Работа с персональными данными в 2025 году: какие документы, что требует РКН, новые штрафы + чек-лист

Представляем: подробная инструкция по работе с персональными данными. В ней рассмотрим следующие аспекты:

А для начала – немного «ужасов» в подтверждение серьезности темы.

Новые штрафы за нарушение работы с ПД

С 30 мая 2025 г. нарушение работы с персональными данными приведет к плачевным последствиям. Так, по ч. 1 ст. 13.11 КоАП (в ред. от 30.11.2024 № 420-ФЗ) за обработку ПД в случаях, не установленных законом, или в целях, несовместимых с целями сбора ПД, оператор персональных данных – юрлицо может получить штраф до 300 000 руб. Причем при повторном таком нарушении ИП будет отвечать не как должностное лицо, а как фирма, а штраф для фирмы – до 500 000 руб.

И это только один, привычный состав, а Федеральный закон от 30.11.2024 № 420-ФЗ ввел в КоАП новые. Например, санкции за:

Есть санкции и за другое, причем в ряде случаев нельзя уплатить штрафы за работу с персональными данными с 50%-ной скидкой.

Теперь давайте разбираться, как работать с ПД так, чтобы не бояться штрафов.

Для кого вообще все эти правила работы с персональными данными?

Для всех – хотя, как показывают наблюдения, в зоне особо пристального внимания Роскомнадзора находится работа с персональными данными в 2025 году в сферах онлайн-торговли, HR, маркетинга, цифровых сервисов. Но, повторимся, безопасно нарушать правила работы с ПД не сможет никто.

Даже если вы работаете совершенно в другой сфере, но обрабатываете ПД, то вы оператор персональных данных. Этим термином обозначается любое лицо (неважно, частное или юридическое), которое самостоятельно или совместно с другими лицами организует работу с ПД и (или) обрабатывает их.

Каждый оператор ПД обязан:

Есть и другие обязанности, это лишь основные. Да, и кстати: персональные данные – это не то же самое, что паспортные данные, или, скажем, отпечатки пальцев, скан сетчатки и прочая экзотика.

Определились с понятиями – пора пошагово рассмотреть безопасный алгоритм действий.

Шаг 1. Уведомление в РКН. Кто и когда подает и что будет, если не подать

Любой оператор персональных данных должен до начала обработки ПД направить уведомление в Роскомнадзор (ч. 1 ст. 22 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», далее – Закон о ПД).

Подчеркнем ключевые моменты:

Можно не уведомлять РКН, если ваша организация вообще не применяет автоматизацию при обработке ПД (п. 8 ч. 2 ст. 22 Закона о ПД). Однако речь идет именно о том, чтобы вообще не применять цифровые инструменты.

Есть ли еще такие организации, которые ведут от руки, на бумаге, например, клиентские базы, в которых указаны Ф.И.О., номера телефонов, даты рождения, – авторам неизвестно.

Уведомление в РКН об обработке персональных данных составляется по утвержденной форме (прил. № 1 к приказу РКН от 28.10.2022 № 180). Там указывается следующее:

Последний пункт порождает особенно много вопросов, и наиболее популярный: какие меры безопасности указывать?

Отвечаем: закон прямо говорит лишь о том, что обработка ПД должна быть безопасной, т.е. оператор обязан обеспечить защиту ПД (ч. 1 ст. 19 Закона о ПД). Однако обязанности расписывать, как именно, нет.

Поэтому достаточно указать, например, что «Обеспечение безопасности персональных данных осуществляется в соответствии с Требованиями, утвержденными постановлением Правительства РФ от 01.11.2012 № 1119, с применением организационных и технических мер».

Уведомление подписывает руководитель. Получив уведомление, Роскомнадзор проверяет его и, если все в порядке, в течение 30 дней внесет организацию в реестр операторов ПД (ч. 4 ст. 22 Закона о ПД).

Уведомление в РКН об обработке персональных данных – это не то, что один раз подано и забыто. При изменении сведений, указанных в первоначальном уведомлении (категория ПД, способ хранения, цели обработки и т.п.), надо сообщать об этом снова. Срок – не позднее 15-го числа месяца, следующего за месяцем, в котором произошли изменения. Прекратили обрабатывать ПД – тоже надо уведомлять. Используйте спецформы приложений № 2 и № 3 к приказу Роскомнадзора от 28.10.2022 № 180 (далее – приказ № 180).

