На режим регулирования обработки персональных данных (ПДн) в Российской Федерации продолжает жестко наращиваться. Законодатель не только повышает штрафные санкции, но и расширяет перечень обязательных требований к операторам данных. Для бизнеса это означает, что игнорирование комплаенса в сфере ПДн перестало быть просто «юридической формальностью» и превратилось в критический фактор выживания компании на рынке.

Нормативная база: ключевые изменения и текущее состояние

Основным регулятором остается Федеральный закон от N 152-ФЗ «О персональных данных». Однако за последние годы пакет поправок кардинально изменил ландшафт:

• Обязательное уведомление Роскомнадзора: С 1 сентября 2022 года все компании и индивидуальные предприниматели, являющиеся операторами ПДн, обязаны уведомлять регулятор о начале обработки данных (ст. 22 152-ФЗ). Исключения минимальны (только обработка по трудовому договору, данные, сделанные общедоступными субъектом, и др.).
• Рост штрафов (с 30 мая 2024 года): Административная ответственность за нарушения законодательства о ПДн существенно ужесточена. За повторные нарушения или утечки крупного объема штрафы для юрлиц могут достигать 15–20 млн рублей (ст. 13.11 КоАП РФ). Для должностных лиц — до 500 тыс. рублей с возможностью дисквалификации.
• Локализация данных: Требование хранения баз данных, содержащих ПДн граждан РФ, на территории России (ч. 5 ст. 18 152-ФЗ) остается в силе и строго контролируется.
• Передача данных за границу: Правила трансграничной передачи (ст. 12 152-ФЗ) требуют тщательной правовой экспертизы страны-импортера на предмет адекватности защиты.

Основные правовые основания для обработки (Ст. 6, 11 152-ФЗ)

По общему правилу, обработка персональных данных может осуществляться с согласия субъекта персональных данных (п. 1 ч. 1 ст. 6 Закона N 152-ФЗ) либо в прямо предусмотренных законом случаях без согласия (пп. 2–11 ч. 1 ст. 6, ч. 2 ст. 11 152-ФЗ).

Ключевые основания без согласия:

1. Исполнение договора, стороной которого является субъект ПДн.
2. Исполнение законодательства РФ (налоговое, трудовое, банковское право).
3. Защита жизни, здоровья или иных жизненно важных интересов субъекта (при невозможности получения согласия).
4. Реализация прав и законных интересов оператора или третьих лиц (например, видеонаблюдение, контроль доступа), при условии неповреждения прав субъекта.
5. Обработка данных, сделанных общедоступными самим субъектом.

Важно: Нагрузка доказывания наличия основания лежит на операторе. Юридическая практика показывает, что ссылка на «законные интересы» (п. 4 ч. 1 ст. 6) требует проведения теста на балансировку интересов (LIA — Legitimate Interest Assessment), который лучше оформить документально с помощью юристов.

Согласие на обработку ПДн: форма и содержание

Согласие на обработку ПДн нужно оформлять как самостоятельный документ — отдельно от договоров, соглашений, других видов согласий. Это жесткое требование Роскомнадзора и судебной практики.

Обязательные реквизиты согласия (ст. 9 152-ФЗ):

• ФИО, адрес места жительства (или наименование и адрес места нахождения) субъекта ПДн / его представителя (* / ).
• ФИО, адрес оператора ПДн ( / *).
• Цель обработки персональных данных.
• Перечень обрабатываемых ПДн.
• Способы обработки.
• Срок действия согласия и порядок его отзыва.
• Подпись субъекта ПДн (или ЭЦП).

Ошибки в форме согласия — одна из самых частых причин штрафов при проверках.

Роль оператора и уполномоченного лица по защите ПДн

Оператор ПДн — это лицо, которое самостоятельно или совместно с другими лицами организует и (или) осуществляет обработку персональных данных, а также определяет цели обработки, состав обрабатываемых ПДн, действия (операции), совершаемые с ПДн.

