Патентное Бюро "ЗИС"®
Патентное бюро "ЗИС"®
Интеграция с личным кабинетом, IT юристы, сертифицированные специалисты ФСТЭК!
Приводим документацию по защите персональных данных в соотвествии с ФЗ-152 в 2026 году %%city%% под ключ!
#1 Правовой аудит обработки персональных данных
Первичный аудит устанавливает, является ли организация оператором персональных данных по действующей редакции Закона № 152‑ФЗ и в каком объёме на неё распространяются его требования. Мы анализируюем, какие категории данных собираются, через какие каналы (сайт, формы заявок, CRM, кадровый и бухгалтерский учёт, рассылки, подрядчики) и на каких правовых основаниях осуществляется обработка. По итогам аудита готовится правовое заключение с перечнем выявленных нарушений и пошаговым планом их устранения.
#2 Разработка комплекта документов по 152‑ФЗ
На основе результатов аудита мы разрабатываем полный пакет документации, адаптированной под реальные процессы компании, а не типовые шаблоны.
#3 Уведомление Роскомнадзора и настройка сайта
Мы готовим и подаём уведомление в Роскомнадзор об обработке персональных данных либо корректируем ранее направленные сведения оператора с учётом актуальной редакции закона. Параллельно настраиваются пользовательские сценарии на сайте: корректные формы согласий, cookie‑баннер, тексты правовой информации и логика получения согласия перед сбором данных.
#4 Подготовка к проверке и сопровождение
Заключительный этап направлен на снижение регуляторных рисков и готовность к контролю со стороны Роскомнадзора. Мы проводим контрольный аудит подготовленного комплекта документов и сайта, выстраиваем внутренний маршрут реагирования на запросы субъектов и регулятора, а также на возможные инциденты с персональными данными. При необходимости обеспечиваем консультационное сопровождение при проверках и помогаем устранить замечания в установленные сроки, минимизируя вероятность штрафов и предписаний.
Защита персональных данных представляет собой не частный комплаенс-вопрос, а комплексную правовую и организационно-техническую функцию оператора, непосредственно связанную с устойчивостью бизнес-процессов, законностью цифрового маркетинга, договорной архитектурой сайта, кадрового и клиентского документооборота, а также с информационной безопасностью используемых информационных систем.
В современных условиях персональные данные рассматриваются не только как юридически значимая категория информации, но и как объект повышенного регуляторного внимания, в отношении которого государство требует одновременно соблюдения материальных требований Федерального закона № 152‑ФЗ, выполнения процедурных обязанностей перед Роскомнадзором и внедрения соразмерных мер защиты по линии ФСТЭК и ФСБ России.
В современных условиях персональные данные рассматриваются не только как юридически значимая категория информации, но и как объект повышенного регуляторного внимания, в отношении которого государство требует одновременно соблюдения материальных требований Федерального закона № 152‑ФЗ, выполнения процедурных обязанностей перед Роскомнадзором и внедрения соразмерных мер защиты по линии ФСТЭК и ФСБ России.
Актуальность услуги усиливается как правовыми, так и рыночными факторами.
В 2026 году продолжают действовать ужесточённые требования к согласию на обработку персональных данных, к локализации баз данных российских граждан, к уведомлению Роскомнадзора и к внутреннему оформлению процессов обработки.
С другой стороны, цифровая модель бизнеса приводит к тому, что оператором персональных данных фактически становится почти любая компания, использующая:
В 2026 году продолжают действовать ужесточённые требования к согласию на обработку персональных данных, к локализации баз данных российских граждан, к уведомлению Роскомнадзора и к внутреннему оформлению процессов обработки.
С другой стороны, цифровая модель бизнеса приводит к тому, что оператором персональных данных фактически становится почти любая компания, использующая:
- сайт с формой заявки,
- CRM,
- коллтрекинг,
- электронную почту,
- аналитику,
- кадровый контур,
- сервисы рассылок,
- подрядчиков по маркетингу или облачные платформы.
Почему важно соответствовать требованиям ФЗ-152 в 2026 году:
№1
152 -ФЗ
Прямая обязанность каждого оператора
Если компания собирает заявки на сайте, ведёт CRM, использует кадровые базы, онлайн-формы, e-mail-рассылки или работает с клиентскими данными, она уже выступает оператором персональных данных. В 2026 году соблюдение требований Федерального закона № 152-ФЗ - это не факультативная рекомендация, а обязательный элемент законной цифровой деятельности, включающий правовые основания обработки, корректные согласия, внутренние документы, уведомление Роскомнадзора и меры защиты данных.