Например, вы решили обрабатывать ПД с новой целью – скажем, сообщать своим клиентам о расширении ассортимента оказываемых услуг. Значит, вы должны указать в уведомлении (составленном по форме, установленной прил. № 2 к приказу № 180):

И так – по каждой цели.

Особый случай – это уведомление о трансграничной передаче ПД. Он также требует представления отдельного уведомления в Роскомнадзор (ч. 3 ст. 12 Закона о ПД).

Трансграничная передача персональных данных: что важно знать

Команда BIZNESINALOGI

307

05.05.2025

Важная ремарка: использовать американские сервисы для обработки ПД россиян запрещено. Любая работа с персональными данными любых субъектов – работников, клиентов, вообще всех россиян – возможна исключительно с использованием ресурсов, находящихся на территории России, в т.ч. при сборе данных через интернет (ч. 5 ст. 18 Закона о ПД). К тому же США отсутствует в перечне иностранных государств, обеспечивающих адекватную защиту прав субъектов ПД (утв. приказом Роскомнадзора от 05.08.2022 № 128).

Кстати, штрафы за нарушения, связанные с трансграничной передачей ПД, очень велики – до 6 млн руб. (чч. 8, 9 ст. 13.11 КоАП).

Шаг 2. Разработать (при необходимости – опубликовать) документы по обработке ПД

Часто спрашивают, какие именно документы по обработке ПД должны быть в каждой организации. Однозначного ответа нет, но на практике издают следующие акты:

1. Положение о персональных данных. Не обязательно так его называть, главное, чтобы был ЛНА, а в нем – регламент решения всех вопросов обработки ПД, а по каждой цели – категории, перечень ПД, способы, сроки обработки и проч. (п. 2 ч. 1 ст. 18.1 Закона о ПД).

2. Политика обработки персональных данных или иной документ, который определяет политику в отношении обработки ПД (п. 2 ч. 1 ст. 18.1 Закона о ПД). Структуру и содержание установите на свое усмотрение, это допустимо (письмо Роскомнадзора от 19.10.2021 № 08-71063), но разумнее пользоваться рекомендациями самого РКН.

Политика обработки персональных данных должна быть опубликована так, чтобы каждый мог получить к ней доступ без условий, авторизаций и иных препятствий (ч. 2 ст. 18.1 Закона о ПД). Можно разместить ее на официальном сайте компании и (или, если интернет-представительства у вас нет) разместить на информационном стенде в офисе, зале обслуживания клиентов и т.п. Если ПД собираете через интернет (например, через форму на сайте), то обязательно надо разместить политику на странице сбора данных и обеспечить удобный доступ к ней (см. по этому вопросу письмо Роскомнадзора от 19.10.2021 № 08-71063).

Некоторые интересуются, в чем разница между политикой обработки ПД и положением об обработке ПД. В таблице приведены ключевые различия.

Таблица. Разница между политикой обработки ПД и положением о ПД

Если у вас есть политика, но она не опубликована, то штрафы могут достигать до 60 000 руб. (ч. 3 ст. 13.11 КоАП).

Какие документы РКН точно потребует при проверке

Грядет проверка работы с персональными данными – будьте готовы представить по требованию контролеров как минимум следующие документы:

По требованию контролеров надо быть готовым представить все эти документы – так вы подтвердите, что в организации правильно выстроена работа с персональными данными сотрудников, клиентов и иных лиц.

Также РКН при проверках требует представить результаты оценки вреда. Это мероприятие надо провести в рамках установленных требований (утв. приказом Роскомнадзора от 27.10.2022 № 178), поручив его ответственному лицу или комиссии. В итоге должна быть определена степень вреда, который может быть причинен при нарушении организацией Закона о ПД, – высокая, средняя или низкая. Различия показаны в таблице.

