Ничего не найдено. Попробуйте еще
Бизнес без штрафов: в чём суть нового закона о сборе персональных данных
-
Редакция МТС Линк Медиа
С 30 мая 2025 года в России в разы увеличились штрафы за нарушения при обработке персональных данных. Теперь незаконный сбор грозит штрафом до 500 тыс. рублей, а утечка личных данных может стоить до 20 млн рублей. Важно, что закон о персональных данных касается не только компаний. Ответственность могут нести самозанятые и физлица, у которых, например, есть сайт с формой обратной связи.
Вместе с руководителем юридического отдела МТС Линк Александром Кирсановым и автором телеграм-канала «Право имею», юристом Андреем Мочалкиным разбираемся, кого затронут новые правила и как бизнесу, который собирает данные клиентов и сотрудников, обезопасить себя от санкций.
Предыстория: зачем нужен новый закон
Новый закон требует от всех — от крупных компаний до самозанятых — внимательной работы с данными: сбора, хранения и любых других действий. Ужесточённые требования — это необходимость, которая защищает данные россиян от утечек, в том числе в руки мошенников.
По данным Роскомнадзора, в 2024 году произошло 135 крупных утечек: в интернет попали имена, телефоны, паспорта и другая личная информация. Всего 710 миллионов записей.
Теперь за сбором и хранением данных в России будут следить ещё строже: нарушителей ждут серьёзные штрафы, а в некоторых случаях даже уголовная ответственность.
Закон, предусматривающий более строгие меры наказания за нарушения в сфере защиты персональных данных, Президент России Владимир Путин подписал в ноябре 2024 года. 30 мая 2025 года закон начал действовать.
Какие данные считаются персональными
По закону персональные данные (ПДн) — это любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу (субъекту персональных данных). Юристы выделяют четыре типа персональных данных:
- общие — это имя и фамилия, адрес электронной почты, дата и место рождения, номер телефона
- специальные — это, например, национальность и информация о судимостях
- биометрические — это любые физиологические данные человека, такие как отпечатки пальцев, рост, цвет глаз, голос, фотография
- иные — вся остальная информация, которая не входит в другие виды ПДн, например история покупок.
«В файлах-cookie тоже содержатся персональные данные тех, кто посещает сайт. Это может быть IP-адрес, логин, данные поведения на странице (клики по ссылкам, время на сайте, показатели отказа). Поэтому владельцы сайтов тоже могут быть операторами персональных данных», — поясняет юрист Андрей Мочалкин.
Что изменилось: в чём суть нового закона
До 30 мая 2025 года обработка персональных данных без уведомления РКН тоже наказывалась, но нарушителю грозил небольшой штраф — 5 000 рублей. Теперь в силу вступили поправки к закону № 420-ФЗ, которые вводят новые штрафы (в десятки раз больше прежних) и строгие требования к операторам персональных данных.
Операторы персональных данных (ОПДн) — это не только большие компании, государственные и муниципальные органы, но и обычные люди (то есть физлица, в том числе самозанятые и ИП), которые обрабатывают данные сотрудников и клиентов. Например:
- индивидуальный предприниматель, который в CRM-системе собирает адреса и список предыдущих заказов клиентов
- компания, которая ведёт таблицу с номерами телефонов подрядчиков
- блогер, который делает рассылку со сводкой самых интересных за месяц постов
- самозанятый фотограф, который добавляет на сайт форму обратной связи («Оставьте ссылку на свой профиль, и мы обязательно вам напишем»).
«Все эти организации и физлица считаются ОПДн. Им необходимо быть включёнными в реестр операторов персональных данных. Чтобы попасть в реестр, нужно ещё до начала обработки ПДн направить уведомление в Роскомнадзор», — объясняет юрист Андрей Мочалкин.
За что можно получить штраф
В первую очередь — за сбор данных без регистрации в РКН. Любое использование, в том числе хранение и сбор персональных данных, без согласия гражданина незаконно. Это правило установлено законом № 152-ФЗ (статья 9).
Кроме этого, бизнесу важно учитывать, что незаконно:
- передавать данные за границу без одобрения РКН
- скрывать от РКН информацию об изменениях сведений о себе, сборе данных или утечке данных в течение 24 часов после происшествия.