Согласно ст. 22.1 152-ФЗ, оператор обязан назначить уполномоченное лицо по защите прав субъектов ПДн (часто называемое DPO, Data Protection Officer). Контактные данные этого лица (ФИО, телефон, email) должны быть опубликованы на сайте оператора и в уведомлении в Роскомнадзор.

Пример из практики: Старший юрист направления защиты персональных данных юридической компании * отмечает, что отсутствие назначенного уполномоченного лица или неактуальные контакты на сайте — это «красный флаг» для инспекторов Роскомнадзора при плановых и внеплановых проверках.

Типовые риски бизнеса в 2026 году: от виджетов до утечек

Виджеты связи и мессенджеры

Многие компании добавляют на сайт кнопки «Написать в WhatsApp», «Позвонить в Telegram». На первый взгляд — это просто удобный способ коммуникации. Однако с точки зрения 152-ФЗ:

• При нажатии кнопки пользователь передает свой номер телефона (ПДн) оператору;
• Если нет политики конфиденциальности и согласия (или иного основания) до нажатия кнопки — это нарушение.
• Передача данных в мессенджеры (часто иностранным) требует соблюдения правил трансграничной передачи.

HR-документооборот и биометрия

Обработка биометрических данных (лицо, отпечатки пальцев для СКУД, голос) требует письменного согласия в особой форме (ст. 11 152-ФЗ). С 2023–2024 гг. Роскомнадзор активно проверяет системы контроля доступа и учета рабочего времени на предмет законности сбора биометрии.

Маркетинговые рассылки

Рекламные рассылки (email, SMS, пуш-уведомления) требуют отдельного согласия на получение рекламы (ФЗ «О рекламе» + 152-ФЗ). Покупка баз контактов у третьих лиц без проверки наличия согласий у субъектов, прямой путь к штрафам ФАС и Роскомнадзора.

Политика конфиденциальности и локальные акты

Каждый оператор обязан разработать и утвердить Политику в отношении обработки персональных данных (п. 1 ч. 1 ст. 18.1 152-ФЗ).

Структура грамотной Политики (пример ООО «» / ИП ):

1. Общие положения и определения.
2. Правовые основания и цели обработки.
3. Категории субъектов ПДн и категории обрабатываемых данных.
4. Способы и сроки обработки, порядок уничтожения.
5. Меры обеспечения безопасности ПДн (технические и организационные).
6. Права субъектов ПДн и порядок их реализации (запросы на доступ, удаление, исправление).
7. Трансграничная передача (если применимо).
8. Контакты уполномоченного лица (* / тел. * / email *).

Помимо Политики, компания должна иметь: Приказ об уполномоченном лице, Модель угроз, Перечень мер безопасности, Журналы учета запросов субъектов, Акты инвентаризации ПДн.

Защита прав субъектов ПДн: запросы и жалобы

Субъект ПДн имеет право требовать от оператора:

• Подтверждения факта обработки.
• Предоставления копии данных.
• Исправления неверных/неполных данных.
• Прекращения обработки / удаления данных (право на «быть забытым»).
• Обжалования действий оператора в Роскомнадзор или суд.

Срок ответа на запрос — 30 календарных дней (ст. 18 152-ФЗ). Игнорирование запроса — основание для штрафа и предписания Роскомнадзора.

Почему нужны профессиональные юридические услуги в сфере ПДн?