Таблица. Возможные последствия нарушения работы с ПД (степень вреда)

Если нет уверенности в том, какой именно вред может быть причинен, выбирайте более высокую степень (пп. 2, 6 требований). По результатам составьте акт за подписями тех, кто проводил оценку (пп. 3–5 требований), и именно этот акт надо будет представить проверяющим из РКН. Еще несколько замечаний практического характера, которые помогут избежать претензий:

1. Проследите за единообразием формулировок. Они должны быть одинаковыми как в приказе о назначении лица, ответственного за работу с ПД, так и в трудовом договоре и (или) должностной инструкции.
2. Разработайте и утвердите алгоритм устранения последствий утечек ПД – это может быть составляющая политики в отношении ПД или же отдельный документ.
3. Помимо перечня сотрудников, которые имеют доступ к ПД, желательно утвердить и список сотрудников, имеющих доступ к информационным системам, с помощью которых обрабатывают ПД (п. «в» ч. 13 требований, утв. постановлением Правительства от 01.11.2012 № 1119).
4. Подготовьте описания помещений, в которых обрабатываются ПД (адрес, номер помещения, отметки о пропускном режиме, условия хранения бумажных носителей ПД, меры, принятые для ограничения доступа посторонних, и т.п.).
5. Согласия на обработку ПД должны быть свежими, информация в них – актуальной. Разумеется, каждое согласие на обработку персональных данных должно быть собственноручно подписано!
6. Если ведете личные дела сотрудников, то подготовьте на каждое справку о составе документов, входящих в него.
7. Ведите журналы, в которых работники должны расписываться в ознакомлении со всеми документами, касающимися обработки ПД.
8. Проводите инструктажи по работе с ПД и фиксируйте их результаты.
9. Храните документы, касающиеся уничтожения ПД после того, как достигнуты цели их обработки. Это не только регламент, устанавливающий порядок уничтожения ПД, но и акты уничтожения – как материальных носителей ПД, так и выгрузки цифровых версий.

Шаг 3. Корректно обрабатывайте ПД

Человек, назначенный ответственным за работу с ПД, должен:

Все действия, которые совершаются с ПД, должны соответствовать следующим принципам (ст. 5 Закона о ПД):

Это не пустые слова, а обязательные принципы. Порядок работы с персональными данными, который не соответствует им, будет считаться незаконным.

Помните о том, что обработка ПД допустима лишь в целях, оправданных ситуацией (ч. 1 ст. 6 Закона о ПД), например:

В подавляющем большинстве случаев обработка ПД возможна лишь с согласия субъекта (п. 1 ч. 1 ст. 6, 9, 10.1 Закона о ПД).

Как правило, согласие отбирается в письменном виде, а в ряде случаев это обязательная форма. Например, при обработке биометрических ПД, данных о семейном положении, здоровье и т.д. (ч. 4 ст. 9 Закона о ПД). В согласии должны быть (пп. 1–9 ч. 4 ст. 9 Закона о ПД):

Согласие на распространение ПД оформляется отдельно от других видов согласий (ч. 1 ст. 10.1 Закона о ПД), его можно получить через сайт, электронную форму или бумажный бланк. Требования к такому согласию утверждены приказом Роскомнадзора от 24.02.2021 № 18.

Если закон обязывает получать ПД или согласие на их обработку, то необходимо разъяснять субъекту последствия отказа. Например, что без согласия нельзя будет заключить договор или начать сотрудничество (ч. 2 ст. 18 Закона о ПД).

Запрашивая согласие, надо перечислить все действия, которые будут производиться с ПД, а именно:

Чтобы на 100% быть уверенным в том, что в организации соблюдаются правила работы с персональными данными, разумно регулярно осуществлять внутренний контроль или проводить аудит работы с ПД (ч. 1 ст. 18.1 Закона о ПД). Разница в том, что внутренний контроль проводят силами собственных сотрудников, а аудит доверяют независимым экспертам.

Шаг 4. Бережно храните ПД

Помните о том, что ПД нельзя хранить бесконечно. Хранить их можно не дольше, чем того требуют цели обработки (ч. 7 ст. 5 Закона о ПД), указанные в:

Если срок нигде не указан, то оператор персональных данных должен определить его самостоятельно, учитывая характер деятельности и цели использования ПД.

Оператор ПД обязан защищать данные от:

Для этого принимать все меры:

Произошла утечка персональных данных

Утечка персональных данных – это не просто техническая проблема, а юридический инцидент, который нужно задокументировать и о котором надо сообщить в Роскомнадзор. Соблюдайте правила, прописанные в ч. 3.1 ст. 21 Закона о ПД, и порядок, утвержденный приказом РКН от 14.11.2022 № 187.

