Закон о персональных данных 152‑ФЗ: что должен знать любой бизнес
152-ФЗ касается практически каждой российской компании: от интернет-магазина до корпоративного HR-отдела. Разбираемся, кто является оператором, что считается персональными данными, какие обязанности возникают — и как выстроить compliance, не превращая его в бюрократию.
- 152-ФЗ
- Операторы ПДн
- Согласие на обработку
- Роскомнадзор
- Штрафы и ответственность
- Политика конфиденциальности
Содержание статьи
-
1
Что такое 152-ФЗ и кто под него попадает
Сфера действия закона, понятие оператора, категории субъектов
-
2
Ключевые понятия: персональные данные, субъект, оператор
Что считается ПДн, специальные категории, обезличивание
-
3
Обязанности оператора персональных данных
Уведомление Роскомнадзора, локализация, документация, LKN
-
4
Согласие на обработку: как правильно оформить
Требования к согласию, политика конфиденциальности, отзыв
-
5
Ответственность за нарушения 152-ФЗ
Административные штрафы, уголовная ответственность, проверки РКН
-
6
Как выстроить compliance по 152-ФЗ
Пошаговый план, типичные ошибки и рекомендации WCR Consulting
Федеральный закон № 152-ФЗ «О персональных данных» действует с 2006 года и регулирует любую обработку персональных данных физических лиц. Под его действие попадает практически каждая российская компания — независимо от размера и отрасли.
Ошибочно считать, что закон касается только крупных технологических компаний или тех, кто работает с «чувствительными» данными. Если у вас есть сотрудники, клиентская база, форма обратной связи на сайте или CRM — вы уже оператор персональных данных и обязаны соблюдать требования 152-ФЗ. Надзор осуществляет Роскомнадзор.
- Любой работодатель — трудовой договор содержит ПДн, значит вы уже оператор
- Интернет-магазины — формы заказа, личный кабинет, история покупок
- Медицина и образование — спецкатегории с повышенными требованиями
- Маркетинг и CRM — email-рассылки, базы лидов, аналитика
- Иностранные компании — если обрабатывают данные граждан РФ
Оператором считается любое лицо — юридическое или физическое — которое самостоятельно определяет цели и способы обработки персональных данных. Регистрация в качестве оператора происходит не автоматически: требуется уведомить Роскомнадзор.
Закон распространяется на иностранные компании, если они обрабатывают данные граждан России — например, принимают заявки с сайта или ведут рассылку по российской аудитории. Иностранный хостинг от требований не освобождает.
За последние годы штрафы существенно выросли, введены оборотные санкции за утечки данных, расширены требования к локализации. Законодательство продолжает ужесточаться, и следить за обновлениями критично для любого оператора.
Любая информация, прямо или косвенно позволяющая идентифицировать физическое лицо. Понятие намеренно широкое — суды и РКН толкуют его расширительно.
Закон выделяет данные, требующие письменного согласия или прямого указания закона для обработки. Санкции за нарушения в этой категории принципиально выше.
Оператор — тот, кто определяет цели и способы обработки. Обработчик — тот, кто обрабатывает данные по поручению оператора. Оператор несёт ответственность перед субъектом даже за действия привлечённых обработчиков.
Самостоятельно определяет: зачем, какие данные и как обрабатывать. Отвечает перед РКН и субъектами. Обязан уведомить РКН о начале обработки.
Действует строго по поручению оператора на основании договора. Не может использовать данные в своих целях. Обязан соблюдать конфиденциальность.
Физическое лицо, которому принадлежат данные. Субъект вправе в любой момент запросить информацию об обработке своих данных, потребовать исправления, ограничения или удаления — и оператор обязан ответить в течение 30 дней.
Принцип минимизации, закреплённый в законе: оператор вправе собирать только те данные, которые необходимы для конкретной заявленной цели. Избыточный сбор — нарушение, даже при наличии согласия.
До начала обработки ПДн оператор обязан подать уведомление через портал РКН и получить включение в реестр операторов. Уведомление описывает цели обработки, категории данных и субъектов, страну обработки и меры защиты.
Исключение: обработка данных исключительно своих работников в рамках трудовых отношений — без передачи третьим лицам. Все остальные случаи требуют уведомления.
С 2015 года первичное хранение персональных данных российских граждан должно осуществляться на серверах, расположенных на территории России. Это требование распространяется в том числе на иностранные компании с российской аудиторией.
