Персональные данные в 2026: что должны делать компания и ИП, чтобы не попасть на штраф

Работа с персональными данными давно перестала быть IT-задачей. Сегодня это зона повышенной правовой ответственности: ошибки в обработке влекут не только крупные штрафы, но и приостановку деятельности, блокировку ресурсов, а в отдельных случаях — субсидиарную и уголовную ответственность руководителей. Разбираем, что должны делать компания и ИП в 2026 году, чтобы не попасть на штраф.

Что такое персональные данные

Практически каждая организация работает с персональными данными физлиц. Основные понятия и требования содержатся в Федеральном законе от 27.07.2006 № 152-ФЗ (ред. от 24.06.2025) «О персональных данных».

Оператор — государственный или муниципальный орган, юрлицо или физлицо, которые организуют и (или) осуществляют обработку персональных данных и определяют цели и состав обрабатываемых данных (п. 2 ст. 3 Закона № 152-ФЗ).

Обработка — любое действие с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление, уничтожение (п. 3 ст. 3 Закона № 152-ФЗ).

Конкретного перечня персональных данных закон не содержит — к ним может быть отнесена любая информация о гражданине, в частности:

• фамилия, имя, отчество; пол, возраст;
• образование, квалификация;
• контактная информация (адрес, номер телефона);
• семейное положение, наличие детей;
• факты биографии, финансовое положение;
• фотография, используемая для установления личности (письма Роскомнадзора от 10.02.2020 № 08АП-6782, Минцифры от 17.07.2020 № ОП-П24-070-19433).

Защита данных на бумажных носителях

Требования к защите бумажных носителей закон подробно не описывает. Ключевое требование — принимать необходимые правовые, организационные и технические меры для защиты данных работников от неправомерного использования или утраты (п. 7 ст. 86 ТК РФ, ч. 1 ст. 19 Закона № 152-ФЗ). На практике рекомендуется:

• хранить персональные данные на бумажных носителях в специальных помещениях, причём раздельно по целям обработки (п. 14 Положения об особенностях обработки ПДн без средств автоматизации);
• организовать особый режим доступа — утвердить перечень лиц, имеющих доступ в эти помещения (п. 13 того же Положения);
• организовать охрану помещений (сигнализация, металлические самозакрывающиеся двери, решётки на окнах).

Согласие на обработку персональных данных

Обработка данных производится преимущественно на основании согласия субъекта (п. 1 ч. 1 ст. 6 Закона № 152-ФЗ). Это одна из самых болезненных тем: штрафы Роскомнадзора, утечки информации и конфликты с работниками чаще всего возникают именно здесь.

Когда согласие не нужно

• работа СМИ и судопроизводство (со своей спецификой);
• обработка данных покупателей, клиентов, физлиц в рамках закона;
• когда субъект — сторона договора, выгодоприобретатель или поручитель (п. 5 ч. 1 ст. 6): инициируя договор, он фактически даёт согласие;
• при исполнении оператором функций и обязанностей, возложенных на него законодательством (п. 2 ч. 1 ст. 6).

Специальные категории данных

От специальной категории данных (ст. 10 № 152-ФЗ) — расовая и национальная принадлежность, подробности личной жизни, религиозные убеждения — лучше дистанцироваться: в большинстве случаев оператору такая информация не нужна. Исключение — данные о состоянии здоровья: работодателю они объективно нужны в рамках трудовых отношений. Биометрические данные (ст. 11) обрабатываются в основном по согласию.

Виды согласий и требования к ним

Закон № 152-ФЗ выделяет три категории согласий, и все они так или иначе письменные:

• Согласие субъекта (ч. 1 ст. 9 Закона № 152-ФЗ).
• Согласие на обработку данных, разрешённых субъектом к распространению — оформляется обязательно отдельно (ч. 1 ст. 10.1).
• Согласие в письменной форме (ч. 4 ст. 9).

Согласие должно быть конкретным, информированным, предметным и однозначным. В нём нужно указать, какие именно данные обрабатываются и что именно с ними делается (ч. 4 ст. 9). Оформить можно в письменном или электронном виде — в том числе проставлением отметки об ознакомлении.

Штрафы за нарушения с согласием

Штрафует Роскомнадзор, срок давности — один год (ст. 4.5 КоАП). Длящееся нарушение отсчитывается с момента обнаружения.

Локальные акты оператора

Это базис вашей деятельности в области персональных данных. Сначала организация должна назначить ответственного за работу с ПДн (п. 1 ч. 1 ст. 18.1, ч. 1 ст. 22.1) — приказом. Он отвечает за коммуникацию с Роскомнадзором и другими операторами, инструктаж сотрудников и разработку локальных актов.

Организация обязана иметь политику обработки персональных данных и сделать её общедоступной (п. 2 ч. 1 ст. 18.1) — обычно её размещают на сайте, в соцсети или Telegram-канале. ИП эти две задачи не решают — закон их на них не возлагает.

А вот следующие задачи решают и компании, и ИП как операторы:

• ознакомить сотрудников с локальными актами по работе с ПДн (п. 6 ч. 1 ст. 18.1);
• получить согласие у субъектов (п. 2 ч. 1 ст. 6);
• обеспечить программную и аппаратную защиту данных (ч. 1 ст. 19), пользоваться только легальным ПО и средствами защиты;
• коммуницировать с Роскомнадзором, подавая уведомления (ч. 1 ст. 22);
• хранить базы данных с ПДн только на территории РФ (ч. 5 ст. 18);
• понимать сроки и порядок хранения и уничтожения данных (ч. 7 ст. 5).

