Согласие теперь должно существовать отдельно

С 1 сентября 2025 года часть 1 статьи 9 Закона № 152-ФЗ прямо требует оформлять согласие на обработку персональных данных отдельно от иной информации и документов, которые субъект подтверждает или подписывает. Изменение внесено Федеральным законом от 24 июня 2025 года № 156-ФЗ. Для бизнеса это означает, что согласие нельзя бездумно «прятать» внутри договора, пользовательского соглашения, анкеты или общего текста правил. Само по себе наличие фразы о согласии в большом документе уже не решает задачу. Нужно разделить юридические основания: где обработка необходима для исполнения договора или закона, а где оператор действительно опирается на согласие субъекта. И если согласие требуется, оно должно быть оформлено как самостоятельное волеизъявление.

Практический вывод особенно важен для сайтов и онлайн-сервисов: стоит отдельно проверить формы обратной связи, заявки на консультацию, подписки, личные кабинеты и маркетинговые формы. Один универсальный чекбокс «согласен со всем» — плохая модель не только с точки зрения доказуемости согласия, но и с точки зрения принципа конкретности целей обработки.

Локализация стала жёстче

С 1 июля 2025 года действует новая редакция части 5 статьи 18 Закона № 152-ФЗ, введённая Федеральным законом от 28 февраля 2025 года № 23-ФЗ. По общему правилу при сборе персональных данных граждан России, в том числе через интернет, не допускаются запись, систематизация, накопление, хранение, уточнение и извлечение этих данных с использованием баз данных, находящихся за пределами Российской Федерации. Закон сохраняет отдельные исключения, прямо названные в ст. 6 Закона № 152-ФЗ. На практике это требует проверки всей технологической цепочки. Недостаточно спросить у подрядчика: сервер в России?  Важно понимать, куда фактически попадают данные из формы на сайте, CRM, системы аналитики, облачного сервиса, службы рассылок и технических интеграций. Российская база и последующая передача информации иностранному получателю — разные юридические вопросы: локализация сама по себе не заменяет соблюдение правил трансграничной передачи.

Уведомление Роскомнадзора уже не формальность

Ст. 22 Закона № 152-ФЗ устанавливает общее правило: до начала обработки персональных данных оператор обязан уведомить Роскомнадзор. После изменений 2022 года прежний широкий перечень исключений был отменён. Сейчас без уведомления допускаются, в частности, обработка данных в отдельных государственных информационных системах, созданных для защиты безопасности государства и общественного порядка, а также обработка исключительно без использования средств автоматизации. Для большинства компаний и индивидуальных предпринимателей, которые используют сайт, электронную почту, CRM, облачные документы или иные автоматизированные инструменты, вопрос о включении в реестр операторов необходимо проверять отдельно и очень внимательно. С 30 мая 2025 года за невыполнение или несвоевременное выполнение обязанности уведомить Роскомнадзор о намерении обрабатывать персональные данные действует специальная ответственность по ч. 10 ст. 13.11 КоАП РФ. Для юридических лиц штраф составляет от 100 000 до 300 000 рублей. Для составов, предусмотренных ч. 8-18 ст. 13.11 КоАП РФ, индивидуальные предприниматели несут ответственность как юридические лица. Не менее важно следить за актуальностью сведений в реестре. При изменении данных, указанных в уведомлении, оператор должен сообщить обо всех изменениях не позднее 15-го числа месяца, следующего за месяцем, в котором они произошли. О прекращении обработки нужно уведомить в течение десяти рабочих дней.

