не всегда достаточно, нужны гарантии безопасности в договоре.
4. Хранение «навсегда». Данные должны быть уничтожены/обезличены по достижении цели (ст. 21 152-ФЗ). Заведите регламент сроков хранения.
5. Игнорирование запросов клиентов; «Удалите мои данные» — реакция за 3 дня. «Что у вас есть обо мне?» — реакция за 10 дней. Молчание = штраф.

Практический алгоритм действий «Здесь и сейчас»

Если вы только начинаете или поняли, что у вас хаос:

1. Проведите аудит: Нарисуйте схему движения данных (Excel/Visio/Miro).
2. Напишите/Обновите Политику конфиденциальности (публичную) и Внутреннюю политику.
3. Выпустите Приказ о назначении ответственного (на себя).
4. Закройте базовые ТОМ: Пароли на все устройства, 2FA везде, где есть (админки, почта, CRM, Госуслуги), антивирус, HTTPS на сайте, бэкапы.
5. Проверьте договоры с подрядчиками (хостинг, CRM, колл-центр, бухгалтерия) — есть ли пункты по 152-ФЗ? Нет, подпишите доп. соглашения.
6. Настройте процессы работы с запросами: Выделите email/форму для обращений субъектов, заведите журнал (Excel/Google Таблицы/CRM).
7. Обучите сотрудников (хотя бы устно/по чек-листу): не кидать базы в WhatsApp, не оставлять экраны открытыми, не терять флешки.

Защита персональных данных — это не разовая акция «под проверку», а непрерывный бизнес-процесс. Закон (152-ФЗ) и практика Роскомнадзора эволюционируют в сторону ужесточения контроля (штрафы за локализацию до 6 млн руб., ответственность за подрядчиков, обязательная уведомляемость об утечках).

Внедрение культуры приватности (Privacy by Design) сегодня дешевле, чем оплата штрафов, компенсаций по судам и восстановление репутации завтра. Начните с инвентаризации и базовых документов — это покроет 80% рисков.

Данная статья носит информационный характер и не является правовым консультированием в конкретной ситуации. Для аудита вашей компании и подготовки пакета документов рекомендуется обратиться к профильному юристу по защите персональных данных. Актуальность нормативной базы: .