152-ФЗ о персональных данных: главные требования к бизнесу
Основы4 минРедакция Innovialabs
Коротко
Если вы собираете персональные данные граждан России, вы оператор по 152-ФЗ: нужно уведомить Роскомнадзор, получать отдельное согласие, хранить данные россиян сначала в базах на территории РФ, иметь пакет документов и сообщать об утечках в течение суток.
Кого касается 152-ФЗ
152-ФЗ «О персональных данных» регулирует любые действия с информацией о людях: сбор, запись, хранение, использование, передачу и удаление. Персональные данные — это не только паспорт: имя с телефоном в заявке с сайта, e-mail, IP-адрес в связке с аккаунтом — тоже.
Закон касается не только российских юрлиц. Если сайт или сервис ориентирован на российскую аудиторию (русский язык, рублёвые цены, домен .ru, реклама в России) и собирает данные граждан РФ, Роскомнадзор считает, что требования распространяются и на вас.
Для студии или подрядчика из Узбекистана важно различать две роли:
- оператор — вы сами решаете, зачем и как обрабатывать данные (например, собираете заявки клиентов на своём сайте);
- обработчик по поручению — вы работаете с данными заказчика (разрабатываете или поддерживаете его CRM). Тогда нужен договор-поручение с перечнем действий и требований к защите, а ответственность перед людьми несёт оператор.
Этот материал не заменяет консультацию юриста: закон регулярно меняется, поэтому сверяйтесь с действующей редакцией.
Уведомление Роскомнадзора
Оператор обязан до начала обработки подать уведомление в Роскомнадзор. С 2022 года список исключений сильно сократили, и сейчас уведомление нужно почти всем, кто собирает данные клиентов или пользователей. Подать его можно онлайн через портал персональных данных. При изменении сведений (новые цели, категории данных, место хранения) уведомление нужно обновлять.
Трансграничная передача — отдельная история: о намерении передавать данные за рубеж (например, в зарубежный облачный сервис) Роскомнадзор нужно уведомить отдельно и заранее.
Согласие на обработку
Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным. На практике для формы на сайте это означает:
- чекбокс без предустановленной галочки;
- ссылка на текст согласия: кто оператор, какие данные, цели, действия, срок и способ отзыва;
- согласие оформлено отдельно от оферты, пользовательского соглашения и политики — с 1 сентября 2025 года это прямое требование закона;
- для рассылок и рекламных звонков — своё согласие, отдельное от согласия на обработку заявки.
Письменное согласие с подписью требуется в особых случаях: например, для специальных категорий данных и биометрии. Для данных, которые человек разрешает распространять (публиковать отзыв с фото, отображать в открытом каталоге), нужна отдельная форма согласия.
Локализация данных граждан РФ
Часть 5 статьи 18 требует, чтобы запись, систематизация, накопление, хранение, уточнение и извлечение данных граждан России велись с использованием баз данных на территории РФ. Поправки 2025 года сделали прямым запрет на первичный сбор таких данных через иностранные базы.
Что это значит технически:
- заявка с сайта сначала попадает в базу на российском сервере, а уже потом может копироваться дальше — с соблюдением правил трансграничной передачи;
- формы на сторонних зарубежных конструкторах, зарубежные CRM и таблицы в качестве первичного хранилища не подходят;
- Telegram-бот, который принимает заявки, тоже должен сохранять их в базу на территории РФ.
Обязательные документы и меры
Минимальный пакет оператора:
| Документ или мера | Зачем |
|---|---|
| Политика обработки ПДн | Обязательно публикуется на сайте, где собираются данные |
| Приказ о назначении ответственного | Кто отвечает за организацию обработки |
| Положение об обработке и перечень данных | Какие данные, цели, сроки, порядок уничтожения |
| Тексты согласий | Для каждой цели обработки |
| Оценка вреда и определение уровня защищённости | Основа для выбора мер защиты |
| Технические меры | Разграничение доступа, учёт носителей, резервные копии, журналы |
| Порядок реагирования на инциденты | Чтобы уложиться в сроки уведомления |
Утечки и штрафы
При утечке оператор обязан уведомить Роскомнадзор в течение 24 часов о самом инциденте и в течение 72 часов — о результатах внутреннего расследования.
Ответственность установлена статьёй 13.11 КоАП РФ, размеры зависят от вида нарушения и от того, кто нарушил: гражданин, должностное лицо или организация. Типичные составы — обработка без законного основания, отсутствие опубликованной политики, ненадлежащее согласие, нарушение локализации. С 2025 года действуют отдельные повышенные штрафы за утечки: сумма зависит от количества затронутых людей и записей, а за повторную утечку предусмотрены оборотные штрафы. Для юрлица по ряду составов речь идёт о миллионах рублей. За нарушение локализации сайт также могут внести в реестр нарушителей и ограничить к нему доступ, а за незаконное использование и передачу персональных данных предусмотрена уголовная ответственность.
Короткий чек-лист
- Определите свою роль: оператор или обработчик по поручению.
- Подайте уведомление в Роскомнадзор, при трансграничной передаче — ещё одно.
- Перенесите первичное хранение данных россиян на сервер в РФ.
- Опубликуйте политику и разместите отдельное согласие у каждой формы.
- Назначьте ответственного и подготовьте внутренние документы.
- Отработайте сценарий утечки с учётом 24 и 72 часов.