За 2025 год закон № 152-ФЗ «О персональных данных» и связанные с ним нормы КоАП и УК изменили так сильно, что в 2026-м многие компании и ИП работают по правилам, которые уже не соответствуют закону. Собрали главное, что нужно знать владельцу бизнеса, интернет-магазина или сайта с формой заявки.
Согласие — только отдельной бумагой
С 1 сентября 2025 года согласие на обработку персональных данных нельзя прятать в договор, оферту или пользовательское соглашение. Оно оформляется самостоятельным документом. Галочка «принимаю условия договора и даю согласие на обработку данных» больше не работает: нужна отдельная галочка, ведущая на отдельный текст согласия.
Для специальных категорий сведений, например о здоровье, судимости или убеждениях, а также для биометрии требуется письменное согласие.
За неправильно оформленное согласие компании грозит штраф до 700 тысяч рублей, при повторном нарушении — до 1,5 миллиона.
Уведомление Роскомнадзора
Почти любой, кто обрабатывает персональные данные клиентов или сотрудников, обязан подать в Роскомнадзор уведомление о начале обработки. Исключений осталось мало. Если вы когда-то подали уведомление, а с тех пор сменились цели обработки, состав данных или адрес, сведения нужно обновить. Неподача уведомления тоже наказывается штрафом.
Утечки: сутки на сообщение и оборотные штрафы
При утечке оператор обязан сообщить в Роскомнадзор в течение 24 часов, а в течение 72 часов — передать результаты внутреннего расследования и сведения о виновных.
С 30 мая 2025 года размер штрафа зависит от масштаба утечки. Если пострадали тысячи человек, компании грозят миллионы рублей. Если утечка повторная, штраф считают от выручки — от 1 до 3% за предыдущий год, но не меньше 20 и не больше 500 миллионов рублей. Отдельно наказывается утечка специальных категорий данных и биометрии.
Смягчить штраф можно: закон учитывает, вкладывалась ли компания в защиту информации и не нарушала ли требования раньше. Поэтому документы о мерах защиты стоит держать в порядке ещё до инцидента.
Уголовная ответственность
В Уголовном кодексе с декабря 2024 года есть статья 272.1 о незаконном использовании, передаче, сборе и хранении компьютерной информации, содержащей персональные данные. Она направлена прежде всего против торговли базами и «пробивов», но под неё может попасть и сотрудник, который выгрузил клиентскую базу при увольнении.
Что проверить у себя прямо сейчас
- Формы на сайте: есть ли отдельный чекбокс согласия и ссылка на отдельный документ.
- Политику обработки персональных данных: опубликована ли она на сайте и соответствует ли реальной практике.
- Уведомление в Роскомнадзоре: подано ли оно и актуальны ли сведения.
- Согласия сотрудников: не включены ли они в трудовой договор.
- Доступы: кто из работников видит клиентскую базу и фиксируется ли это.
- Порядок действий при утечке: кто и в какие сроки сообщает регулятору.
Для граждан
У обычного человека тоже прибавилось возможностей. Можно отозвать согласие, потребовать удалить свои данные, а если компания распространила их без разрешения — пожаловаться в Роскомнадзор и потребовать в суде компенсацию морального вреда.
Когда нужен юрист
Если пришла проверка Роскомнадзора, произошла утечка или вы запускаете сайт, CRM либо рассылку и хотите сразу сделать всё по закону, юрист подготовит пакет документов, проверит формы и поможет выстроить порядок реагирования на инциденты.
Юридическая компания «Центурион» (Челябинск, ул. Труда, 176). Готовим документы по персональным данным и защищаем бизнес при проверках. Телефон: +7 (922) 735-62-01. Подробнее: IT-право.