Ситуация: 20 мая ИП Горелкина вышла замуж, сменила фамилию и стала ИП Ковалёва. По закону (п. 7 ст. 22 152-ФЗ) уведомить РКН об изменении сведений о себе предпринимательница должна не позднее 15 июня. Иначе, если просрочить обращение в Роскомнадзор, ИП получит штраф — от 30 до 50 тыс. рублей.
Подать уведомление об изменении сведений можно на портале операторов ПДн Роскомнадзора.
Кто будет нести ответственность
Штрафовать за нарушение закона могут физических и должностных лиц, организации и их сотрудников. Санкции распространяются и на компании, которым оператор передал данные, если те нарушили порядок их обработки.
Таким образом, закон затрагивает:
- всех, кто обрабатывает данные (крупный бизнес, ИП, самозанятых, государственные органы)
- владельцев сайтов с формой обратной связи или cookie-файлами.
Важно: сбор данных — это первый этап их обработки. Даже если владелец сайта собрал данные и на следующий день их удалил, это всё равно будет считаться обработкой персональных данных.
Какие будут штрафы
Штрафы за нарушения в 2025 году увеличились в разы. Ниже — таблицы с размерами взысканий и другими мерами, которые грозят за нарушения закона.
Ситуация: интернет-магазин хранит данные о постоянных клиентах в CRM-системе. У всех сотрудников есть доступ к адресам доставки, номерам телефонов, паспортным данным. Компания не успела зарегистрироваться в РКН как оператор персональных данных, но продолжает держать сведения в облаке. Такие действия — нарушение закона. Компании будет грозить штраф за непредоставление в РКН уведомления о начале обработки ПДн в размере 100–300 тыс. рублей.
Ситуация: консалтинговая компания вела учёт клиентов в онлайн-таблице. В результате кибератаки все документы компании и номера телефонов 5 000 человек попали в руки злоумышленников. Сотрудники компании быстро отреагировали на происшествие, сообщили об утечке данных в РКН в течение 24 часов после инцидента, уведомили о возможных причинах и вреде людям, сведения о ком утекли в сеть. Так консалтинговая компания избежала штрафа за нарушение обязанности уведомить об утечке персональных данных (от 1 до 3 млн рублей). Однако штрафа за саму утечку персональных данных — неправомерную передачу ПДн третьим лицам — не избежать, можно лишь снизить его, показав добросовестное выполнение условий по профилактике и снижению риска утечки.
Также штрафы возможны за утечку биометрических и специальных данных.
С 2025 года за некоторые нарушения грозит даже уголовная ответственность. Регулируется степень наказания статьёй 272 УК РФ.
Как обезопасить себя и бизнес
В первую очередь уделить внимание сайту, так как РКН автоматически находит нарушения в интернете. Чтобы не получить штраф, юрист Андрей Мочалкин рекомендует следующий алгоритм действий.
Шаг 1. Подайте уведомление в Роскомнадзор
Сделать это нужно до того, как начнётся обработка данных. Заполнить форму можно на сайте РКН, через «Госуслуги» или лично.
Важно: если ОПДн уже подал такое уведомление до 2022 года, сделать это нужно заново — новая форма утверждена Приказом Роскомнадзора от 28.10.2022 № 180.
Новый оператор данных появится в реестре в течение 30 дней. После этого у компании или физлица есть законное право работать с ПДн.
Есть несколько исключений, когда подавать уведомление в РКН не нужно. Всего три ситуации. Если данные:
- находятся в государственной информационной системе, созданной для защиты безопасности и порядка
- хранятся в офлайне, на бумаге или в блокноте
- обрабатываются в целях безопасности в сфере транспорта (приказ Минтранса РФ от 02.05.2024 № 162).
Шаг 2. Добавьте на сайт политику обработки персональных данных
Это онлайн-документ, который разъясняет, как владельцы сайта используют сведения о посетителях и обеспечивают безопасность их данных.
В документе должны быть:
- перечень собираемых данных
- цели обработки и сроки хранения данных
- информация о передаче данных третьим лицам.
Составить политику обработки ПДн можно в онлайн-конструкторе.
Шаг 3. Получите согласие пользователей на обработку персональных данных
Согласие должно быть добровольным, содержать фамилию, имя и отчество или название оператора персональных данных, цель обработки, перечень данных и срок действия. Документ нужно разместить на сайте — так, чтобы каждый желающий мог с ним ознакомиться.