№2
до 500 000 ₽
Штрафы за отдельные нарушения
В 2026 году за нарушение условий обработки, отсутствие надлежащих согласий, ошибки в уведомлении Роскомнадзора или несоблюдение требований локализации могут применяться существенные административные штрафы. По отдельным составам сумма взыскания для юридических лиц достигает 500 000 рублей за один эпизод, а при множественных нарушениях санкции суммируются, что превращает формальные недочёты в ощутимый финансовый риск для бизнеса.
№3
от 50 000 ₽
Минимальная цена одной ошибки
Даже одна комплексная проверка или один инцидент с персональными данными может обойтись компании в десятки тысяч рублей уже на базовом уровне ответственности. На практике стартовые потери часто начинаются от 50 000 - 100 000 рублей, если к отсутствию документов добавляются проблемы с сайтом, согласиями, уведомлением Роскомнадзора или передачей данных подрядчикам.
№4
1000 + проверок
Рост надзорного внимания
Проверки операторов персональных данных больше не ограничиваются крупными организациями. В 2026 году контроль распространяется и на малый, и на средний бизнес: сайты с формами обратной связи, интернет-магазины, образовательные платформы, медицинские сервисы, HR-контуры и компании, использующие CRM и онлайн-рекламу. Отсутствие выстроенной системы работы с персональными данными стало заметным и легко выявляемым нарушением.
№5
3 зоны риска
Правовые, технические и репутационные последствия
Несоблюдение требований ФЗ-152 почти никогда не ограничивается только штрафом. Обычно проблема развивается сразу в трёх плоскостях: правовой - административная ответственность и предписания; технической - необходимость срочно устранять уязвимости и переделывать процессы; репутационной - потеря доверия клиентов, осложнение работы с контрагентами и снижение шансов на участие в тендерах и корпоративных закупках.
№6
24 /7 цифровой риск
Уязвим не только офис, но и сайт
Сейчас источником нарушения становятся не только внутренние базы, но и сайт, формы заявок, cookie-баннеры, сервисы аналитики, чаты, виджеты и подрядчики по рекламе. Если компания собирает данные онлайн, она обязана синхронизировать юридическую документацию, пользовательские сценарии и технические меры защиты. Иначе даже внешне корректный сайт может содержать критические нарушения обработки персональных данных.
№7
до 15 млн ₽
Потолок санкционного риска в коммерческом восприятии
Для посетителя страницы важно понимать не только размер отдельных штрафов, но и совокупный риск. При сочетании нескольких нарушений, претензий субъектов данных, сбоев в договорной модели и последствий инцидента бизнес может столкнуться с убытками на миллионы рублей. Именно поэтому рынок услуг по 152-ФЗ всё чаще продаётся не как «документы для сайта», а как инструмент снижения многосоставного финансового и репутационного риска.
№8
100% контроль
Соответствие как конкурентное преимущество
Приведение обработки персональных данных в соответствие требованиям ФЗ-152 - это не только защита от санкций. Это управляемая модель работы с клиентскими, кадровыми и цифровыми данными, которая повышает доверие пользователей, упрощает прохождение проверок, помогает выстраивать отношения с крупными заказчиками и снижает вероятность дорогих переделок после претензий регулятора. Соответствие требованиям о персональных данных становится частью деловой устойчивости компании.
Нам доверяют:
1. Основные варианты защиты персональных данных.
1.1. Правовая модель защиты.
Первый и обязательный вариант защиты представляет собой правовую организацию обработки персональных данных.
Речь идёт о корректном определении целей обработки, выборе надлежащих правовых оснований, разработке локальных актов, форм согласий, политики обработки персональных данных, положений о порядке доступа, шаблонов для работников и подрядчиков, а также о документировании процессов уничтожения и актуализации данных.
Без этого даже наличие технической защиты не устраняет правовой дефект обработки, поскольку оператор не может доказать соблюдение принципов законности, минимизации и целевого ограничения обработки.
Речь идёт о корректном определении целей обработки, выборе надлежащих правовых оснований, разработке локальных актов, форм согласий, политики обработки персональных данных, положений о порядке доступа, шаблонов для работников и подрядчиков, а также о документировании процессов уничтожения и актуализации данных.
Без этого даже наличие технической защиты не устраняет правовой дефект обработки, поскольку оператор не может доказать соблюдение принципов законности, минимизации и целевого ограничения обработки.
1.2. Организационная модель защиты.
Второй вариант защиты связан с построением внутренней организационной системы работы с персональными данными.
Она включает назначение ответственного за организацию обработки персональных данных, инвентаризацию процессов, реестр операций обработки, распределение ролей доступа, обучение работников, правила взаимодействия с обращениями субъектов и процедуру реагирования на инциденты безопасности.
