Что бизнесу нужно знать о 152-ФЗ: документы, согласия, проверки Роскомнадзора, штрафы и требования к защите данных.
Если вы собираете заявки с сайта, принимаете сотрудников или ведете клиентскую базу, вы уже работаете с персональными данными. А значит - обязаны соблюдать требования 152-ФЗ. Даже ошибка в форме согласия или отсутствие внутренней инструкции может привести к штрафу. Разбираемся, какие данные подпадают под защиту, кто несет ответственность за обработку, какие документы должны быть в порядке и как избежать штрафов даже в случае внеплановой проверки Роскомнадзора.
Любая компания, которая работает с информацией о людях, по закону является _оператором персональных данных._ Использование CRM-системы, рассылка коммерческих предложений и прием сотрудников на работу автоматически накладывают обязательства по 152-ФЗ.Неправильное обращение с конфиденциальной информацией приводит к штрафам, судебным искам и подрывает доверие к бизнесу. В 2023 году крупная утечка данных произошла в МТС Банке.
Роскомнадзор подтвердил факт компрометации ПДн _около миллиона человек._ В сеть попали ФИО и номера телефонов клиентов, ИНН, даты рождения и частично номера банковских карт. Утечка такого масштаба создала серьезные риски для клиентов, поскольку информация могла быть использована злоумышленниками для организации фишинговых атак и мошеннических схем.
Какие данные закон относит к персональным - Общедоступные- ФИО, телефон, e-mail, профиль в социальной сети. - Биометрические - фотографии, отпечатки пальцев, записи с камер видеонаблюдения, генетическая информация. - Специальные - сведения о состоянии здоровья, национальной принадлежности, религиозных и политических убеждениях, судимости. - Иные- любая другая информация, которую компания самостоятельно классифицирует как персональную в своих внутренних регламентах. Важно! Закон признает персональными данными любую информацию, включая технические идентификаторы (IP, cookie), если с их помощью можно определить конкретного человека.
Это подтверждает судебная практика, включая решения Роскомнадзора.
Кто и как контролирует защиту ПДн Государство строго контролирует соблюдение законодательства о персональных данных через систему надзорных органов: - Роскомнадзор: проверяет, как компания получает согласия, публикует документы и организует процессы обработки сведений. - ФСТЭК:устанавливает требования технической защиты сведений и проверяет их выполнение, особенно для информационных систем. - ФСБ: участвует в проверках, когда вопрос касается использования криптографической защиты - средств шифрования информации и безопасности данных, связанных с государственной безопасностью. - Прокуратура: может инициировать проверку, если получит жалобу от гражданина на нарушение его прав.
Проверки проходят _по плану или внепланово_ - после жалобы клиента или утечки информации. Инспекторы запрашивают внутренние акты: политику конфиденциальности организации, приказы о возложении ответственности за обработку персональных сведений, документы классификации информационных систем и модель угроз. Пример ошибки: за отсутствие учетного журнала запросов субъектов ПДн инспектор выпишет штраф, поскольку это доказывает, что бизнес не исполняет требования закона о своевременном ответе на запросы граждан.
Какие документы по защите ПДн должны быть в компании Для соответствия нормам закона, организация должна разработать внутренние документы, наличие которых проверяет Роскомнадзор. - Политика обработки ПДн - главный документ, который описывает, как оператор собирает, хранит и использует данные. - Приказ о возложении ответственности за обработку персональных данных - без этого документа невозможно привлечь к ответственности конкретного специалиста. - Согласие на обработку ПДн- специальные формы для клиентов, сотрудников и партнеров, соответствующие требованиям закона. - Перечень обрабатываемых персональных данных - точный список того, какую информацию вы храните и обрабатываете. - Инструкция по работе с ПДндля сотрудников - правила, которые предотвращают случайные утечки по вине персонала. - Журнал обращений субъектов персональных данных - содержит запросы от граждан на доступ, исправление или удаление их данных. - Акт классификации систем, в которых обрабатываются персональные сведения - устанавливает уровень защищенности ваших баз данных. Пример ошибки: сеть медицинских клиник не обновила бланки согласий на обработку данных о здоровье пациентов.
Во время проверки Роскомнадзор оштрафовал компанию _на 75 000 рублей,_ так как старые формы не содержали всех требований закона. Исправление заняло месяц и потребовало переподписать документы у тысяч клиентов.
Законодательство обязывает бизнес не только хранить данные, но и уметь доказать это. За несоблюдение - до 500 млн рублей штрафа. Ниже - ключевые обязанности бизнеса согласно закону.
Для каждой цели обработки данных необходимо получать отдельное согласие. Убедитесь, что документ содержит полный перечень действий с информацией, сроки обработки и ФИО оператора. С 2025 года ужесточились требования _к электронному согласию_- для его оформления оператор ПДн должен использовать усиленную квалифицированную ЭЦП.