Оператор обязан иметь: политику обработки персональных данных (опубликованную), приказ о назначении ответственного за организацию обработки, регламенты по каждой цели обработки и договоры поручения с подрядчиками, которым передаются данные.
Технические и организационные меры защиты ПДн определяются уровнем защищённости (УЗ), который зависит от категорий обрабатываемых данных и числа субъектов. Большинство коммерческих компаний попадают в УЗ-3 или УЗ-4 — это базовые требования без необходимости сертифицированного криптошифрования.
На запрос субъекта о составе и целях обработки оператор обязан ответить в течение 10 рабочих дней. При запросе на удаление — уничтожить или обезличить данные в течение 30 дней. Немотивированный отказ недопустим.
Согласие субъекта — одно из нескольких правовых оснований для обработки ПДн. Но именно его чаще всего оформляют неправильно: предзаполненная галочка или расплывчатая формулировка «на обработку данных» не имеют юридической силы.
Важно разграничить: согласие нужно не всегда. Закон допускает обработку без согласия для исполнения договора, по прямому требованию закона или в других случаях, прямо перечисленных в ст. 6 и 10 152-ФЗ. Неоправданное получение согласия «на всякий случай» создаёт лишние риски — если субъект его отзовёт, обработку придётся прекратить.
Согласие должно быть конкретным, предметным, информированным и однозначным. Согласно статье 9, в тексте согласия обязательно указываются:
ФИО субъекта, наименование и адрес (место нахождения) оператора.
Конкретная и однозначная цель — не «улучшение сервиса» или «в соответствии с законодательством».
Конкретные категории данных, которые будут обрабатываться в рамках данного согласия.
Срок действия согласия и порядок его отзыва субъектом — оба элемента обязательны.
Форма согласия: письменная (подпись), электронная (активное действие + подтверждение через email или SMS) или конклюдентная — только если закон прямо это допускает.
⚠ Предзаполненная галочка «Я согласен» — без активного действия пользователя согласие недействительно
⚠ Расплывчатая цель: «согласен на обработку персональных данных» без указания конкретных целей
⚠ Одно общее согласие для нескольких несвязанных целей (рассылка + аналитика + передача партнёрам)
⚠ Согласие «навсегда» без указания срока действия или порядка отзыва
⚠ Отсутствие возможности отозвать согласие или намеренное усложнение этой процедуры
Политика конфиденциальности — публичный документ, который оператор обязан разместить на сайте до момента сбора данных. Он должен описывать все цели обработки, категории ПДн, правовые основания, сроки хранения, передачу третьим лицам и права пользователей.
Политика должна отражать реальные процессы компании, а не быть скопирована из шаблона. РКН при проверке сопоставляет содержание документа с фактической практикой.
Основная форма ответственности — административные штрафы по ст. 13.11 КоАП РФ. Статья разделена на несколько частей; санкция зависит от конкретного состава нарушения. Фиксированные штрафы применяются при первичных нарушениях.
Введены в 2023 году. За утечку значительного объёма ПДн — штраф до 3% от годовой выручки, но не менее 15 млн рублей. За повторные нарушения или утечку спецкатегорий данных санкции существенно выше.
Статья 137 УК РФ (нарушение неприкосновенности частной жизни): штраф до 200 000 руб. или лишение свободы до 2 лет при умышленном разглашении ПДн. Субъект вправе также взыскать убытки и моральный вред в гражданском порядке.
| Состав нарушения | Должностное лицо | Организация | Серьёзность |
|---|---|---|---|
| Обработка ПДн без надлежащего правового основания | до 20 000 ₽ | до 100 000 ₽ | Средняя |
| Обработка спецкатегорий без письменного согласия | до 40 000 ₽ | до 300 000 ₽ | Высокая |
| Обработка без достижения заявленных целей | до 20 000 ₽ | до 100 000 ₽ | Средняя |
| Нарушение требований к политике конфиденциальности | до 15 000 ₽ | до 60 000 ₽ | Базовая |
| Обработка без уведомления РКН (при обязанности) | до 20 000 ₽ | до 100 000 ₽ | Средняя |
| Непредоставление данных субъекту по запросу | до 20 000 ₽ | до 80 000 ₽ | Средняя |
| Утечка ПДн по вине оператора (оборотный штраф) | — | от 15 млн ₽ (до 3% выручки) | Критичная |