Такая модель особенно важна для компаний, где данные обрабатываются не только через сайт, но и в кадровом, бухгалтерском, медицинском, образовательном, банковском или корпоративном контуре.
Она включает назначение ответственного за организацию обработки персональных данных, инвентаризацию процессов, реестр операций обработки, распределение ролей доступа, обучение работников, правила взаимодействия с обращениями субъектов и процедуру реагирования на инциденты безопасности.
Такая модель особенно важна для компаний, где данные обрабатываются не только через сайт, но и в кадровом, бухгалтерском, медицинском, образовательном, банковском или корпоративном контуре.
1.3. Техническая модель защиты.
Третий вариант - техническая защита персональных данных в информационных системах.
- В отличие от правовой модели, она ориентирована не на документы, а на устойчивость инфраструктуры: идентификацию ИСПДн,
- определение уровня защищённости,
- моделирование угроз,
- внедрение межсетевых экранов,
- антивирусной защиты,
- средств контроля доступа,
- журналирования, резервного копирования,
- DLP‑решений,
- систем классификации и предотвращения утечек, а при необходимости - криптографических средств защиты.
1.4. Модель комплексного соответствия «под ключ».
Четвёртый вариант защиты объединяет правовые, организационные и технические меры в единую услугу полного цикла.
Эта модель особенно востребована в случаях, когда оператору требуется не разовый документ, а проект соответствия:
Эта модель особенно востребована в случаях, когда оператору требуется не разовый документ, а проект соответствия:
- аудит текущего состояния,
- устранение правовых пробелов,
- настройка сайта,
- подача уведомления в Роскомнадзор,
- внедрение внутренних процедур,
- разработка пакета документов,
- определение ИСПДн и, при необходимости, последующее сопровождение.
2. Структура услуги.
2.1. Аудит 152‑ФЗ.
Аудит персональных данных является входной точкой для большинства проектов защиты.
Его задача состоит в том, чтобы установить:
Его задача состоит в том, чтобы установить:
- какие данные собираются;
- на каких основаниях;
- через какие каналы;
- какие документы уже есть;
- требуется ли уведомление Роскомнадзора;
- используются ли внешние сервисы и подрядчики;
- формируется ли ИСПДн;
- применяются ли меры защиты, достаточные для конкретной модели обработки.
2.2. Документы по персональным данным.
Подготовка документов остаётся центральным элементом услуги в 2026 году.
Минимально необходимый контур обычно включает политику обработки персональных данных, формы согласий по отдельным целям обработки, положение о порядке работы с персональными данными, приказ о назначении ответственного, обязательства о неразглашении, регламенты хранения и уничтожения, шаблоны взаимодействия с субъектами и, при необходимости, договорные приложения с обработчиками и подрядчиками.
Содержательная проблема состоит в том, что формальный комплект документов без привязки к реальным процессам не обеспечивает соответствия.
Минимально необходимый контур обычно включает политику обработки персональных данных, формы согласий по отдельным целям обработки, положение о порядке работы с персональными данными, приказ о назначении ответственного, обязательства о неразглашении, регламенты хранения и уничтожения, шаблоны взаимодействия с субъектами и, при необходимости, договорные приложения с обработчиками и подрядчиками.
Содержательная проблема состоит в том, что формальный комплект документов без привязки к реальным процессам не обеспечивает соответствия.
2.3. Уведомление Роскомнадзора и регуляторное сопровождение.
Обязанность уведомления Роскомнадзора до начала обработки персональных данных в 2026 году продолжает оставаться одним из наиболее значимых процедурных требований.
Уведомление - это не техническая анкета, а концентрированное описание правовой модели обработки: оператор,
Уведомление - это не техническая анкета, а концентрированное описание правовой модели обработки: оператор,
- цели,
- категории субъектов и данных, правовые основания,
- перечень действий с ПДн,
- сроки прекращения обработки,
- трансграничная передача и меры защиты.
Давайте обсудим вашу задачу!
Или оставьте заявку на звонок
Напишите нам в мессенджер
Оставьте заявку на бесплатную консультацию
Выслушает Вашу задачу и предложит варианты решения
Ответит на все интересующие вопросы
Получите консультацию руководителя направления
Сориентирует по точной стоимости и срокам реализации всех задач
3. ИСПДн и техническое соответствие.
Для компаний, где персональные данные обрабатываются в информационных системах, защита не может ограничиваться документарным контуром.
Необходимо определить состав ИСПДн, категории обрабатываемых данных, тип актуальных угроз, количество субъектов и на этой основе установить уровень защищённости, после чего подобрать и внедрить требуемые организационные и технические меры.
