Protección de datos personales: qué exige la Ley 152-FZ a las pequeñas empresas

La Ley federal de 27 de julio de 2006 nº 152-FZ “Sobre datos personales” establece las normas por las que las empresas y los empresarios individuales recogen, almacenan y utilizan información sobre las personas. En los últimos dos años los requisitos de la ley se han endurecido notablemente y las multas han aumentado mucho, por lo que merece la pena entenderlos incluso para los negocios más pequeños.

Qué regula la ley

La ley regula el tratamiento de datos personales: cualquier acción con ellos: recopilación, registro, almacenamiento, aclaración, uso, transferencia, eliminación. Su objetivo es la protección de los derechos de la persona al tratar la información sobre ella, incluidos el derecho a la inviolabilidad de la vida privada y el secreto personal y familiar.

Si recoge, almacena o utiliza información sobre personas —apellido, nombre, teléfono, correo electrónico, dirección, fecha de nacimiento— está obligado a cumplir esta ley.

Quién se considera operador

Operador es quien organiza el tratamiento de datos personales y determina para qué y cómo se realiza. Usted es operador si:

• en su sitio web hay un formulario donde los visitantes dejan nombre, teléfono o correo;
• recopila contactos de clientes para envíos o llamadas;
• tiene empleados y lleva registros de personal;
• mantiene una base de datos de clientes o proveedores personas físicas, incluida en un sistema CRM.

El tamaño del negocio no importa: un empresario individual sin empleados que acepta solicitudes a través del sitio también es operador.

Qué se considera datos personales

Datos personales es cualquier información que directa o indirectamente se refiere a una persona determinada o determinable. Por ejemplo:

• apellido, nombre, patronímico;
• fecha y lugar de nacimiento;
• dirección de residencia;
• número de teléfono y dirección de correo electrónico;
• datos del pasaporte, INN, SNILS;
• lugar de trabajo y puesto;
• dirección IP e identificadores de cookies —si en combinación con otros datos permiten establecer de quién se trata.

Requisitos principales

• Legalidad. El tratamiento debe tener una base jurídica: el consentimiento de la persona, un contrato con ella, un requisito legal.
• Consentimiento. Si la base es el consentimiento, debe ser concreto, específico, informado, consciente y unívoco. A partir del 1 de septiembre de 2025 el consentimiento se formaliza por separado de cualquier otro documento: no puede incluirse en un contrato, en las condiciones de uso o en la política de tratamiento de datos. No es necesario volver a formalizar los consentimientos obtenidos antes de esa fecha.
• Finalidad determinada. Los datos se recogen para una finalidad previamente determinada. No se pueden recopilar por si acaso.
• Volumen mínimo. Solo se recogen los datos necesarios para esa finalidad. Para envíos no se necesitan datos del pasaporte.
• Exactitud. Los datos deben ser exactos y, si es necesario, actualizarse.
• Plazo de conservación limitado. Los datos se conservan no más tiempo del requerido por la finalidad del tratamiento y luego se destruyen o se anonimiza.
• Protección. El operador debe adoptar medidas legales, organizativas y técnicas contra el acceso no autorizado a los datos, su destrucción, modificación, bloqueo, copia y difusión. Entre otras cosas, nombrar al responsable de la organización del tratamiento, aprobar la política de tratamiento de datos personales y publicarla en el sitio web, limitar el acceso de los empleados a los datos, transferir los datos por canales protegidos.
• Localización. La recopilación, registro, sistematización, acumulación, almacenamiento, aclaración y extracción de datos personales de ciudadanos de Rusia se realiza utilizando bases de datos ubicadas en Rusia. A partir del 1 de julio de 2025 queda expresamente prohibida también la incorporación inicial de datos en bases extranjeras: por ejemplo, un formulario en el sitio no debe enviar solicitudes directamente a un servidor extranjero o a un servicio extranjero.
• Notificación de fugas. Si se detecta una fuga, el operador está obligado a notificarla a Roskomnadzor en un plazo de 24 horas y a comunicar los resultados de la investigación interna en un plazo de 72 horas.

Responsabilidad

Las multas están establecidas en el artículo 13.11 del Código de Infracciones Administrativas de la Federación Rusa (КоАП РФ); desde el 30 de mayo de 2025 han aumentado significativamente. Para las organizaciones, en particular:

• tratamiento sin base legal, incluida la falta de consentimiento adecuado —de 300 a 700 mil rublos;
• no presentar la notificación sobre el inicio del tratamiento a Roskomnadzor —de 100 a 300 mil rublos;
• no comunicar sobre una fuga —de 1 a 3 millones de rublos;
• incumplimiento del requisito de localización —de 1 a 6 millones de rublos, reiterado —hasta 18 millones;
• fuga —de 3 a 15 millones de rublos según el número de afectados, y para categorías especiales y datos biométricos —hasta 20 millones;
• fuga reiterada —de 1 a 3 % de la facturación anual, pero no menos de 20 millones y no más de 500 millones de rublos.

Desde el 11 de diciembre de 2024 está vigente el artículo 272.1 del Código Penal: el uso, la transferencia, la recopilación y el almacenamiento ilícitos de información informática que contenga datos personales obtenida de forma ilegal constituyen un delito penal.

Además, por decisión judicial, un sitio que viole los derechos de los sujetos de los datos personales puede ser incluido en el registro de infractores y bloqueado.

Por dónde empezar

1. Haga un inventario de los datos. Determine qué información sobre personas recopila, dónde se almacena, quién tiene acceso a ella y para qué se necesita.
2. Prepare los documentos. Apruebe la política de tratamiento de datos personales y publíquela en el sitio. Debe indicar las finalidades del tratamiento, la composición de los datos, los plazos de conservación y las medidas de protección.
3. Formalice el consentimiento por separado. El texto del consentimiento en el sitio debe ser un documento independiente y la casilla de consentimiento en el formulario no debe estar marcada por defecto.
4. Compruebe dónde se almacenan los datos. El hosting, el CRM, los servicios de envíos y formularios que reciban datos de ciudadanos de Rusia deben utilizar bases de datos en Rusia.
5. Notifique a Roskomnadzor. Desde el 1 de septiembre de 2022 el ámbito de excepciones se ha reducido y la mayoría de los operadores, incluidas las pequeñas empresas y los empresarios individuales, están obligados a notificar a Roskomnadzor el inicio del tratamiento. La notificación se presenta en el portal de datos personales de Roskomnadzor pd.rkn.gov.ru.
6. Proteja los datos. Use HTTPS en el sitio, contraseñas seguras y autenticación de dos factores, limite el acceso a los datos solo al personal que realmente lo necesite.

El cumplimiento de la 152-FZ es obligación de cada operador. Los pasos básicos no son complicados y cuestan incomparablemente menos que las multas.