Закон «О персональных данных»: что нужно знать и как избежать штрафов

В статье разберём:

1. Что говорит закон о персональных данных
2. В каких случаях и как сообщать о себе в Роскомнадзор
3. Что обязан делать оператор персональных данных
4. Какие штрафы грозят за нарушения
5. Какие документы и меры защитят вас от санкций:
   
   — В чём разница между политикой конфиденциальности и политикой обработки;
   
   — Как правильно оформить согласие на обработку данных.
6. Чек-лист для проверки: всё ли вы учли?

С 30 мая 2025 года вступают в силу важные изменения в законе «О персональных данных». Они особенно касаются владельцев сайтов, интернет-магазинов, лендингов и всех, кто работает с пользовательскими данными. Обновления усиливают требования к безопасности и увеличивают размеры штрафов. Разбираемся, как подготовиться и обезопасить бизнес.

Что считается персональными данными?

Персональные данные — это любые сведения, прямо или косвенно относящиеся к конкретному человеку. Например:

• фамилия, имя, отчество;
• дата рождения;
• телефон, адрес, email.

Если на вашем сайте или через чат-бот вы собираете хотя бы одно из этих данных — вы становитесь оператором персональных данных и обязаны соблюдать требования закона.

• Обработка персональных данных — это любое действие с ними: от сбора и хранения до удаления, а также условия использования и передачи информации третьим лицам. Даже если вы просто записали номер клиента в блокнот или CRM — это уже считается обработкой.

Нужно ли уведомлять Роскомнадзор?

Да, и сделать это нужно до начала сбора данных. Иначе — нарушение.

Есть исключения: компании, начавшие обработку до изменений, при определённых условиях могут подать уведомление позже (см. ст. 22 №152-ФЗ).

Что нужно подготовить перед подачей уведомления:

• внутренние документы — положения, регламенты, приказы о назначении ответственных;
• меры защиты — пароли, разграничение доступа, антивирусы;
• саму форму уведомления.

Пути подачи:

• Отправить бумажную форму в региональное отделение Роскомнадзора;
• Загрузить электронную форму через через официальный сайт Роскомнадзора;
• Через «Госуслуги» от имени организации (с подтверждённой учётной записи).

В уведомлении указываются: цели обработки, перечень данных, способы защиты и хранения. После подачи вы получите подтверждение включения в реестр операторов в течение 30 дней.

Скриншот формы с сайта Роскомнадзора

Что обязан делать оператор персональных данных

Если вы работаете с заявками, обратной связью, подписками — вам необходимо:

• Получать однозначное согласие пользователя на обработку его данных — через чекбокс (галочка) или подпись под формой;
• Обеспечить безопасность хранения и передачи — например, через SSL и шифрование;
• Не передавать данные третьим лицам без дополнительного согласия пользователя.

Ответственность за нарушения

Штрафы могут быть внушительными:

• для физических лиц — от 10 000 до 75 000 рублей (статья 13.11 КоАП РФ);
• для компаний — до 1 миллиона рублей (ст. 13.11 КоАП РФ).

Невыполнение требований закона грозит также исками от пострадавших пользователей и потерей доверия клиентов.

Что нужно сделать, чтобы избежать штрафов

Политика конфиденциальности ≠ Политика обработки персональных данных

Хотя оба документа касаются информации о клиентах, их назначение разное:

• Политика конфиденциальности — общая информация о том, какие данные собирает компания и зачем (не только на сайте).
• Политика обработки персональных данных — детальное описание способов сбора, хранения и защиты персональных данных.

На сайте достаточно разместить Политику обработки и ссылку на неё в подвале сайта.

Пример нашего документа

Согласие на обработку данных

Для законной работы необходимо явное согласие пользователя. Его можно оформить фразой под формой:
«Нажимая на кнопку, вы соглашаетесь с обработкой персональных данных».

Но лучше — добавить чекбокс, особенно если данные планируется использовать в других целях. Например, для исследований или email-рассылок, не указанных в основной политике.

Если цели расширяются, требуется отдельное согласие и отдельный документ с чекбоксом без предварительно установленной галочки.

Справа от кнопки размещен текст про согласие с ссылкой на документ

Как надёжно защитить данные

• Получайте согласие и сохраняйте подтверждения (например, логи формы);
• Разграничивайте доступ к данным между сотрудниками;
• Используйте защиту: антивирусы, шифрование, межсетевые экраны;
• Проводите внутренние обучения по теме персональных данных;
• Проверяйте соответствие документации новым требованиям.

Чек-лист: проверьте себя

✅ Вы подали или уже есть в реестре Роскомнадзора

✅ На сайте размещена актуальная политика обработки персональных данных

✅ Во всех формах есть фраза про согласие + ссылка на документ

✅ Пользователь уведомлён о сборе cookies

✅ У вас есть документы, регламенты и ответственные лица

✅ Применяются технические и организационные меры защиты

Вывод:

Изменения с 30 мая 2025 года — это не повод для паники, а возможность навести порядок. Чёткая структура, открытость и защита данных — не только требования закона, но и важный фактор доверия к вашему бизнесу.

4o