В зависимости от отрасли и архитектуры инфраструктуры это может включать сегментацию сети, средства защиты от НСД, антивирусную защиту, контроль привилегий, журналирование, контроль носителей, DLP‑контур, шифрование, управление уязвимостями и аттестационные мероприятия.
Необходимо определить состав ИСПДн, категории обрабатываемых данных, тип актуальных угроз, количество субъектов и на этой основе установить уровень защищённости, после чего подобрать и внедрить требуемые организационные и технические меры.
В зависимости от отрасли и архитектуры инфраструктуры это может включать сегментацию сети, средства защиты от НСД, антивирусную защиту, контроль привилегий, журналирование, контроль носителей, DLP‑контур, шифрование, управление уязвимостями и аттестационные мероприятия.
4. Подготовка к проверке и снижению санкционных рисков.
Отдельный практический вариант защиты - подготовка к проверке и к реагированию на требования регулятора.
С точки зрения содержания услуги это означает проведение контрольной проверки пакета документов, аудит сайта и цифровых форм, проверку журналов и регламентов, оценку полноты уведомления, подготовку ответов на запросы субъектов и регулятора, а также выстраивание внутреннего маршрута реагирования на инциденты и обращения.
С точки зрения содержания услуги это означает проведение контрольной проверки пакета документов, аудит сайта и цифровых форм, проверку журналов и регламентов, оценку полноты уведомления, подготовку ответов на запросы субъектов и регулятора, а также выстраивание внутреннего маршрута реагирования на инциденты и обращения.
5. Международный и трансграничный контур.
Хотя основной спрос на российском рынке связан с соблюдением 152‑ФЗ, часть конкурентов позиционирует себя через международный privacy‑комплаенс и сопряжение российских требований с GDPR и аналогичными режимами.
Это особенно значимо для IT‑компаний, SaaS‑платформ, маркетплейсов, образовательных сервисов, трансграничных B2B‑проектов и компаний, использующих иностранных подрядчиков, облака или международные сервисы аналитики.
Это особенно значимо для IT‑компаний, SaaS‑платформ, маркетплейсов, образовательных сервисов, трансграничных B2B‑проектов и компаний, использующих иностранных подрядчиков, облака или международные сервисы аналитики.
6. Алгоритм по проведению компании к соответствию требованиям 152 ФЗ в 2026 году.
7. СТОИМОСТЬ услуг:
Фиксированная цена без скрытых платежей. Работаем по договору с гарантией результата.
Базовый · Аудит 152-ФЗ
Базовый аудит 152-ФЗ
от 95 000 ₽
- Первичная консультация по модели обработки персональных данных в компании
- Анализ статуса оператора персональных данных
- Проверка сайта, форм обратной связи, CRM, кадрового и клиентского документооборота
- Выявление источников сбора персональных данных: сайт, заявки, почта, телефония, маркетинговые сервисы, подрядчики
- Базовый аудит действующих документов по персональным данным
- Проверка наличия обязательных согласий, политики обработки персональных данных и внутренних локальных актов
- Предварительная оценка необходимости подачи уведомления в Роскомнадзор
- Подготовка письменного заключения с перечнем нарушений и рекомендациями по устранению
- Понимание текущего уровня соответствия требованиям 152-ФЗ
- Перечень рисков и отсутствующих документов
- Пошаговый план приведения деятельности в соответствие
- Подходит для первого этапа без лишних затрат
- Позволяет быстро выявить слабые места в документах и процессах
- Удобен для малого и среднего бизнеса, который хочет снизить риск штрафов и претензий
Рекомендуем · Стандартное
Стандартное соответствие 152-ФЗ
от 180 000 ₽
- Всё, что включено в базовый тариф
- Разработка или актуализация комплекта документов по персональным данным
- Подготовка политики обработки персональных данных для сайта и компании
- Разработка форм согласий на обработку персональных данных под конкретные цели
- Подготовка локальных актов, приказов, регламентов, обязательств о неразглашении и внутренних инструкций
- Проверка пользовательских сценариев на сайте: формы заявок, чекбоксы, тексты согласий, cookie-баннеры, страницы с политиками
- Подготовка уведомления в Роскомнадзор или корректировка ранее поданных сведений
- Консультации по выстраиванию корректной модели взаимодействия с подрядчиками и обработчиками персональных данных
- Передача клиенту полного комплекта документов и рекомендаций по внедрению
- Полный комплект документов под фактическую модель обработки персональных данных
- Подготовленный правовой контур для сайта, сотрудников, клиентов и подрядчиков
- Готовность к базовой проверке и снижению регуляторных рисков
