Если ваша компания нанимает сотрудников, работает с клиентами или просто имеет сайт с формой обратной связи — вы являетесь оператором персональных данных по смыслу Федерального закона №152-ФЗ «О персональных данных».
Закон об обработке персональных данных налагает на бизнес обязательные требования по работе с персональными данными. Их несоблюдение влечёт серьёзные санкции.
В 2025 году в России произошли масштабные изменения законодательства в сфере защиты персональных данных:
- штрафы за нарушение 152-ФЗ выросли в десятки раз;
- появились новые обязанности операторов;
- Роскомнадзор начал системные проверки операторов персональных данных, включая малый бизнес.
Поэтому в 2026 году работа с персональными данными — это уже не формальность, а обязательная часть юридической безопасности бизнеса.
Какие требования устанавливает 152-ФЗ для бизнеса
Согласно Федеральному закону №152-ФЗ, оператор персональных данных обязан соблюдать ряд требований при обработке персональных данных.
Рассмотрим основные.
1. Регистрация в Роскомнадзоре как оператора персональных данных
Первое и базовое требование закона — уведомить Роскомнадзор о начале обработки персональных данных.
Уведомление необходимо подать до начала обработки данных, то есть ещё до того, как:
- будет получена первая анкета клиента;
- оформлен первый сотрудник;
- собрана первая заявка с сайта.
Важно понимать: подача уведомления — это финальный этап, а не первый.
До этого необходимо:
- сформировать внутреннюю документацию;
- назначить ответственного сотрудника;
- выстроить систему защиты данных.
Освобождение от уведомления действует только в трёх случаях:
- данные обрабатываются исключительно вручную (без использования компьютеров);
- обработка ведётся в целях государственной безопасности;
- обработка связана с транспортной безопасностью.
Для обычного коммерческого бизнеса такие исключения фактически не применяются.
Штрафы
С 30 мая 2025 года штрафы за неподачу уведомления составляют:
- для организаций — от 100 000 до 300 000 рублей;
- для руководителя — от 50 000 до 100 000 рублей.
2. Наличие внутренней документации по персональным данным
Правильно оформленные документы — один из ключевых критериев проверки Роскомнадзора.
В 2026 году оцениваются не отдельные документы, а вся система обработки персональных данных.
Минимальный пакет включает:
- политику обработки персональных данных;
- положение об обработке персональных данных (для юридических лиц);
- приказ о назначении ответственного за обработку данных;
- перечень информационных систем и баз данных;
- согласия на обработку персональных данных;
- регламент действий при утечке данных;
- договоры с третьими лицами, которым передаются персональные данные.
Важное изменение
В 2026 году документы перестали быть «формальным пакетом для проверки».
Роскомнадзор оценивает:
соответствуют ли документы реальным бизнес-процессам компании.
Если политика обработки данных скачана из интернета и не отражает фактическую работу бизнеса — это считается нарушением.
3. Получение согласия на обработку персональных данных
С 1 сентября 2025 года согласие на обработку персональных данных должно оформляться отдельным документом.
Включать его в:
- трудовой договор,
- пользовательское соглашение,
- анкету,
- любой другой документ
— запрещено.
При этом согласия, полученные ранее другим способом, переоформлять не требуется.
Согласие должно содержать
- ФИО и адрес субъекта персональных данных;
- наименование и адрес оператора;
- цель обработки данных;
- перечень обрабатываемых персональных данных;
- срок действия согласия;
- способ его отзыва.
Согласие может быть:
- бумажным (с личной подписью);
- электронным (подписанным квалифицированной электронной подписью).
Отдельный момент — аналитика сайта
Если сайт собирает:
- клики,
- время просмотра страниц,
- маршруты пользователей,
это также считается обработкой персональных данных и требует отдельного согласия пользователя.
4. Хранение данных только на территории России
С 1 июля 2025 года действует требование о локализации баз данных.
Согласно части 5 статьи 18 закона 152-ФЗ, первичный сбор, запись и хранение персональных данных граждан России должны осуществляться на серверах, расположенных в РФ.
На практике это означает необходимость:
- провести аудит используемых сервисов;
- отказаться от запрещённых иностранных инструментов;
- использовать российские или сертифицированные облачные сервисы.
Игнорирование требования может привести к:
- штрафам;
- предписаниям Роскомнадзора.
5. Защита персональных данных
Закон №152-ФЗ обязывает операторов принимать организационные и технические меры защиты данных.
Безопасность должна обеспечиваться на всех этапах обработки.
К таким мерам относятся:
- разграничение доступа сотрудников;
- использование систем защиты информации;
- шифрование данных;
- резервное копирование;
- контроль доступа к информационным системам.
В 2026 году особое внимание уделяется готовности компании реагировать на утечки персональных данных.
Практический чек-лист для бизнеса
Чтобы привести работу с персональными данными в соответствие с требованиями закона, необходимо выполнить минимум следующих действий:
- провести аудит персональных данных в компании;
- зарегистрироваться в реестре операторов Роскомнадзора;
- разработать внутреннюю документацию по персональным данным;
- оформить согласия на обработку в виде отдельных документов;
- проверить сайт и корректность сбора согласий на cookies;
- убедиться в локализации данных на российских серверах;
- назначить ответственного за обработку персональных данных;
- разработать план реагирования на утечки данных;
- вести журнал обращений субъектов персональных данных;
- проверить договоры с подрядчиками, которым передаются данные.
Итог
В 2026 году требования законодательства о персональных данных стали значительно строже.
Теперь закон требует от бизнеса:
- не просто наличия документов,
- а реальной системы управления персональными данными.
Соответствие требованиям 152-ФЗ — это не разовая задача, а постоянный процесс.
Если аудит соответствия требованиям закона ещё не проводился, начать стоит именно с него. Стоимость превентивной юридической работы несопоставимо меньше возможных штрафов и репутационных потерь.
ООО «Юридическая компания «ЮЭСКОМ» готово оказать такие услуги качественно и своевременно, чтобы помочь бизнесу избежать нарушений законодательства.
Автор: Владимир Царев
Сайт: https://uscom66.com/
ТГ-канал: https://t.me/uscom66
Тел.: +7 (343) 346-87-67
E-mail: mail@uscom66.com
#юэском #РКН #152ФЗ #уведомлениеркн #юридическаяпомощь