Узнали об утечке и (или) неправомерной передаче – немедленно направьте в Роскомнадзор первичное уведомление, которое должно содержать:

В течение 72 часов надо подготовить дополнительное уведомление, в котором следует отразить:

Проще всего задействовать для уведомлений Госуслуги. Достаточно авторизоваться через ЕСИА, заполнить специальную форму, подписать документ УКЭП. При необходимости Роскомнадзор может запросить недостающие данные в течение трех рабочих дней, а чтобы дать ответ ведомству, у вас есть три рабочих дня.

Шаг 5. Предоставляйте ПД только уполномоченным лицам

Несколько слов о том, кому оператор персональных данных обязан предоставлять ПД. Прежде всего это, конечно, сам субъект ПД – физическое лицо. Оно вправе запросить у оператора информацию о себе, а оператор обязан предоставить ему эти сведения в течение 10 рабочих дней с момента обращения с возможностью продления на пять дней при наличии веских причин (чч. 1, 3 ст. 14 Закона о ПД). Третьи лица вправе потребовать предоставления ПД при наличии письменного согласия субъекта (ст. 7 Закона о ПД). Роскомнадзор тоже может затребовать ПД, ответ надо дать в такие же сроки (ч. 4 ст. 20 Закона о ПД).

Без согласия субъекта ПД данные могут получить:

В Соцфонд работодатель также вправе передавать ПД сотрудников без получения их согласия.

Основное про защиту персональных данных для работодателя

Команда BIZNESINALOGI

626

18.04.2025

В банкротном процессе арбитражный управляющий вправе потребовать предоставить ему ПД руководителя, контрагентов (п. 1 ст. 20.3 Федерального закона от 26.10.2002 № 127-ФЗ). Финансовый управляющий также вправе потребовать и получить ПД гражданина в рамках банкротного процесса – данные о его имуществе, счетах и переводах, супруге (ПД других родственников может запросить лишь суд, п. 7 ст. 213.9 указ. Закона).

Шаг 6. Своевременно прекращайте обработку ПД

Представим: вы выяснили, что обрабатываете ПД клиента без его согласия. В таком случае надо это прекратить в течение трех рабочих дней (ч. 3 ст. 21 Закона о ПД).

Если у оператора нет возможности восстановить законность обработки ПД – например, получив согласие, – данные надо уничтожить в течение 10 рабочих дней с момента выявления нарушения (ч. 3 ст. 21 Закона о ПД). О том, что нарушения устранены или данные уничтожены, надо уведомить субъекта ПД и (или) Роскомнадзор, если поступило обращение от последнего.

Достигнута цель обработки ПД, отозвано согласие субъекта – необходимо в течение 30 дней прекратить обработку ПД (обеспечить прекращение) и уничтожить ПД (или обеспечить уничтожение) (ч. 4 ст. 21 Закона о ПД).

Шаг 7. Правильно уничтожайте ПД

Уничтожить значит сделать так, чтобы восстановление было невозможно, неважно, в информационной системе или на материальных носителях (п. 8 ст. 3 Закона о ПД).

Поручить это можно комиссии, созданной по приказу руководителя. По итогам составляется:

Это установлено пп. 1, 2 и 7 требований, утвержденных приказом Роскомнадзора от 28.10.2022 № 179. Формы актов можно разработать самостоятельно.

Красные зоны – 2025: на что РКН обращает особое внимание?

1. Уведомление РКН.

В подавляющем большинстве случаев оператор персональных данных обязан ДО начала обработки ПД подать уведомление в Роскомнадзор. Контролеры обязательно проверят:

2. Формулировки, наличие согласий на обработку ПД.

Проверяйте корректность формулировок, наличие, соответствие целям. Согласие на обработку персональных данных – один из самых частых пунктов претензий со стороны надзорного органа. На что обратить внимание:

3. Хранение данных россиян в России.

Это касается в т.ч. и облачного хранения. Если ваша CRM-система, сайт или ERP-система использует данные россиян, необходимо организовать хранение в России.

4. Правильные реакции на утечки.

В случае инцидента с утечкой персональных данных закон требует действовать быстро и четко:

5. Общедоступность политики обработки ПД.

Она должна быть общедоступна без логина и пароля, и ее содержание должно соответствовать реальной практике работы.

Эти пять направлений – основные болевые точки при взаимодействии с Роскомнадзором.

Часто задаваемые вопросы (FAQ)

Мы подготовили список для быстрой проверки того, все ли в вашей фирме благополучно с обработкой ПД. Если пункт выполнен, то ставьте галочку, нет – крестик. Есть крестики – следует это исправить.