- Подходит большинству компаний, которым нужно решить задачу под ключ
- Закрывает основную правовую часть соответствия требованиям 152-ФЗ
- Снижает риск ошибок в документах, согласиях и взаимодействии с Роскомнадзором
Комплексное · Полное сопровождение
Комплексное соответствие 152-ФЗ
от 350 000 ₽
- Всё, что включено в стандартный тариф
- Комплексный аудит правовых, организационных и технических процессов обработки персональных данных
- Глубокий анализ всей карты движения персональных данных в компании
- Проверка договорной модели с подрядчиками, обработчиками, маркетинговыми сервисами и облачными платформами
- Разработка расширенного пакета внутренней документации с учётом кадрового, клиентского, маркетингового и IT-контуров
- Аудит ИСПДн и определение необходимости дополнительных мер защиты персональных данных
- Подготовка рекомендаций по организационным и техническим мерам защиты
- Подготовка компании к проверке Роскомнадзора
- Разработка сценариев реагирования на запросы субъектов персональных данных, инциденты и утечки
- Консультационное сопровождение по внедрению всех разработанных решений
- Системно выстроенная модель обработки и защиты персональных данных
- Документы, процессы и рекомендации, адаптированные под реальную деятельность компании
- Существенное снижение правовых, финансовых и репутационных рисков
- Подходит для компаний, где персональные данные затрагивают несколько подразделений и цифровых контуров
- Формирует не только пакет документов, но и рабочую систему соответствия
- Особенно полезен для IT-компаний, образовательных проектов, медицинских сервисов, e-commerce и бизнеса с активным digital-маркетингом
8. Ответственность за нарушения в сфере персональных данных.
Ответственность за нарушения законодательства о персональных данных в России носит многоуровневый характер и включает административные, уголовные, гражданско-правовые и дисциплинарные последствия. Базовым источником административной ответственности остаётся статья 13.11 КоАП РФ, а уголовные риски усиливаются действием статьи 272.1 УК РФ о незаконном использовании, передаче, сборе и хранении компьютерной информации, содержащей персональные данные.
8.1. Административная ответственность.
Статья 13.11 КоАП РФ предусматривает самостоятельные составы правонарушений за незаконную обработку персональных данных, отсутствие надлежащих согласий, невыполнение обязанностей по опубликованию политики, несоблюдение требований к защите данных в информационных системах, неисполнение требований субъекта данных, а также нарушения при взаимодействии с Роскомнадзором.
Для юридических лиц штрафы за первичные нарушения по различным частям статьи 13.11 КоАП РФ могут составлять от 60 000 до 500 000 рублей, а по отдельным составам, связанным с утечками и повторными нарушениями, достигают существенно более высоких значений.
За базовые нарушения правил обработки персональных данных штраф для организации в 2026 году составляет 150 000–300 000 рублей.
Наряду с этим с 30 мая 2025 года, и соответственно в полном объёме в 2026 году, действует специальный режим ответственности за утечки персональных данных.
Он привязан к количеству субъектов, объёму утекшей информации и характеру данных.
Для юридических лиц штрафы за первичные нарушения по различным частям статьи 13.11 КоАП РФ могут составлять от 60 000 до 500 000 рублей, а по отдельным составам, связанным с утечками и повторными нарушениями, достигают существенно более высоких значений.
За базовые нарушения правил обработки персональных данных штраф для организации в 2026 году составляет 150 000–300 000 рублей.
Наряду с этим с 30 мая 2025 года, и соответственно в полном объёме в 2026 году, действует специальный режим ответственности за утечки персональных данных.
Он привязан к количеству субъектов, объёму утекшей информации и характеру данных.
8.2. Ответственность за утечки данных.
Если утечка затрагивает от 1 000 до 10 000 субъектов персональных данных, штраф для юридического лица составляет от 3 000 000 до 5 000 000 рублей.
Если утечка затрагивает от 10 000 до 100 000 субъектов, размер штрафа возрастает до 5 000 000–10 000 000 рублей.
За утечку специальных категорий персональных данных для юридических лиц предусмотрен штраф от 10 000 000 до 15 000 000 рублей.
За утечку биометрических персональных данных санкции ещё строже: для организаций они составляют от 15 000 000 до 20 000 000 рублей.
Отдельно введена ответственность за неуведомление Роскомнадзора о факте утечки персональных данных.
В 2026 году за такое нарушение для юридических лиц предусмотрен штраф от 1 000 000 до 3 000 000 рублей.
При повторных утечках законодатель предусмотрел оборотные штрафы.