Политика конфиденциальности на сайте показывает клиенту, что его данные под контролем - это снижает отказ при оформлении заявки. Документ должен четко описывать, какие данные вы собираете, как храните и кому передаете.
Издайте соответствующий приказ, поручив конкретному сотруднику следить за выполнением требований законодательства. Ответственный будет следить за изменениями в законе и вовремя обновлять документы - это поможет избежать штрафов.
Вы можете подать уведомление в Роскомнадзор тремя способами: онлайн через официальный портал, через Госуслуги или традиционным бумажным способом - _до начала фактической работы с данными._Исключение составляют случаи, указанные в ст. 22 152-ФЗ (например, обработка данных только трудовых отношений).
С помощью модели угроз вы поймете, где именно может произойти утечка - чтобы вовремя закрыть уязвимости, пока не пострадали клиенты. Установите правила разграничения доступа персонала к информации и используйте технические средства защиты. Поправки в 152-ФЗ, действующие с 1 сентября 2025 года, меняют подход к трансграничной передаче и обработке отдельных категорий данных: - _Новые правила трансграничной передачи данных_ - компании могут передавать сведения в страны ЕАЭС по упрощенной процедуре.
Для передачи в другие страны нужно либо получить согласие Роскомнадзора, либо обеспечить адекватный уровень защиты в государстве-получателе (то есть доказать, что права субъектов данных будут защищены в иностранном государстве не хуже, чем в России). - _Уточнение статуса биометрических данных_ - теперь обрабатывать биометрию можно только после получения письменного согласия человека. Исключение - случаи, когда данные обрабатывают в рамках оказания госуслуг или в целях пропускного режима.
Например, для использования лиц в Единой биометрической системе потребуется отдельное письменное согласие. - _Расширение прав субъектов ПДн_ - граждане получили право отзывать согласие на обработку данных через портал госуслуг. Если не удалить данные по запросу клиента в 30-дневный срок, можно получить штраф или жалобу в прокуратуру.
С 2025 года законодатель усилил ответственность за нарушение норм по защите ПДн. Кроме фиксированных санкций, за повторные утечки введены оборотные штрафы, которые могут достигать 500 миллионов рублей. Также Роскомнадзор может полностью блокировать сайт нарушителя. Яркий пример - блокировка социальной сети LinkedIn в России за систематическое несоблюдение требований по локализации ПДн. Сравним штрафы за несоблюдение требований ФЗ-152:
| Нарушение | Размер штрафа для юрлиц |
|---|---|
| Обработка данных без согласия | 150 000-300 000 руб. |
| Неисполнение предписаний по локализации данных | 1 000 000-6 000 000 руб. |
| Неуведомление Роскомнадзора об утечке (новый состав) | 1 000 000-3 000 000 руб. |
| Утечка данных более 100 000 субъектов (новый состав) | 10 000 000-15 000 000 руб. |
| Утечка биометрических данных (новый состав) | 15 000 000-20 000 000 руб. |
| Повторная утечка данных (любой категории) | 1-3% годового объема выручки (диапазон от 20-25 млн руб. до 500 млн руб.) |
Затраты на реализацию системы защиты многократно ниже, чем размеры потенциальных штрафов и репутационных потерь от единичной утечки. Мы подготовили конкретный план, который вы можете реализовать в своей компании.
Составьте точный перечень всей информации, которую обрабатываете. Определите, где хранятся данные: в CRM, на файловых серверах, в почте или облачных сервисах. Выявите, какие сотрудники имеют доступ к этим сведениям и на каком основании. Эта работа поможет вам понять реальный масштаб обработки и обнаружить уязвимые места.
Подготовьте пакет обязательных документов по защите ПДн, о которых мы писали выше. Обязательно разработайте инструкцию для специалистов, которые работают с конфиденциальной информацией постоянно.
Проверьте формы согласий на обработку данных: убедитесь, что они соответствуют требованиям закона, особенно те, что размещены на сайте компании. Для онлайн-сбора согласий используйте КЭП. Отдельно оформляйте согласие на обработку специальных категорий данных, таких как информация о здоровье.
Для обеспечения технической безопасности ПДн целесообразно привлечь интегратора с опытом работы в сфере ИБ. Так вы быстро получите необходимую экспертизу без расширения штата сотрудников. Специалисты помогут настроить разграничение прав доступа сотрудников согласно их должностным обязанностям, внедрить системы для контроля утечек информации (DLP) и средства шифрования данных.
При выборе подрядчика обращайте внимание на наличие у компании _лицензий ФСТЭК и ФСБ_, а также опыта успешной реализации подобных проектов.
Проведите обязательный инструктаж для всех, кто имеет доступ к ПДн. Объясните, как правильно обрабатывать информацию, создавать надежные пароли и распознавать фишинговые письма. Сотрудники должны оперативно реагировать на подозрительные ситуации и сообщать о возможных инцидентах.
