Защита персональных данных: что требует 152-ФЗ от небольшого бизнеса

Федеральный закон от 27 июля 2006 года № 152-ФЗ «О персональных данных» устанавливает правила, по которым компании и индивидуальные предприниматели собирают, хранят и используют сведения о людях. За последние два года требования закона заметно ужесточились, а штрафы выросли в разы, поэтому разобраться в них стоит даже самому небольшому бизнесу.

Что регулирует закон

Закон регулирует обработку персональных данных — любые действия с ними: сбор, запись, хранение, уточнение, использование, передачу, удаление. Его цель — защита прав человека при обработке сведений о нём, в том числе права на неприкосновенность частной жизни, личную и семейную тайну.

Если вы собираете, храните или используете сведения о людях — фамилию, имя, телефон, электронную почту, адрес, дату рождения, — вы обязаны соблюдать этот закон.

Кто считается оператором

Оператор — это тот, кто организует обработку персональных данных и определяет, зачем и как она ведётся. Вы являетесь оператором, если:

• на вашем сайте есть форма, в которой посетители оставляют имя, телефон или почту;
• вы собираете контакты клиентов для рассылок или звонков;
• у вас есть сотрудники и вы ведёте кадровый учёт;
• вы ведёте базу клиентов или поставщиков-физических лиц, в том числе в CRM-системе.

Размер бизнеса значения не имеет: индивидуальный предприниматель без сотрудников, принимающий заявки через сайт, тоже оператор.

Что считается персональными данными

Персональные данные — любая информация, прямо или косвенно относящаяся к определённому или определяемому человеку. Например:

• фамилия, имя, отчество;
• дата и место рождения;
• адрес проживания;
• номер телефона и адрес электронной почты;
• паспортные данные, ИНН, СНИЛС;
• место работы и должность;
• IP-адрес и идентификаторы из cookie-файлов — если в сочетании с другими сведениями они позволяют установить, о ком идёт речь.

Основные требования

• Законность. Обработка должна иметь законное основание: согласие человека, договор с ним, требование закона.
• Согласие. Если основанием служит согласие, оно должно быть конкретным, предметным, информированным, сознательным и однозначным. С 1 сентября 2025 года согласие оформляется отдельно от любых других документов: его нельзя включать в договор, пользовательское соглашение или политику обработки данных. Согласия, полученные до этой даты, переоформлять не нужно.
• Определённая цель. Данные собирают для заранее определённой цели. Собирать их на всякий случай нельзя.
• Минимальный объём. Собирают только то, что нужно для этой цели. Для рассылки паспортные данные не нужны.
• Точность. Данные должны быть точными и при необходимости обновляться.
• Ограниченный срок хранения. Данные хранят не дольше, чем требует цель обработки, а затем уничтожают или обезличивают.
• Защита. Оператор обязан принять правовые, организационные и технические меры против неправомерного доступа к данным, их уничтожения, изменения, блокирования, копирования и распространения. В том числе назначить ответственного за организацию обработки, утвердить политику обработки персональных данных и опубликовать её на сайте, ограничить доступ сотрудников к данным, передавать данные по защищённым каналам.
• Локализация. Сбор, запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан России ведутся с использованием баз данных, находящихся в России. С 1 июля 2025 года прямо запрещено и первичное внесение данных в иностранные базы: например, форма на сайте не должна отправлять заявки сразу на зарубежный сервер или в иностранный сервис.
• Уведомление об утечке. Обнаружив утечку, оператор обязан в течение 24 часов сообщить о ней в Роскомнадзор, а в течение 72 часов — сообщить о результатах внутреннего расследования.

Ответственность

Штрафы установлены статьёй 13.11 КоАП РФ; с 30 мая 2025 года они значительно выросли. Для организаций, в частности:

• обработка без законного основания, в том числе без надлежащего согласия, — от 300 до 700 тысяч рублей;
• неподача уведомления о начале обработки в Роскомнадзор — от 100 до 300 тысяч рублей;
• несообщение об утечке — от 1 до 3 миллионов рублей;
• нарушение требования о локализации — от 1 до 6 миллионов рублей, повторное — до 18 миллионов;
• утечка — от 3 до 15 миллионов рублей в зависимости от числа пострадавших, а для особых категорий и биометрических данных — до 20 миллионов;
• повторная утечка — от 1 до 3 % годовой выручки, но не менее 20 миллионов и не более 500 миллионов рублей.

С 11 декабря 2024 года действует статья 272.1 Уголовного кодекса: незаконные использование, передача, сбор и хранение компьютерной информации, содержащей персональные данные, полученной незаконным путём, — уголовное преступление.

Кроме того, по решению суда сайт, нарушающий права субъектов персональных данных, может быть внесён в реестр нарушителей и заблокирован.

С чего начать

1. Составьте перечень данных. Определите, какие сведения о людях вы собираете, где они хранятся, кто имеет к ним доступ и для чего они нужны.
2. Подготовьте документы. Утвердите политику обработки персональных данных и опубликуйте её на сайте. В ней должны быть указаны цели обработки, состав данных, сроки хранения и меры защиты.
3. Оформите согласие отдельно. Текст согласия на сайте должен быть отдельным документом, а отметка о согласии в форме — не проставленной заранее.
4. Проверьте, где хранятся данные. Хостинг, CRM, сервисы рассылок и форм, в которые попадают данные граждан России, должны использовать базы данных в России.
5. Уведомите Роскомнадзор. С 1 сентября 2022 года круг исключений сокращён, и уведомлять Роскомнадзор о начале обработки обязано большинство операторов, включая небольшие компании и индивидуальных предпринимателей. Уведомление подаётся на портале персональных данных Роскомнадзора pd.rkn.gov.ru.
6. Защитите данные. Используйте HTTPS на сайте, надёжные пароли и двухфакторную аутентификацию, ограничьте доступ к данным теми сотрудниками, которым он действительно нужен.

Соблюдение 152-ФЗ — обязанность каждого оператора. Базовые шаги несложны и обходятся несравнимо дешевле штрафов.