152-ФЗ и персональные данные: что обязан бизнес
Почти каждый бизнес — оператор ПДн. Уведомление в Роскомнадзор, политика на сайте, а с 2025 года — резко выросшие штрафы и оборотные за утечки.
Коротко
- Почти любой бизнес — оператор персональных данных: обрабатывает персональные данные клиентов и работников.
- Статья 22 требует подать уведомление об обработке персональных данных в Роскомнадзор.
- С 30 мая 2025 года штрафы по 152-ФЗ выросли, за утечки — оборотные.
Федеральный закон от 27 июля 2006 года № 152-ФЗ «О персональных данных» касается почти каждой компании и ИП: он задаёт принципы и условия обработки, обязанности оператора и права субъекта. Ниже — обязанности оператора по Федеральному закону и практический минимум для бизнеса.
Оператор и субъект персональных данных
Оператор по статье 3 Федерального закона — лицо, которое организует обработку персональных данных и определяет её цели. Субъект персональных данных — человек, к которому относятся сведения; его права закреплены статьями 14-17 Федерального закона. Под определение попадает почти весь бизнес:
- персональные данные работников: паспорт, СНИЛС, зарплата, кадровые документы;
- персональные данные клиентов: имя, телефон;
- персональные данные с сайта: формы заявок.
Что обязан сделать оператор персональных данных
- Подать уведомление об обработке персональных данных в уполномоченный орган по защите прав субъектов персональных данных — через сайт pd.rkn.gov.ru или на бумаге. Обязанность установлена статьёй 22 Федерального закона.
- Разработать политику обработки персональных данных и опубликовать её на сайте: статья 18.1 требует открытого доступа к документу.
- Получать согласие субъекта на обработку персональных данных по статье 9 там, где условия статьи 6 не разрешают обработку без него.
- Назначить ответственного по статье 22.1 за организацию обработки персональных данных и определить, у кого из работников есть доступ к сведениям.
- Обеспечить безопасность данных по статье 19 — организационные и технические меры защиты от неправомерного доступа; обеспечение защиты входит в обязанности оператора.
- Хранить данные граждан Российской Федерации на серверах в России — требование о локализации баз из статьи 18.
- Уничтожить персональные данные по статье 21 при достижении цели обработки или отзыве согласия субъекта и зафиксировать уничтожение актом.
Штрафы выросли кратно. С 30 мая 2025 года ответственность по 152-ФЗ значительно ужесточена. За отсутствие уведомления и нарушения при обработке персональных данных санкции для организаций выросли, а за утечку введены оборотные штрафы — процент от годовой выручки. Ответственность за нарушение установлена статьёй 13.11 КоАП, а за незаконный сбор сведений о частной жизни предусмотрена и уголовная. Государственный контроль и надзор ведёт уполномоченный орган по защите прав субъектов персональных данных. Отдельно субъект вправе через суд взыскать моральный вред.
Общий минимум для оператора
- Подать уведомление об обработке персональных данных в Роскомнадзор через pd.rkn.gov.ru.
- Утвердить политику обработки персональных данных — документ на сайте.
- Собирать согласие субъекта персональных данных в формах заявок.
- Оформить согласия работников и кадровые документы.
- Назначить сотрудника, который отвечает за организацию обработки персональных данных.
- Выполнить требования к защите персональных данных, ограничить доступ в систему.
- Хранить базы с данными россиян на серверах в Российской Федерации.
- Уничтожать полученные сведения, когда цель обработки достигнута.
Санкции выросли. С 30 мая 2025 года штрафы по статье 13.11 КоАП выше прежних, а также введены оборотные штрафы за утечки — доля годовой выручки. Незаконный доступ к сведениям о частной жизни наказывает Уголовный кодекс, уголовное дело возбуждают при умысле. Моральный вред субъект взыскивает в суде: такие иски суды рассматривают.
Утечка персональных данных
Действия при утечке:
- уведомить Роскомнадзор об утечке — 24 часа;
- результаты расследования — 72 часа;
- устранить причину, ограничить доступ.
Государственный контроль и надзор ведёт Роскомнадзор. Сокрытие утечки ухудшает положение.
По теме: кадровые документы, публичная оферта, проверки бизнеса.
Нужно ли ИП подавать уведомление в Роскомнадзор?
Да. Обязанность из статьи 22 Федерального закона касается всех операторов персональных данных.
Какие штрафы по 152-ФЗ?
С 30 мая 2025 года они выросли: за утечки персональных данных введены оборотные штрафы.
Кто такой уполномоченный орган по защите прав субъектов персональных данных?
Роскомнадзор. Это государственный орган из статьи 23, он ведёт реестр.
Источники
- Федеральный закон от 27 июля 2006 года № 152-ФЗ «О персональных данных».
- Кодекс об административных правонарушениях, статья 13.11 (в редакции изменений с 30.05.2025).
- Требования Роскомнадзора к уведомлению об утечках персональных данных.
Материал не заменяет консультацию специалиста.