Законодательство о персональных данных в России ужесточается с каждым годом. Проверки становятся глубже, а штрафы — ощутимее. В 2024–2026 годах усилилось внимание к фактическому соблюдению требований, трансграничной передаче данных, защите информационных систем и реальным процедурам внутри компаний.
В этой экспертной статье разберём максимально подробно:
- последние изменения законодательства по персональным данным;
- что сейчас проверяют инспекторы;
- полный пакет документов по 152-ФЗ;
- риски для бизнеса в 2026 году;
- судебную и контрольную практику;
- чек-лист подготовки к проверке;
- ответы на популярные вопросы (FAQ 20 вопросов);
- как выстроить систему соответствия требованиям.
Ориентируемся на практику надзорного органа — Роскомнадзор.
Последние изменения 152-ФЗ: что важно учитывать бизнесу
1️. Усиление требований к трансграничной передаче данных
Организации обязаны:
- уведомлять о трансграничной передаче;
- оценивать уровень защиты в принимающей стране;
- фиксировать правовые основания;
- обеспечивать локализацию баз данных.
Особое внимание — облачным сервисам и зарубежным CRM.
2️. Повышенные требования к уведомлению об обработке
Надзор усилил контроль за корректностью уведомлений:
- проверяются цели обработки;
- категории данных;
- меры защиты;
- перечень информационных систем.
Ошибки в уведомлении — частое основание для предписаний.
3️. Акцент на фактическом соблюдении процедур
Теперь недостаточно просто «иметь документы». Проверяющие анализируют:
- реальные процессы;
- логи доступа;
- разграничение прав;
- журналы действий;
- обучение сотрудников.
4️. Ужесточение ответственности за утечки данных
Утечки всё чаще рассматриваются как серьёзное нарушение с крупными штрафами и обязательствами по уведомлению.
Что проверяют при проверке Роскомнадзора: практика 2025–2026
На основе практики проверок инспекторы обычно запрашивают:
- локальные нормативные акты;
- приказы;
- реестр обработки;
- согласия субъектов;
- договоры с подрядчиками;
- модель угроз;
- документы по ИБ;
- журналы обращений;
- подтверждение обучения;
- уведомление в реестре операторов;
- доказательства локализации.
Также проверяются сайты — формы заявок, cookies, политика конфиденциальности.
Полный пакет документов по персональным данным
Организационные документы
- политика обработки персональных данных;
- положение о защите ПДн;
- приказ о назначении ответственного;
- перечень процессов обработки;
- регламент доступа;
- порядок хранения и уничтожения;
- инструкция по реагированию на инциденты;
- положение о внутреннем контроле.
Документы по безопасности
- модель угроз;
- описание мер защиты;
- регламент управления доступом;
- журнал учета.
Документы для сайта
- политика конфиденциальности;
- согласия на обработку;
- cookie-политика;
- пользовательское соглашение.
Договорные документы
- соглашения о поручении обработки;
- соглашение о неразглашении;
- положения о передаче третьим лицам.
Типовые нарушения, выявляемые при проверках
- отсутствие уведомления;
- неполный пакет документов;
- формальные политики;
- отсутствие модели угроз;
- нет согласий;
- некорректные формы на сайте;
- не назначен ответственный;
- отсутствие учета обращений;
- незаконная передача данных;
- хранение без сроков.
Практика ответственности: реальные риски
Юридическая практика показывает:
- проверки часто инициируются жалобами клиентов;
- инспекторы проводят документарные и выездные проверки;
- выявляются системные нарушения;
- назначаются штрафы и предписания;
- возможны повторные проверки.
Чек-лист подготовки к проверке Роскомнадзора
Используйте этот список как внутренний аудит.
✅ Уведомление подано и актуально
✅ Назначен ответственный за ПДн
✅ Есть политика обработки
✅ Есть положение о защите
✅ Описаны цели обработки
✅ Определены категории данных
✅ Ведется реестр обработки
✅ Есть модель угроз
✅ Настроено разграничение доступа
✅ Оформлены согласия
✅ Есть документы для сайта
✅ Заключены договоры с обработчиками
✅ Определены сроки хранения
✅ Есть порядок уничтожения
✅ Ведется журнал обращений
✅ Сотрудники обучены
✅ Есть процедура реагирования на утечки
✅ Данные локализованы
✅ Проведен внутренний аудит
✅ Документы актуализируются
Ответы на самые популярные вопросы
1. Обязан ли ИП соблюдать 152-ФЗ?
Да, если обрабатываются персональные данные.
2. Нужно ли уведомлять Роскомнадзор?
В большинстве случаев — да.
3. Какие данные считаются персональными?
Любая информация о человеке.
4. Нужна ли политика на сайте?
Обязательно при сборе данных.
5. Нужно ли согласие на cookies?
Да, если используется аналитика.
6. Обязателен ли приказ о назначении ответственного?
Да.
7. Нужна ли модель угроз?
Практически всегда.
8. Что делать при утечке?
Фиксировать и реагировать по процедуре.
9. Нужно ли обучать сотрудников?
Да, это проверяется.
10. Можно ли скачать шаблоны?
Рискованно.
11. Проверяют ли сайты?
Да.
12. Какие штрафы возможны?
От предупреждений до крупных санкций.
13. Нужно ли вести журнал обращений?
Да.
14. Требуется ли локализация данных?
Да для российских граждан.
15. Нужен ли аудит?
Рекомендуется.
16. Проверяют ли CRM?
Да.
17. Нужно ли согласие сотрудников?
Да.
18. Что чаще всего нарушают?
Отсутствие документов.
19. Проверяют ли малый бизнес?
Да.
20. Как снизить риски?
Внедрить систему и документы.
Когда стоит заказать разработку пакета документов
Это особенно важно, если:
- есть сайт или онлайн-сервис;
- компания растёт;
- используются CRM или облачные сервисы;
- готовитесь к проверке;
- работаете с базами клиентов;
- участвуете в тендерах;
- обрабатываете данные сотрудников.
Заказать пакет документов по персональным данным
Профессиональная разработка позволяет пройти проверку уверенно и снизить юридические риски.
На сайте Экспертного центра МЕДИАТОР можно заказать:
- полный пакет документов по 152-ФЗ;
- аудит обработки;
- документы для сайта;
- настройку процессов;
- подготовку к проверке;
- сопровождение.
👉 Подробнее — https://mediator-pravo.ru/
Вывод юриста
В 2026 году соответствие требованиям закона о персональных данных — это уже не формальность, а обязательный элемент управления рисками. Надзор ориентируется на реальное соблюдение процедур, поэтому компаниям важно не просто иметь документы, а внедрить систему защиты данных.
Грамотно разработанный пакет документов — ключ к снижению штрафов, успешному прохождению проверок и защите репутации.