Чем грозит несоблюдение требований в сфере защиты персональных данных?
Защита персональных данных — критический вопрос цифровой безопасности. В условиях глобальной цифровизации утечки персональных данных компрометируют личную жизнь, разрушают деловую репутацию и ведут к серьезным юридическим последствиям для бизнеса.
Федеральный закон № 152-ФЗ «О персональных данных» (далее – Закон) устанавливает базовые правила сбора, хранения, использования и защиты таких сведений.
Закон определяет, какие сведения относятся к персональным данным, кто признается оператором, субъектом, как происходит обработка персональных данных, какие права есть у субъекта данных и другое.
Кодекс об административных правонарушениях Российской Федерации (далее – КоАП) устанавливает размеры штрафных санкций за нарушения Закона.
Персональные данные (далее – ПДн) – это любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу (субъекту персональных данных).
Оператор ПДн (далее – оператор) – это государственный орган или муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку ПДн, а также определяющие цели обработки ПДн, состав ПДн, подлежащих обработке, действия (операции), совершаемые с ПДн.
По сути, любой бизнес, который собирает данные клиентов, работников, контрагентов, посетителей сайта или соискателей, становится оператором ПДн и обязан соблюдать требования закона.
Субъект ПДн (далее – субъект) - по сути любое лицо с которым взаимодействует оператор (например, сотрудник, соискатель на должность, клиент, пользователь сайта).
Закон содержит четкое определение обработки ПДн, а именно, обработка - это действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с ПДн, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
Основным регулятором по защите прав субъектов ПДн является Роскомнадзор.
ПДн нельзя обрабатывать произвольно без уведомления Роскомнадзора: необходима определенная цель обработки, меры защиты и другое в соответствие с требованиями Закона; учитывая, что существуют персональные данные ограниченного доступа, к которым относятся личная, семейная, банковская, налоговая и иная охраняемая законом тайна, а также любые сведения с грифом конфиденциальности, содержащие персональные данные.
Законом установлено, что оператор обязан:
- до начала обработки ПДн уведомить Роскомнадзор о своем намерении осуществлять обработку ПДн;
- если в соответствии с Законом предоставление ПДн и (или) получение оператором согласия на обработку ПДн являются обязательными (такие случаи установлены Правительством Российской Федерации), оператор обязан разъяснить субъекту юридические последствия отказа предоставить его ПДн и (или) дать согласие на их обработку;
- при сборе ПДн предоставить субъекту по его просьбе информацию (подтверждение факта обработки ПДн оператором, правовые основания и цели обработки ПДн, цели и применяемые оператором способы обработки ПДн и др.);
- разработать, опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки ПДн, к сведениям о реализуемых требованиях к защите ПДн и др.
Оператор должен иметь внутренние документы, которые регламентируют порядок и условия обработки ПДн: политика в отношении обработки ПДн, формы согласий субъекта на обработку ПДн, локальные акты, регламенты доступа, порядок реагирования на инциденты и работу с запросами субъектов. Если компания собирает ПДн через сайт, отдельное внимание требуется cookies, аналитике, виджетам и трансграничной передаче, потому что именно здесь чаще всего возникают скрытые нарушения.
С 2025 года регулирование работы с ПНд стало заметно жестче: изменения затронули как сам Федеральный закон № 152-ФЗ, так и связанные с ним положения КоАП РФ, что привело к росту штрафных рисков. Одно из важных нововведений связано с правилами получения согласия субъекта на обработку ПДн: с 1 сентября 2025 года такое согласие должно оформляться как самостоятельный документ, а не «прятаться» внутри пользовательского соглашения, анкеты или иного текста. Для практики это принципиально: если согласие не выделено отдельно, его могут квалифицировать как отсутствие согласия, а это уже самостоятельное правонарушение.
К ключевым новеллам законодательства также необходимо отнести следующие: локализация персональных данных теперь возможна только на территории Российской Федерации; согласие на обработку персональных данных в 2026 году требуется брать от субъекта отдельным документом; усилен контроль за обработкой ПНд со стороны Роскомнадзора, изменена методология контрольных мероприятий и другие.
С 30 мая 2025 года штрафы для юридических лиц за непредоставление уведомления в Роскомнадзор о начале обработки персональных данных увеличены до 5000 рублей.
