Персональные данные по 152-ФЗ: что обязан бизнес

Кто считается оператором персональных данных

Оператор — любое лицо, которое обрабатывает персональные данные: имена, телефоны, адреса, данные сотрудников или клиентов. Если у вас есть сайт с формой заявки, база клиентов или штат — вы оператор и обязаны соблюдать Федеральный закон № 152-ФЗ.

Какие документы обязательны

• Политика обработки персональных данных — публикуется на сайте в открытом доступе;
• Согласия на обработку — от клиентов и сотрудников;
• Приказы и назначение ответственного за обработку;
• Уведомление оператора — подаётся в Роскомнадзор.

Уведомление в Роскомнадзор

С 1 сентября 2022 года оператор обязан уведомить Роскомнадзор о любой обработке персональных данных. Исключения остались узкие — это обработка в целях безопасности государства, общественного порядка и транспортной безопасности, а также обработка исключительно без средств автоматизации, то есть на бумаге и без компьютера. Обычная компания с базой в учётной программе ни под одно исключение не подпадает.

Подать уведомление можно тремя способами: на бумаге, электронно с усиленной квалифицированной подписью и электронно через вход по Госуслугам. Формы утверждены приказом Роскомнадзора от 28 октября 2022 года № 180, заполняются на портале персональных данных Роскомнадзора. Сведения об ответственном за обработку становятся общедоступными — это стоит учитывать, назначая человека.

Где именно у вас персональные данные

Данные лежат в обычных рабочих местах, и почти всегда их больше, чем кажется.

• Форма заявки на сайте — имя, телефон, почта, иногда название компании.
• Кадры — трудовые договоры, копии паспортов, СНИЛС, медицинские книжки, данные о детях для вычетов.
• Клиентская база и переписка — карточки в системе учёта, мессенджеры, почта менеджеров.
• Видеонаблюдение и пропускной режим — изображение человека и журнал посетителей это тоже персональные данные.
• Подрядчики — бухгалтер на аутсорсе, кадровое агентство, служба доставки: им данные передаются, и передача должна быть оформлена.

Счётчики аналитики и виджеты на сайте собирают идентификаторы посетителей — это тоже обработка.

Согласие, политика, уведомление: три разные вещи

Их постоянно путают, а требования к ним разные.

• Политика обработки — документ оператора, который публикуется в открытом доступе. Она описывает, какие данные, зачем и как долго вы обрабатываете. Её не согласовывают с ведомством, но она должна быть доступна любому посетителю.
• Согласие субъекта — то, что даёт конкретный человек. Для части случаев закон требует именно письменной формы и строго определённого состава сведений: кто оператор, какие данные, для каких целей, на какой срок, как отозвать.
• Уведомление в Роскомнадзор — сообщение о том, что вы намерены обрабатывать данные. Это не разрешение и не лицензия: ведомство вносит вас в реестр операторов.

Согласие на рекламные рассылки и звонки оформляется отдельно. Общее согласие на обработку его не покрывает, галочка «ознакомлен с политикой» — тем более: это разные цели.

Что должно быть в согласии

Согласие из одной строки «согласен на обработку моих данных» проверку не пройдёт: закон требует конкретный состав сведений, и проверяющий смотрит именно на него.

• кто оператор — наименование, адрес, реквизиты;
• кому поручается обработка, если она поручена подрядчику;
• какие именно данные обрабатываются — перечень, а не «любые данные»;
• цель обработки — конкретная, а не «в целях деятельности компании»;
• срок действия согласия и порядок его отзыва.

Штрафы: конкретные суммы

Ответственность установлена статьёй 13.11 Кодекса Российской Федерации об административных правонарушениях (редакция от 26 июля 2026 года). Разберём то, что чаще всего встречается у обычной компании.

• Обработка вне предусмотренных законом случаев или не для заявленной цели (часть 1) — на должностных лиц 50 000–100 000 ₽, на организацию 150 000–300 000 ₽. Повторно (часть 1.1) — на организацию 300 000–500 000 ₽.
• Обработка без письменного согласия там, где оно обязательно, либо согласие с неполным составом сведений (часть 2) — на должностных лиц 100 000–300 000 ₽, на организацию 300 000–700 000 ₽.
• Отсутствие базы данных на территории России (часть 8) — на организацию 1 000 000–6 000 000 ₽, повторно (часть 9) — 6 000 000–18 000 000 ₽. Наказывается не сам факт зарубежного сервиса, а то, что запись, систематизация, накопление, хранение и уточнение данных россиян идут мимо базы, находящейся в России.
• Неподанное или несвоевременно поданное уведомление (часть 10, введена законом от 30 ноября 2024 года № 420-ФЗ) — на должностных лиц 30 000–50 000 ₽, на организацию 100 000–300 000 ₽.