Например, скачать согласие на обработку персональных данных на сайте МТС Линк можно в разделе с правовой информацией.
Шаг 4. Защитите данные
Необходимо использовать защищённые серверы, постоянно обновлять системы защиты, в том числе пользоваться антивирусом и менять пароли.
Шаг 5. Следите за утечками данных
На то, чтобы сообщить об утечке в Роскомнадзор, у ОПДн есть 24 часа. Это обязательный этап работы с инцидентом.
Больше времени даётся на то, чтобы провести внутреннее расследование о причинах случившейся утечки. Информацию о том, кто виноват в том, что данные утекли в сеть, оператор обязан передать в РКН в течение 72 часов после завершения расследования.
Шаг 6. Разместите баннер с предупреждением о сборе cookie
На сайт нужно добавить плашку с предложением принять, отклонить или настроить cookie-файлы. Кроме этого, на сайте должна быть информация с полным наименование организации, ИНН, ОКВЭД (общероссийский классификатор видов экономической деятельности), юридическим адресом, контактами для связи и механизмом отзыва согласия на обработку персональных данных.
«Лучше всего назначить сотрудника, который будет следить за данными на сайте. Не помешает провести обучение и дополнительный аудит на соответствие сайта требованиям Федерального закона от 27.07.2006 № 152-ФЗ „О персональных данных“», — рекомендует юрист Андрей Мочалкин.
Шаг 7. Перейдите на российское ПО
С 1 июля 2025 года любые действия с персональными данными должны будут производиться исключительно на территории России. То есть, например, пользоваться Google Analytics без разрешения РКН будет незаконно.
Дело в том, что РКН приравнивает сбор статистики в Google Analytics к трансграничной передаче данных. Это значит, что анализировать посетителей сайта с помощью этого сервиса можно будет только после разрешения Роскомнадзора. Выход из ситуации: собирать данные с помощью «Яндекс Метрики». Но и в этом случае владелец сайта должен регистрироваться в качестве ОПДн.
Согласно 152-ФЗ, серверы с персональными данными россиян должны находиться в России. Чтобы не нарушить закон, при установке ПО важно проверять, работает ли предоставляемый провайдером сервис на базе российского программного обеспечения. К такому ПО, включённому в Единый реестр российских программ для ЭВМ и баз данных, относится платформа для коммуникаций, обучения и совместной работы МТС Линк.
«Технологические возможности МТС Линк позволяют снизить риски утечки данных. Сервисы соответствуют 149-ФЗ, 152-ФЗ и требованиям Роскомнадзора в вопросах защиты персональных данных», — рекомендует руководитель юридического отдела МТС Линк Александр Кирсанов.
Александр Кирсанов напоминает, что госучреждениям в соответствии с требованиями по импортозамещению ПО нельзя также пользоваться иностранными мессенджерами.
«Пользуясь WhatsApp*, Discord, Snapchat, Threema, Viber, WeChat, Telegram или Microsoft Teams, бизнес рискует потерять данные. Использовать иностранные мессенджеры нельзя государственным и муниципальным предприятиям, органам власти, банкам, некредитным финансовым организациям, профессиональным участникам рынка ценных бумаг. Они не имеют права пересылать платёжные документы, передавать персональные данные бизнеса, оказывать госуслуги через них», — поясняет Александр Кирсанов.
Случаи привлечения к ответственности по запрету использования иностранных мессенджеров уже появляются. В частности, один из российских банков был признан виновным по статье 13.11.2 КоАП и оштрафован на 200 тыс. рублей.
«Банк проигнорировал запрет, действующий с 2023 года, и продолжал использовать иностранный мессенджер для рабочих переговоров и обмена данными клиентов. За что был оштрафован на 200 тыс. рублей», — добавляет Александр Кирсанов.
*принадлежит корпорации Meta, признанной в РФ экстремистской.
Возможно, вам будут интересны другие статьи про защиту данных в бизнесе:
Безопасность, миграция, импортозамещение: как компании в России переходят на отечественное ПО
Подпишитесь на рассылку МТС Линк Медиа
Каждую пятницу присылаем самые интересные статьи об эффективной работе и коммуникациях в онлайне на почту