Для юридических лиц они составляют от 1% до 3% годовой выручки, но не менее 20 000 000 или 25 000 000 рублей в зависимости от состава и не более 500 000 000 рублей.
Если утечка затрагивает от 10 000 до 100 000 субъектов, размер штрафа возрастает до 5 000 000–10 000 000 рублей.
За утечку специальных категорий персональных данных для юридических лиц предусмотрен штраф от 10 000 000 до 15 000 000 рублей.
За утечку биометрических персональных данных санкции ещё строже: для организаций они составляют от 15 000 000 до 20 000 000 рублей.
Отдельно введена ответственность за неуведомление Роскомнадзора о факте утечки персональных данных.
В 2026 году за такое нарушение для юридических лиц предусмотрен штраф от 1 000 000 до 3 000 000 рублей.
При повторных утечках законодатель предусмотрел оборотные штрафы.
Для юридических лиц они составляют от 1% до 3% годовой выручки, но не менее 20 000 000 или 25 000 000 рублей в зависимости от состава и не более 500 000 000 рублей.
8.3. Уголовная ответственность.
ст. 272.1 УК РФ
Введённая Федеральным законом от 30.11.2024 № 421-ФЗ. Она устанавливает уголовную ответственность за незаконные использование и (или) передачу, сбор и (или) хранение компьютерной информации, содержащей персональные данные, а также за создание и обеспечение функционирования информационных ресурсов, заведомо предназначенных для незаконного хранения или распространения таких данных.
По квалифицированным составам наказание может включать лишение свободы на срок до 8 лет, если деяние сопряжено с трансграничной передачей персональных данных, и до 10 лет, если деяние повлекло тяжкие последствия или совершено организованной группой.
За создание или поддержание ресурса, предназначенного для незаконного оборота персональных данных, также предусмотрены штрафы, принудительные работы и лишение свободы на срок до 5 лет.
По квалифицированным составам наказание может включать лишение свободы на срок до 8 лет, если деяние сопряжено с трансграничной передачей персональных данных, и до 10 лет, если деяние повлекло тяжкие последствия или совершено организованной группой.
За создание или поддержание ресурса, предназначенного для незаконного оборота персональных данных, также предусмотрены штрафы, принудительные работы и лишение свободы на срок до 5 лет.
8.4. Дополнительные последствия для бизнеса.
Помимо прямых штрафов и уголовных рисков, нарушение требований к персональным данным в 2026 году влечёт для бизнеса значительные косвенные последствия.
К ним относятся предписания Роскомнадзора, дополнительные проверки, экстренная переработка договорной и локальной документации, расходы на техническое устранение инцидента, претензии со стороны клиентов и работников, а также существенный репутационный ущерб.
Для компаний, работающих с государственными заказчиками, крупным корпоративным сектором, медицинскими, образовательными, финансовыми и HR-данными, несоответствие требованиям ФЗ-152 всё чаще становится не только регуляторной, но и коммерческой проблемой, поскольку контрагенты оценивают фактическую зрелость режима обработки персональных данных ещё до заключения договора.
К ним относятся предписания Роскомнадзора, дополнительные проверки, экстренная переработка договорной и локальной документации, расходы на техническое устранение инцидента, претензии со стороны клиентов и работников, а также существенный репутационный ущерб.
Для компаний, работающих с государственными заказчиками, крупным корпоративным сектором, медицинскими, образовательными, финансовыми и HR-данными, несоответствие требованиям ФЗ-152 всё чаще становится не только регуляторной, но и коммерческой проблемой, поскольку контрагенты оценивают фактическую зрелость режима обработки персональных данных ещё до заключения договора.
вопросы - для понимания необходимости и вариантов приведения документов компании в соответствии с законом о защите персональных данных:
9. Часто задаваемые вопросы (FAQ):
Оператором признаётся любое юридическое лицо, ИП, госорган или физическое лицо, которое самостоятельно или совместно с другими организует и (или) осуществляет обработку персональных данных, а также определяет цели, состав данных и действия с ними (ст. 3 152-ФЗ).
На практике оператором становится почти любой бизнес: если у вас есть сайт с формой обратной связи, CRM, кадровая база, e-mail-рассылка или интернет-магазин — вы уже обрабатываете персональные данные и обязаны выполнять требования 152-ФЗ.
На практике оператором становится почти любой бизнес: если у вас есть сайт с формой обратной связи, CRM, кадровая база, e-mail-рассылка или интернет-магазин — вы уже обрабатываете персональные данные и обязаны выполнять требования 152-ФЗ.
Да. С сентября 2022 года перечень исключений, освобождающих от подачи уведомления, был резко сокращён, и в 2026 году уведомление обязаны подать практически все операторы — в том числе те, кто обрабатывает данные только своих работников или клиентов по договору.