Скачанный из интернета бланк согласия наказывается по части 2 так же, как полное отсутствие согласия.

Текст статьи целиком: статья 13.11 КоАП РФ.

Отдельного постановления Пленума Верховного Суда по статье 13.11 найти не удалось; суды опираются на общие разъяснения по административным делам — постановление Пленума Верховного Суда от 24 марта 2005 года № 5. Оттуда для оператора важна малозначительность по статье 2.9 КоАП РФ: судья может ограничиться устным замечанием. Шанс на это тем меньше, чем дольше длилось нарушение и чем больше людей оно задело.

Частые ошибки

• Политика есть, но она чужая. Скачанный документ описывает чужие цели, чужие сроки и чужие данные — проверяющему это видно сразу.
• Форма на сайте без галочки согласия. Заявка уходит, а подтверждения согласия нет.
• Одно согласие на всё. Работа с кадрами, рассылка и передача подрядчику — разные цели, и они должны быть названы.
• Уведомление не подано. Самое дешёвое в исправлении и одно из самых заметных нарушений: факт отсутствия в реестре проверяется за минуту.
• Ответственный не назначен. Приказ отсутствует, спросить не с кого, а обязанность есть.
• Данные лежат у бывших сотрудников. Доступ к базе не отозван после увольнения — типичный источник утечки.

Что человек вправе от вас потребовать

Обязанности оператора не заканчиваются документами: у человека, чьи данные вы храните, есть права, и на них надо отвечать в срок.

• Узнать, есть ли у вас его данные, и ознакомиться с ними. На ответ — 10 рабочих дней с даты запроса; срок можно продлить не более чем на 5 рабочих дней, направив мотивированное уведомление с причиной (статья 20 закона № 152-ФЗ).
• Потребовать уточнить или удалить данные, если они неполные, устаревшие или получены незаконно.
• Отозвать согласие — после отзыва обработка по этому основанию прекращается.

Практический смысл простой: если человек прислал запрос, а вы молча его проигнорировали, он идёт в Роскомнадзор — и проверка начинается уже не с абстрактного «покажите документы», а с конкретной жалобы.

Порядок действий

• Шаг 1. Составьте перечень: какие данные, чьи, где хранятся, кто имеет доступ.
• Шаг 2. Определите цели обработки — по каждой категории отдельно.
• Шаг 3. Подготовьте политику под свои реальные процессы и опубликуйте её на сайте.
• Шаг 4. Сделайте формы согласий: для клиентов, сотрудников, рассылок.
• Шаг 5. Назначьте ответственного приказом и ограничьте доступ к базам.
• Шаг 6. Подайте уведомление в Роскомнадзор и сохраните подтверждение.

Дольше всего обычно занимает первый шаг — собрать реальную картину того, где лежат данные.

Утечка: отдельные штрафы и отдельные сроки

С конца 2024 года за утечку персональных данных в статье 13.11 КоАП РФ появились самостоятельные составы, и суммы там на порядок выше обычных нарушений. Размер зависит от того, сколько людей затронуто.

• От 1 000 до 10 000 человек (часть 12) — на должностных лиц 200 000–400 000 ₽, на организацию 3 000 000–5 000 000 ₽.
• От 10 000 до 100 000 человек (часть 13) — на должностных лиц 300 000–500 000 ₽, на организацию 5 000 000–10 000 000 ₽.
• Более 100 000 человек (часть 14) — на должностных лиц 400 000–600 000 ₽, на организацию 10 000 000–15 000 000 ₽.
• Повторная утечка (часть 15) — для организации это уже оборотный штраф: от 1 до 3 процентов годовой выручки, но не менее 20 000 000 ₽ и не более 500 000 000 ₽.

Отдельно наказывается утечка специальных категорий данных — о здоровье, вероисповедании, судимости: по части 16 организация платит 10 000 000–15 000 000 ₽ независимо от числа пострадавших.

При утечке у вас сутки: оператор обязан сообщить в ведомство о самом факте инцидента в течение 24 часов, а о результатах внутреннего расследования — в течение 72 часов: это пункт 3.1 статьи 21 закона № 152-ФЗ. Заранее подготовленный порядок действий — кто отвечает, кого уведомляем, что фиксируем и в какие сроки — стоит несопоставимо дешевле, чем разбирательство постфактум.

Частые вопросы