На инцидент с персональными данными есть 24 и 72 часа

Если произошла неправомерная или случайная передача, предоставление, распространение либо доступ к персональным данным, и это повлекло нарушение прав субъектов, ст. 21 Закона № 152-ФЗ требует уведомить Роскомнадзор. Первичное уведомление направляется в течение 24 часов: в нём указываются сведения об инциденте, предполагаемых причинах и вреде, принятых мерах и ответственном лице. В течение 72 часов передаются результаты внутреннего расследования и при наличии сведения о лицах, чьи действия стали причиной инцидента. Процедуру действий при инциденте нельзя проектировать уже после обнаружения утечки. К этому моменту должны быть заранее определены ответственные, источники журналов событий, порядок внутренней эскалации и канал взаимодействия с Роскомнадзором. Иначе значительная часть установленного законом срока уйдет не на расследование, а на организационные поиски.

Штрафы за утечки стали сопоставимы с серьёзным коммерческим риском

Федеральный закон от 30 ноября 2024 года № 420-ФЗ существенно изменил ст. 13.11 КоАП РФ. С 30 мая 2025 года непредставление или несвоевременное представление уведомления об инциденте может повлечь для юридического лица штраф от 1 000 000 до 3 000 000 рублей.

Отдельные составы предусмотрены за сам факт неправомерной передачи данных. Если утечка затронула от 1 000 до 10 000 субъектов или установленный законом объем идентификаторов, для юридического лица штраф составляет от 3 000 000 до 5 000 000 рублей, при более крупном масштабе — от 5 000 000 до 10 000 000 рублей и от 10 000 000 до 15 000 000 рублей. Для утечек специальных категорий персональных данных предусмотрен штраф от 10 000 000 до 15 000 000 рублей, биометрических — от 15 000 000 до 20 000 000 рублей. При повторных утечках применяется оборотный подход: для юридических лиц штраф может составить от одного до трёх процентов выручки за установленный законом период, при этом действуют минимальные и максимальные пределы. Для повторной утечки обычных персональных данных — не менее 20 миллионов и не более 500 миллионов рублей; для повторной утечки специальных категорий или биометрии — не менее 25 миллионов и не более 500 миллионов рублей.

Важно не смешивать административную и уголовную ответственность. С 11 декабря 2024 года в УК РФ действует ст. 272.1, предусматривающая ответственность за незаконные использование, передачу, сбор или хранение компьютерной информации с персональными данными, полученной неправомерным путем, а также за создание ресурсов для её незаконного хранения и распространения. В квалифицированных случаях санкция достигает десяти лет лишения свободы. Эта норма не превращает обычную ошибку в документах оператора в преступление, но показывает, насколько серьезно государство стало оценивать незаконный оборот массивов персональных данных.

Трансграничную передачу нужно проверять отдельно

Передача персональных данных иностранному государственному органу, иностранному физическому или юридическому лицу регулируется ст. 12 Закона № 152-ФЗ. До начала такой деятельности оператор обязан направить отдельное уведомление о намерении осуществлять трансграничную передачу — оно не заменяется обычным уведомлением об обработке персональных данных. До подачи уведомления оператор должен получить от иностранного получателя сведения о мерах защиты, условиях прекращения обработки и иные предусмотренные законом данные. Для государств, не включенных в перечень обеспечивающих адекватную защиту, действуют более жесткие условия начала передачи.

Федеральный закон от 26 июля 2026 года № 265-ФЗ уточнил критерии, по которым иностранные государства включаются в перечень обеспечивающих адекватную защиту прав субъектов персональных данных, и скорректировал отдельные положения ст. 12. Основная часть этих изменений вступила в силу со дня официального опубликования закона. Поэтому компаниям, использующим зарубежные сервисы, подрядчиков или инфраструктуру, имеет смысл повторно сверить страны и получателей с актуальным регулированием, даже если уведомление подавалось раньше.

Документы должны описывать реальную систему, а не существовать сами по себе

Ст. 18.1 Закона № 152-ФЗ требует от оператора не только формальной политики, но и комплекса организационных мер: назначения ответственного лица в организации, принятия локальных актов по целям обработки, категориям данных и субъектов, срокам хранения и порядку уничтожения, проведения внутреннего контроля, оценки возможного вреда и обучения работников, которые непосредственно обрабатывают персональные данные. Ст. 19 требует правовых, организационных и технических мер безопасности.