Уведомление подаётся до начала обработки через портал Роскомнадзора, а любые изменения (цели, категории данных, трансграничная передача, ответственное лицо) должны отражаться отдельным уведомлением об изменении.
Уведомление подаётся до начала обработки через портал Роскомнадзора, а любые изменения (цели, категории данных, трансграничная передача, ответственное лицо) должны отражаться отдельным уведомлением об изменении.
По ст. 18.1 152-ФЗ политика — публичный документ, размещённый на сайте и доступный без авторизации.
В 2026 году она должна содержать 14 обязательных пунктов:
В 2026 году она должна содержать 14 обязательных пунктов:
- Наименование и реквизиты оператора.
- Цели обработки.
- Категории субъектов.
- Категории и состав обрабатываемых ПДн.
- Способы обработки.
- Перечень действий с ПДн.
- Срок хранения.
- Правовые основания обработки.
- Меры защиты.
- Перечень третьих лиц, которым передаются данные.
- Условия трансграничной передачи.
- Сведения об ответственном за организацию обработки.
- Права субъектов и порядок их реализации.
- Порядок обновления и хранения политики.
Да. По ч. 5 ст. 18 152-ФЗ сбор, запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан РФ должны осуществляться с использованием баз данных, находящихся на территории России.
Требование распространяется в том числе на иностранные компании, ориентирующие деятельность на российский рынок. Нарушение локализации - до 6 000 000 ₽ за первое и до 18 000 000 ₽ за повторное нарушение.
Требование распространяется в том числе на иностранные компании, ориентирующие деятельность на российский рынок. Нарушение локализации - до 6 000 000 ₽ за первое и до 18 000 000 ₽ за повторное нарушение.
С 2022 года действует обязательный порядок уведомления Роскомнадзора при любом инциденте (несанкционированный доступ, передача, публикация, компрометация):
Неуведомление либо нарушение сроков - самостоятельный состав со штрафом от 1 до 3 млн ₽, независимо от штрафа за саму утечку.
- в течение 24 часов - первичное уведомление о факте инцидента, предполагаемых причинах и возможном вреде;
- в течение 72 часов - уведомление о результатах внутреннего расследования и принятых мерах.
Неуведомление либо нарушение сроков - самостоятельный состав со штрафом от 1 до 3 млн ₽, независимо от штрафа за саму утечку.
Минимальный обязательный пакет:
- Политика обработки персональных данных (публичная).
- Положение об обработке и защите ПДн (внутреннее).
- Приказ о назначении ответственного за обработку ПДн.
- Перечень обрабатываемых ПДн и целей обработки.
- Перечень мест хранения и лиц, имеющих доступ.
- Формы согласий (клиентов, работников, кандидатов, посетителей сайта).
- Модель угроз и уровень защищённости информационной системы ПДн.
- Инструкции для сотрудников, работающих с ПДн.
- Договоры поручения на обработку с подрядчиками (хостинг, CRM, колл-центры, маркетинг).
- Журнал учёта обращений субъектов ПДн и журнал инцидентов.
По ст. 14 152-ФЗ субъект вправе получить информацию об обработке своих ПДн, потребовать их уточнения, блокировки или уничтожения, отозвать согласие.
Срок ответа - 10 рабочих дней с момента получения запроса, с возможностью продления ещё на 5 рабочих дней.
Отзыв согласия оператор обязан обработать в течение 30 дней и прекратить обработку, если нет иных правовых оснований.
Игнорирование запроса - прямое основание для жалобы в Роскомнадзор.
Срок ответа - 10 рабочих дней с момента получения запроса, с возможностью продления ещё на 5 рабочих дней.
Отзыв согласия оператор обязан обработать в течение 30 дней и прекратить обработку, если нет иных правовых оснований.
Игнорирование запроса - прямое основание для жалобы в Роскомнадзор.
Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным (ст. 9 152-ФЗ). Практические требования 2026 года:
- отдельные согласия для разных целей (обработка заявки, маркетинговая рассылка, передача партнёрам, cookie);
- флажок не может быть предустановлен — пользователь ставит его сам;
- в интерфейсе рядом с формой должна быть активная ссылка на политику обработки ПДн;
- для рекламных рассылок нужно отдельное согласие в соответствии со ст. 18 Закона «О рекламе»;
- согласие на распространение (публикацию) ПДн оформляется отдельным документом по установленным Роскомнадзором требованиям.