Если все документы собраны заранее, вы быстро пройдете проверку и избежите приостановки работы сайта или отдела. У вас должен быть утвержденный порядок действий на случай внеплановой проверки. Назначьте сотрудника, который будет взаимодействовать с проверяющими и предоставлять необходимые документы. Если процессы меняются, а документы остаются старыми - при проверке это повод для штрафа.
Обновляйте их заранее. Эти простые шаги помогут вам создать устойчивуюсистему защиты информации, отвечающую всем правовым требованиям и снижающую бизнес-риски.
Задача:13 школ и лицеев должны были подключиться к федеральной информационной системе _(ФИС ФРДО)_, но не имели действующей системы защиты ПДн, что делало передачу информации незаконной. Решение: подрядчик установил и настроил сертифицированные средства защиты (СИЗ) - _Secret Net Studio и ViPNet Client,_ а также разработал полный пакет обязательных документов и оценил эффективность реализованных мер. Результаты: - Учебные заведения привели обработку информации в строгое соответствие с нормами закона о ПДн. - Обеспечили безопасную передачу сведений в ФИС ФРДО без риска штрафов. - Получили официальное заключение о эффективности мер защиты, действующее 3 года.
Крупная розничная сеть "Вектор-Ритейл" столкнулась с рисками потери данных клиентов (номера карт, истории покупок) и сотрудников.
Компания решила проактивно внедрить комплексную систему защиты до проверки Роскомнадзора. Задача: защитить персональную информацию, чтобы предотвратить компрометации данных и избежать крупных штрафов, а также сохранить деловую репутацию. Решение: команда экспертов внедрила многоуровневую систему безопасности ПДн, следуя четкому плану: - Выявили цели.
Определили, что критически важно защитить данные онлайн-платежей и персональные кабинеты покупателей. - Определили недопустимые события. Запретили передачу нешифрованных баз данных по электронной почте и доступ к ним сотрудников без служебной необходимости. - Подготовили стратегию. Разработали регламенты, которые разграничили доступ к данным для кадровой службы, отдела маркетинга и бухгалтерии. - Интегрировали защиту в процессы.
За 2 недели внедрили DLP-систему для контроля утечек, настроили шифрование каналов передачи данных и обновили правила доступа к CRM и системам хранения документов. Результаты: - Снизили количество попыток несанкционированного доступа к данным на 95%. - Сократили время обнаружения потенциальных инцидентов с нескольких недель до 1 часа. - Обеспечили полное соответствие рабочих процессов требованиям 152-ФЗ и избежали штрафов при плановой проверке.
Инвестиции в защиту персональных данных часто рассматривают только как статью расходов для выполнения требований закона.
Однако надежная система безопасности становится мощным инструментом маркетинга и повышает капитализацию компании. Исследования подтверждают: бренды, которые прозрачно управляют клиентскими данными, увеличивают лояльность и привлекают больше клиентов, готовых платить за доверие.
Как защита ПДн увеличивает стоимость бизнеса: - Привлечение инвесторов и покупателей - серьезные инвесторы и юридические службы проводят проверку компании перед сделкой, где тщательно изучают соблюдение законодательства о персональных данных.
Если с персональными данными порядок, сделку одобряют быстрее и на лучших условиях. - Снижение стоимости страхования киберрисков - страховые компании назначают более низкие тарифы на киберстрахование тем организациям, которые могут подтвердить внедрение сертифицированных средств защиты и наличие необходимых организационных мер. - Повышение конверсии в продажах - когда клиенты видят на сайте не формальную, а подробную и понятную политику конфиденциальности, которая объясняет, как защищают их данные, они чаще оформляют заказы и делятся контактами. - Снижение операционных затрат - когда вы с первого раза правильно выстраиваете процессы работы с ПДн, вам не нужно бесконечно корректировать документы, экстренно исправлять ошибки и отвлекать сотрудников на внеплановые исправления.
Вы тратите меньше ресурсов на администрирование, а ваши специалисты концентрируются на основных задачах, а не на устранении последствий хаотичного управления данными. - Ускорение выхода на международные рынки - наличие работающей системы защиты ПДн, соответствующей российским стандартам, становится надежной основой для адаптации к требованиям GDPR или другим иностранным нормам, что экономит месяцы работы и сотни тысяч рублей на старте экспансии.
Интересно, что компании, которые _публично сообщают об инцидентах с утечкой информации и прозрачно исправляют ошибки_, в долгосрочной перспективе часто укрепляют репутацию. По оценкам экспертов, открытое управление рисками формирует у клиентов образ честного партнера, который готов нести ответственность. Защита персональных данных- это не сложнее, чем учет финансов или работа с кадрами.
Чтобы не получить штраф и не потерять данные клиентов, важно вовремя навести порядок: определить, какую информацию вы собираете, кто к ней имеет доступ и какие документы нужно оформить. Проверки идут по всей стране, и Роскомнадзор запрашивает конкретные данные - лучше быть готовыми заранее.