Если персональные данные собираются через интернет, политика оператора и сведения о реализуемых требованиях к защите должны быть доступны в соответствующей сети, в том числе на страницах сайта, через которые осуществляется сбор данных.

Одна из типичных ошибок — когда в политике указано одно, в уведомлении Роскомнадзора другое, а фактическая ИТ-схема выглядит третьим образом. Например, документ говорит только о клиентах, но компания хранит резюме соискателей; заявлено отсутствие трансграничной передачи, но форма сайта отправляет данные в иностранный сервис; срок хранения обозначен абстрактно, а процедуры удаления не существует. При проверке важна именно согласованность всех уровней.

Что нужно проверить у оператора обработки персональных данных в первую очередь

Минимальный практический аудит в 2026 году я бы строила так:

• составить реестр всех процессов обработки и целей;

• проверить правовое основание по каждой цели;

• убрать избыточные поля и данные;

• сверить наличие и содержание уведомления Роскомнадзора;

• отделить согласия от договоров и иных документов; проверить локализацию и иностранные сервисы;

• актуализировать договоры с обработчиками и подрядчиками;

• убедиться, что на сайте опубликована действующая политика;

• определить сроки хранения и реальную процедуру уничтожения;

• проверить права доступа, технические меры и порядок реагирования на инциденты.

Отдельное внимание необходимо уделять работе с потребителями. П. 4 ст.  16 Закона РФ «О защите прав потребителей» запрещает отказывать гражданину в заключении, исполнении, изменении или расторжении договора только потому, что он не согласился предоставить персональные данные, если такие данные не обязательны по закону и не нужны непосредственно для исполнения договора. В 2026 году Роспотребнадзор отдельно указал на необходимость исключать практики, при которых у потребителя требуют объём данных, превышающий минимально необходимый.

Главный вывод

В 2026 году комплаенс в сфере персональных данных — это уже не набор файлов с правильными названиями, это управляемый процесс, в котором юрист, ИТ-специалист, маркетинг, HR и руководитель должны одинаково понимать, какие данные компания получает, и что с ними происходит дальше. Новые штрафы сделали последствия ошибок заметнее, но начинать проверку стоит не со страха перед санкциями. Главный принцип проще: оператор должен уметь объяснить путь каждой категории данных — зачем она нужна, на каком основании получена, где хранится, кто к ней имеет доступ, кому она передается и когда будет удалена. Если на любой из этих вопросов нет точного ответа, именно там обычно и находится зона юридического риска.

Нормативная база, проверенная по состоянию на 9 сентября 2026 года

1. Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» (ред. от 26.07.2026).

2. Федеральный закон от 28.02.2025 № 23-ФЗ «О внесении изменений в Федеральный закон «О персональных данных» и отдельные законодательные акты Российской Федерации».

3. Федеральный закон от 24.06.2025 № 156-ФЗ «О создании многофункционального сервиса обмена информацией и о внесении изменений в отдельные законодательные акты Российской Федерации».

4. Федеральный закон от 30.11.2024 № 420-ФЗ «О внесении изменений в Кодекс Российской Федерации об административных правонарушениях».

5. Федеральный закон от 30.11.2024 № 421-ФЗ «О внесении изменений в Уголовный кодекс Российской Федерации».

6. Федеральный закон от 26.07.2026 № 265-ФЗ «О внесении изменений в ст. 12 Федерального закона «О персональных данных» и отдельные законодательные акты Российской Федерации».

7. КоАП РФ, статья 13.11 (ред. по состоянию на 09.09.2026 года).

8. УК РФ, статья 272.1 (ред. по состоянию на 09.09.2026).

9. Закон РФ от 07.02.1992 № 2300-1 «О защите прав потребителей», статья 16.

Руководство по соблюдению обязательных требований при осуществлении федерального государственного контроля (надзора) в области защиты прав потребителей, утв. Роспотребнадзором 02.03.2026 года.