С 1 марта 2023 года действует уведомительный порядок: оператор обязан подать в Роскомнадзор отдельное уведомление о намерении осуществлять трансграничную передачу до её начала (ст. 12 152-ФЗ). В 2026 году это по-прежнему одно из самых проверяемых требований.
Регулятор вправе ограничить или запретить передачу в страны, не обеспечивающие адекватной защиты. Использование зарубежных сервисов (Google Analytics, зарубежных CRM, облачных хранилищ вне РФ, международных email-провайдеров) без поданного уведомления - прямое основание для проверки и штрафа.
Регулятор вправе ограничить или запретить передачу в страны, не обеспечивающие адекватной защиты. Использование зарубежных сервисов (Google Analytics, зарубежных CRM, облачных хранилищ вне РФ, международных email-провайдеров) без поданного уведомления - прямое основание для проверки и штрафа.
Да. По ст. 22.1 152-ФЗ оператор - юридическое лицо обязан назначить внутренним приказом ответственного за организацию обработки персональных данных.
Его данные (ФИО, должность, контакты) указываются в политике и в уведомлении в Роскомнадзор.
Для малого бизнеса это обычно директор или юрист по совместительству, но приказ и должностные обязанности должны быть оформлены документально.
Его данные (ФИО, должность, контакты) указываются в политике и в уведомлении в Роскомнадзор.
Для малого бизнеса это обычно директор или юрист по совместительству, но приказ и должностные обязанности должны быть оформлены документально.
- Специальные категории - данные о расовой и национальной принадлежности, политических взглядах, религиозных и философских убеждениях, состоянии здоровья, интимной жизни, судимости (ст. 10 152-ФЗ).
- Биометрические - сведения, характеризующие физиологические и биологические особенности человека, на основании которых можно установить его личность: отпечатки пальцев, изображение лица (используемое для идентификации), голосовой слепок, сетчатка глаза (ст. 11 152-ФЗ).
Штрафы за их утечку в 2026 году - до 15 млн ₽ (специальные) и до 20 млн ₽ (биометрия).
Медицинские сервисы, HR-платформы с распознаванием лиц, финтех с биометрией - в зоне повышенного контроля.
Позиция Роскомнадзора и сложившаяся судебная практика: cookie, идентификаторы устройств, IP-адреса рассматриваются как персональные данные, если позволяют прямо или косвенно определить конкретное физическое лицо. Использование Яндекс.Метрики, Google Analytics, пикселей рекламных сетей требует:
- корректной cookie-политики и cookie-баннера с возможностью отклонить необязательные cookie;
- отражения этих обработок в политике конфиденциальности;
- для зарубежных сервисов - оформленной трансграничной передачи.
Помимо плановых проверок, в 2026 году основными триггерами внеплановых проверок остаются:
- жалоба субъекта персональных данных (даже одна);
- публикации в СМИ и Telegram-каналах об утечках;
- автоматический мониторинг сайтов на наличие политики, корректных согласий и cookie-баннеров;
- выявленное несоответствие между уведомлением в реестре РКН и фактической деятельностью;
- инциденты, о которых оператор сам сообщил (или не сообщил).
Практический порядок работы, который применяет наша команда:
- Аудит - инвентаризация всех процессов, где обрабатываются ПДн (сайт, CRM, кадры, бухгалтерия, подрядчики).
- Правовая модель - определение оснований обработки, целей, категорий данных и субъектов.
- Документы - подготовка политики, положения, приказов, форм согласий, договоров поручения.
- Сайт и интерфейсы - корректные формы, чекбоксы, cookie-баннер, ссылки на политику.
- Уведомления в Роскомнадзор - первичное, о трансграничной передаче, при необходимости - об изменениях.
- Меры защиты - модель угроз, определение уровня защищённости, организационные и технические меры.
- Регламенты реагирования - порядок ответов на запросы субъектов и уведомления об инцидентах в 24/72 часа.
- Обучение сотрудников и внутренний контроль.
5.0
4.9
Отзывы Доверителей о работе с нами:
Офис в Санкт-Петербурге:
Офис в Москве:
Получить коммерческое предложение.
Укажите Ваш номер телефона и мы отправим - этапы, документы, стоимость по услуге приведения компании в соответствии с требованиями ФЗ-152 коммерческим предложением в течении 15 минут!
- 1. Основные варианты защиты персональных данных
- 2. Структура услуги
- 3. ИСПДн и техническое соответствие
- 4. Подготовка к проверке и снижению санкционных рисков
- 5. Международный и трансграничный контур
- 6. Алгоритм по проведению компании к соответствию требованиям 152-ФЗ
- 7. Стоимость услуг
- 8. Ответственность за нарушения в сфере персональных данных
- 9. Часто задаваемые вопросы