Отдельно ужесточились правила трансграничной передачи данных и использования зарубежных сервисов, что особенно важно для сайтов с аналитикой, облачными решениями и иностранными виджетами. За нарушения таких правил штрафы для организаций и ИП могут быть очень значительными (до 2 млн. рублей), а при повторных нарушениях —кратно выше.
На практике самыми частыми нарушениями являются ошибочные рутинные действия бизнеса, например, сбор заявок на сайте при отсутствии политики обработки персональных данных, а также, следующие нарушения:
- форма на сайте содержит кнопку согласия на обработку ПДн, но согласие не выделено в отдельный документ, как этого требует Закон;
- компания передает данные исполнителю, но не оформляет это как поручение обработки или передачу на законном основании, в то время, как Законом это установлено;
- работодатель хранит копии документов дольше необходимого срока (срок хранения согласия на обработку ПДн установленный законодательством составляет 3 года после истечения срока действия документа);
- сервис оператора использует иностранную аналитику или облачное хранилище без учета специфики трансграничной передачи;
- произошла ненадлежащая обработка биометрических данных (к которым относятся сведения, характеризующие физиологические и биологические особенности человека, на основании которых можно установить его личность) в связи с несоблюдением требований к материальным носителям, на которых указанные ПДн хранятся и другие подобные нарушения.
Важно то, что по мнению Роскомнадзора указанные по-отдельности нарушения выглядят, как возможное системное несоблюдение Закона.
Для большей наглядности приведем примеры недавних резонансных нарушений бигтехами. Так, например, ПАО «Мегафон» получил штраф 500 000 рублей за рассылку абонентам СМС с предложением кредита - без согласия на то последних. Также, OZON получил предписание и штраф 500 000 рублей, поскольку в оферте, размещенной при регистрации на маркетплейсе было проставлено автоматическое согласие на рекламу.
Как же юридическому лицу снизить риск привлечения к административной ответственности?
В первую очередь, необходимо разработать базовые документы, такие как:
• политика обработки персональных данных;
• положение об обработке персональных данных;
• форма согласия на обработку персональных данных;
• приказ о назначении ответственного за персональных данных;
• регламент доступа сотрудников к ПДн;
• порядок хранения и удаления персональных данных;
• формы документы по передаче данных подрядчикам;
• уведомление о начале обработки персональных данных в Роскомнадзор.
Номенклатура необходимого минимального пакета документов может быть расширена, если у компании много сотрудников, сложные IT-системы, несколько сайтов, колл-центры или подрядчики.
Комплаенс в сфере персональных данных — это не разовая «папка для проверки», а постоянный процесс. «Базовый минимум» для компании включает инвентаризацию потоков данных, актуализацию политики и согласий, проверку своевременного уведомления в Роскомнадзор, аудит подрядчиков и технических мер защиты. Отдельно стоит проверить сайт: формы, cookies-баннеры, аналитические скрипты, виджеты, чаты и интеграции с CRM системой.
Что грозит за нарушение Закона?
Основная и самая частая мера ответственности — административный штраф.
Вот наглядные примеры сумм, которых могут достигать штрафы:
- проставление оператором автоматического согласия субъекта -> штраф до 1 000 000 рублей (например, человек оформил карту лояльности – и вы считаете, что можно слать ему рекламу. Нельзя. Нужно отдельное согласие);
- согласие спрятано в договоре -> штраф до 1 000 000 рублей (вы вставили согласие на рекламу в условия покупки или заказа. Суды считают это нарушением — у человека должна быть реальная возможность отказаться.);
- нечитаемое согласие на рассылку -> штраф до 300 000 рублей (вы обрабатываете e-mail, телефон и имя клиента, чтобы направлять ему рассылки. Это обработка персональных данных — и нужно отдельное явное согласие);
- обработка несоответствующая цели -> штраф до 300 000 рублей (собрали e-mail для отправки чека — потом отправили туда рекламу. Нарушение. Данные можно использовать только в целях, для которых их собирали).
Подытоживая вышеизложенное можно сделать вывод, что сегодня персональные данные и связанные с их обработкой процессы являются целым минным полем для бизнеса, а поэтому можно рекомендовать для миминизации связанных с ними рисков разработать систему работы с персональными данными, привлекая для этого в сложных случаях специализированные юридические компании.
Автор: Станкович Данила, юрист АО «Реестр-Консалтинг»