Самостоятельная попытка «скачать шаблон политики из интернета» в 2026 году почти гарантированно приведет к штрафам. Профессиональная юридическая поддержка включает:

Услуга	Описание	Результат для клиента
Аудит комплаенса (GAP-анализ)	Проверка текущих процессов, документов, ИТ-систем на соответствие 152-ФЗ, постановлениям Правительства, рекомендациям Роскомнадзора.	Карта рисков, план мероприятий по устранению нарушений.
Разработка документационного пакета	Политика конфиденциальности, локальные акты, формы согласий, уведомление для Роскомнадзора, договоры с подрядчиками (передача ПДн третьим лицам).	Готовый «ящик документов» для проверки инспектора.
Поддержка уведомления Роскомнадзора	Подготовка и подача уведомления через ЛК Роскомнадзора, корректировка при изменении процессов.	Своевременное выполнение обязательства (ст. 22 152-ФЗ).
Работа с запросами субъектов	Консультации по сложным запросам (удаление, отзыв согласия), подготовка мотивированных отказов или ответов.	Снижение риска жалоб в Роскомнадзор и судов.
Экспертиза ИТ-систем и СЗИ	Анализ соответствия используемого ПО (CRM, HRM, сайт) требованиям ФСТЭК/ФСБ (при необходимости аттестации ГИС/КИИ/ПДн).	Техническая защита данных «по умолчанию».
Обучение персонала	Инструктажи для HR, маркетологов, IT, менеджеров по продажам.	Человеческий фактор — главная дыра в безопасности — минимизирован.
Защита при проверках и в судах	Представление интересов в Роскомнадзоре, ФАС, судах по делам об административных правонарушениях (ст. 13.11 КоАП РФ).	Минимизация штрафов, отмена предписаний.

Специфика отраслей: банки, медицина, e-commerce, EdTech

• Медицина (ЕМИАС, телемедицина): Особой режим (ст. 9, 11 152-ФЗ) — только письменное согласие на особые категории ПДн (здоровье), строгая локализация, взаимодействие с ЕГИСЗ.
• Финтех / Банки: Требования ЦБ РФ (регуляторы 382-П, 657-П) накладываются на 152-ФЗ. KYC/AML требует обработки без согласия, но хранение — 5 лет после окончания отношений.
• E-commerce / Маркетплейсы: Сложная цепочка: покупатель -> маркетплейс -> продавец -> служба доставки. Необходимы четкие договоры о совместной обработке или передаче ПДн (ст. 6, 22.2 152-ФЗ).
• EdTech / Образование: Обработка данных несовершеннолетних (детей) требует согласия родителей/законных представителей. Особое внимание Роскомнадзора к детским данным.

Тенденции 2026 года: на что обратить внимание

1. ИИ и автоматизированное принятие решений: Если вы используете нейросети для скоринга, найма, таргетинга — субъект имеет право требовать объяснения логики принятия решения (п. 5 ч. 1 ст. 18 152-ФЗ). Нужен аудит алгоритмов.
2. Единый биометрический реестр (ЕБР): Расширение сценариев использования госбиометрии бизнесом (удаленная идентификация). Требует строгого соблюдения процедур.
3. Депутаты фракции «Новые люди» в Госдуме предлагают указывать в… (инициативы по ужесточению ответственности за утечки, введению уголовной статьи за массовые утечки, обязательному страхованию рисков утечки ПДн). Следите за законопроектами.
4. Классовые иски: Развитие практики коллективных исков потребителей за утечки данных (моральный вред). Прецеденты уже есть.

Обработка персональных данных, это не разовая акция «сдали уведомление и забыли», а непрерывный процесс управления рисками. Стоимость ошибки в 2026 году измеряется не только в миллионах штрафов, но и в репутационных потерях, остановке бизнес-процессов (предписания Роскомнадзора могут требовать прекращения обработки) и гражданских исках.

Привлечение специализированных юридических услуг позволяет выстроить систему защиты ПДн «под ключ»: от аудита и документов до защиты в суде. Инвестиции в комплаенс сегодня — это страховка от катастрофических потерь завтра.

Контакты для консультации по защите персональных данных:

• Юридическая компания:
• Старший юрист / Руководитель практики:
• Телефон:
• Email:
• Адрес офиса:

Данная статья носит информационный характер и не является правовой консультацией. Для решения конкретных вопросов обратитесь к квалифицированным юристам.