ПДн: требования

Любая компания или ИП, которые собирают имена, телефоны, адреса почты клиентов или ведут кадровый учёт, по закону считаются оператором персональных данных. Отсюда набор обязанностей по 152-ФЗ: уведомить Роскомнадзор об обработке, получить законное основание для каждой цели, опубликовать политику, назначить ответственного, защитить базы и сообщать об утечках в сжатые сроки.

Кто становится оператором и почему это касается почти всех

Оператором закон называет того, кто сам определяет цели и способы обработки сведений о людях. Интернет-магазин с формой заказа, салон с журналом записи, агентство недвижимости с базой покупателей, бухгалтерия с личными делами работников подпадают под это определение одинаково. Размер бизнеса значения не имеет.

Даже таблица с телефонами на ноутбуке менеджера уже считается обработкой. Если данные передаются подрядчику, например колл-центру или облачной CRM, у подрядчика появляется статус лица, обрабатывающего данные по поручению, а ответственность перед человеком остаётся за вами.

Отдельная обязанность касается граждан России: запись, систематизация и хранение их данных должны вестись с использованием баз, расположенных на территории страны. Сервис рассылок или хранилище за рубежом без российской первичной базы создаёт прямое нарушение.

Законные основания: согласие и случаи без него

Согласие нужно не всегда. Закон разрешает обработку без него, когда она нужна для исполнения договора с самим человеком, для выполнения обязанностей работодателя по трудовому законодательству или по прямому требованию закона. Остальные цели, например рекламные рассылки или передача данных партнёрам, требуют согласия.

К согласию предъявляются жёсткие требования. Оно должно быть конкретным, предметным, информированным, сознательным и однозначным. Галочка, проставленная заранее, или согласие, спрятанное в тексте оферты, этим требованиям не отвечают. Для данных, которые оператор собирается сделать общедоступными, нужен отдельный документ о распространении с перечнем того, что разрешено раскрывать.

Пакет документов оператора

Проверяющий в первую очередь просит показать локальные акты. Минимальный набор выглядит так:

• политика обработки персональных данных, опубликованная на сайте и доступная без регистрации;
• приказ, которым назначается лицо, ответственное за организацию обработки;
• положение об обработке и защите данных с перечнем целей, категорий и сроков хранения;
• формы согласий для каждой цели, где согласие требуется;
• договоры поручения с подрядчиками, содержащие условия о конфиденциальности и мерах защиты;
• модель угроз и документы о мерах защиты информационных систем;
• журналы учёта обращений субъектов и актов уничтожения данных.

Каждый документ должен соответствовать реальным процессам. Политика, скачанная из интернета и не совпадающая с тем, что компания делает на практике, проверку не выдерживает.

Сроки, которые нельзя пропустить

Сроки по 152-ФЗ короткие, и большинство штрафов связано именно с их нарушением.

Государственная пошлина за подачу уведомления не взимается. Расходы возникают на стороне подготовки документов и технической защиты.

Ответственность за нарушения

Административные составы собраны в статье 13.11 КоАП РФ. Штраф начисляется отдельно за обработку без основания, за отсутствие опубликованной политики, за нарушение порядка согласия, за неисполнение требований субъекта. Для юрлиц суммы заметно выше, чем для должностных лиц, а повторное нарушение наказывается строже.

С 2025 года действуют повышенные санкции за утечки: размер штрафа зависит от числа затронутых записей, при повторной утечке возможен оборотный штраф, рассчитываемый от выручки. Неуведомление Роскомнадзора об инциденте наказывается самостоятельно, независимо от последствий утечки.

Помимо штрафов, человек вправе требовать компенсацию морального вреда в суде, а Роскомнадзор может внести сайт в реестр нарушителей и ограничить к нему доступ.

Ошибки, на которых бизнес попадается

Самая распространённая ошибка: через сайт собирают номер телефона посетителей, однако ссылки на политику и текста согласия рядом с этим местом нет. Вторая по частоте: сбор аналитики через иностранные сервисы, которые передают данные за рубеж без уведомления о трансграничной передаче.

Нередко компании хранят резюме кандидатов годами без согласия на это или пересылают копии паспортов клиентов в личных мессенджерах сотрудников. Ещё одна типичная ситуация: договор с подрядчиком по рассылкам не содержит поручения на обработку, и формально передача базы становится незаконной.

Когда привлекать юриста по защите данных

Самостоятельно навести порядок можно в небольшом бизнесе с простыми процессами. Помощь специалиста оправдана, если компания обрабатывает биометрию или медицинские сведения, передаёт данные за границу, получила предписание Роскомнадзора или столкнулась с утечкой. В последнем случае счёт идёт на часы, и ошибка в первичном сообщении сказывается на размере санкции.

Юрист проводит аудит процессов, сопоставляет их с документами, готовит ответы на запросы регулятора и представляет компанию при обжаловании постановления. Подборки специалистов по информационному праву собраны в разделах рейтинга.

Можно ли хранить копию паспорта клиента? Только если это прямо нужно для цели обработки и указано в документах. Без такой необходимости копия становится избыточными данными.

Для связи с редакцией пишите на э.почту: office@юристы-2026.рф. Контакты адвокатов и юристов — участников рейтинга — на страницах не размещаются.