Семь базовых локальных актов

За основу можно взять перечень из Письма Минкомсвязи России от 28.08.2020 № ЛБ-С-074-24059:

• политика оператора в отношении обработки персональных данных;
• положение об обработке персональных данных;
• положение о защите персональных данных;
• перечень должностей сотрудников, участвующих в обработке ПДн;
• приказ о назначении ответственного лица;
• приказ об утверждении мест хранения носителей ПДн;
• положение о внутреннем контроле и аудите (ч. 5 ст. 23.1).

Пять уведомлений в Роскомнадзор

• 1. О начале обработки. Подаётся до начала обработки, по-хорошему — в первые дни после регистрации бизнеса. Требуется и от организаций, и от ИП. Единственное исключение — обработка исключительно без средств автоматизации (п. 8 ч. 2 ст. 22). Штраф за неподачу или просрочку (ч. 10 ст. 13.11): до 300 000 ₽ для ИП и организаций, до 50 000 ₽ для должностных лиц НКО. Роскомнадзор обрабатывает уведомление до 30 дней.
• 2. Об изменении сведений. Если изменились данные из реестра (адрес, телефон, ответственное лицо) — до 15 числа месяца, следующего за месяцем изменений. Штраф по ст. 19.7 КоАП: 300–500 ₽ для ИП, 3 000–5 000 ₽ для организаций (срок давности 90 дней).
• 3. О прекращении обработки. При ликвидации или реорганизации — в течение 10 рабочих дней. Штраф такой же, как по п. 2.
• 4. Об утечке. Если нарушены правила обработки и это могло привести к нарушению прав субъектов — в течение 24 часов после получения информации (п. 1 ч. 3.1 ст. 21). Штраф за неподачу (ч. 11 ст. 13.11): от 1 до 3 млн ₽ для организаций и ИП, до 800 000 ₽ для должностных лиц НКО.
• 5. О результатах расследования. В течение 72 часов после обнаружения утечки нужно сообщить о результатах внутреннего расследования (п. 2 ч. 3.1 ст. 21). Главное — показать, что вы этим занимаетесь.

Практические ситуации

Личные дела в шкафу отдела кадров — этого достаточно?

Формально закон не требует сейфа, но требование «принимать необходимые меры защиты» (ч. 1 ст. 19) действует. Чек-лист, который защитит при проверке:

Издайте внутренний приказ, утвердив место хранения, перечень сотрудников с доступом и порядок выдачи документов. Это покажет проверяющим, что вы осознанно организуете защиту. Штраф по ч. 1 ст. 13.11 КоАП за недостаточные меры — до 100 000 ₽ для должностных лиц.

Собираем у покупателей только имя и телефон — нам тоже всё это нужно?

• Уведомление в Роскомнадзор нужно, если данные обрабатываются с использованием средств автоматизации (сайт, CRM, 1С, даже Excel). Не нужно, только если вся обработка идёт вручную в бумажном блокноте (п. 8 ч. 2 ст. 22). На практике 99% магазинов используют хотя бы мессенджер или таблицу — значит, уведомлять обязаны.
• Согласие. Для исполнения договора купли-продажи отдельное согласие не нужно (п. 5 ч. 1 ст. 6). Но если телефон используется для рассылок, маркетинга или передачи партнёрам — нужно отдельное информированное согласие, с 01.09.2025 — отдельным документом.

Что сделать сейчас: подать уведомление в Роскомнадзор, разместить на сайте политику конфиденциальности, добавить в форму заказа чекбокс со ссылкой на отдельный документ согласия и не использовать данные для других целей без нового согласия.

Сотрудник с доступом к базе клиентов уволился — что сделать в первый день?

• Немедленно отозвать доступ к базам, почте, CRM, облачным хранилищам (ч. 1 ст. 19).
• Зафиксировать факт отзыва доступа (служебная записка, акт, лог системы).
• Проверить, не выгружал ли сотрудник базы перед уходом (ч. 3.1 ст. 21).
• Внести изменения в «Перечень лиц, допущенных к ПДн» (п. 13 Положения).
• Заблокировать электронные подписи и учётные записи.

Если обнаружите, что сотрудник скопировал базу: в течение 24 часов уведомьте Роскомнадзор, начните расследование, в течение 72 часов направьте отчёт, а при признаках кибератаки — уведомьте ФСБ через ГосСОПКА. На будущее — включите в трудовой договор и положение о защите ПДн обязанность сотрудника при увольнении сдать носители и подтвердить отзыв доступов под роспись.

Вывод

У оператора персональных данных много обязанностей: назначить ответственного, разработать и опубликовать локальные акты, получить корректные согласия, обеспечить защиту данных и вовремя подавать уведомления в Роскомнадзор и ФСБ. Штрафы в 2026 году доходят до 3 млн рублей, а нарушения часто оказываются длящимися.

Специалисты EFSOL помогут привести работу с персональными данными в соответствие закону — от уведомления и регистрации в Роскомнадзоре до разработки локальных актов в рамках юридического сопровождения бизнеса.