152-ФЗ — персональные данные в 2026 году
152‑ФЗ в 2026 году: что изменилось и как теперь работать с базами, чтобы не попасть на миллионные штрафы
Гайд для отдела продаж, маркетологов и собственников бизнеса
Почему это касается каждого, у кого есть клиентская база
Если у вас есть CRM‑система, вы ведете таблицу Excel с контактами клиентов, собираете заявки через сайт или просто записываете телефоны в блокнот — вы уже оператор персональных данных (ПДн). И закон 152‑ФЗ распространяется на вас в полном объеме.
В 2025 году вступила в силу целая серия поправок, которые кардинально изменили правила игры. Штрафы выросли в десятки раз, Роскомнадзор получил новые полномочия, а требования к работе с базами стали жестче, чем когда‑либо.
Для отдела продаж это означает: привычные способы сбора и хранения контактов могут обернуться штрафами от 300 тысяч до 15 миллионов рублей. Разбираемся по порядку, что изменилось и как теперь работать с базами, чтобы не нарваться на проверку.
Кто обязан соблюдать 152‑ФЗ (спойлер: почти все)
Согласно закону, оператор персональных данных — это любое лицо, которое самостоятельно или совместно с другими организует и осуществляет обработку ПДн, а также определяет цели обработки.
| Категория | Примеры |
|---|---|
| Юридические лица | ООО, АО любой формы и размера |
| Индивидуальные предприниматели | ИП с сотрудниками или без, но с клиентами |
| Самозанятые | Если деятельность связана с обработкой данных клиентов |
| Физические лица | Если обрабатывают данные в коммерческих целях |
Важно: Даже если вы просто выложили отзыв клиента с фото на сайте — вы оператор. Если заблюрили лицо и оставили только имя — уже нет (человека нельзя идентифицировать). Но лучше не рисковать.
Ключевые изменения 2025-2026 годов
1. Обязательная регистрация операторов
Раньше многие мелкие компании и ИП не регистрировались, надеясь, что Роскомнадзор их не найдет. Теперь это невозможно.
- Любая компания или ИП, собирающие или обрабатывающие ПДн, обязаны подать уведомление в Роскомнадзор и получить запись в реестре операторов.
- Это касается даже небольших интернет‑магазинов и тех, кто собирает контакты через формы на сайте.
Штрафы за отсутствие регистрации:
- Для должностных лиц — 30 000 — 50 000 ₽
- Для ИП и юридических лиц — 100 000 — 300 000 ₽
2. Локализация данных: только российские серверы
С 1 июля 2025 года вступила в силу часть 5 статьи 18 152‑ФЗ, которая запрещает запись, систематизацию, накопление и хранение персональных данных граждан РФ с использованием баз данных, находящихся за пределами России.
Что это значит на практике:
- Серверы (базы данных), на которых физически хранятся ПДн россиян, должны находиться на территории РФ.
- Использование иностранного ПО для первичного накопления и хранения (например, зарубежные CRM, облачные сервисы вроде Google Sheets, Trello, Notion) считается нарушением, если их серверы расположены за границей.
- Разрешено использовать иностранные сервисы, если они работают с уже локализованной в РФ базой данных через API (то есть данные хранятся в России, а сервис только обращается к ним).
Пример: Если вы ведете клиентскую базу в Google Sheets или Excel‑файле на Google Диске — это нарушение. Нужно переносить данные в российские системы (Яндекс.Диск, облачные CRM с серверами в РФ).
3. Отдельное согласие на обработку данных
С 1 сентября 2025 года вступили в силу важнейшие изменения в статье 9 закона.
- Как было: согласие на обработку ПДн часто «вшивали» в договор или пользовательское соглашение отдельным пунктом.
- Как стало: согласие должно оформляться как отдельный документ.
Ключевые моменты:
- Согласия, полученные до 01.09.2025 в составе договоров, переоформлять не нужно.
- Согласие может быть на бумажном носителе с собственноручной подписью или в форме электронного документа, подписанного квалифицированной электронной подписью.
- Согласие должно содержать обязательные реквизиты: ФИО и адрес субъекта, ФИО и адрес оператора, цель обработки, перечень данных, срок действия согласия, способ отзыва.
Важно для отдела продаж: если вы собираете контакты через форму на сайте, в ней должна быть отдельная галка (checkbox) с текстом согласия, а не просто ссылка на политику конфиденциальности.
4. Принцип минимизации данных
Закон требует собирать только те данные, которые действительно нужны для конкретной цели.
Пример нарушения: интернет‑магазин детских товаров просит при регистрации указать паспортные данные. Это избыточно — для покупки погремушки паспорт не нужен.
Что делать: пересмотреть все формы сбора данных и убрать лишние поля. Если вы не знаете, зачем вам эта информация — не собирайте.
5. Штрафы: новые размеры (очень большие)
С 30 мая 2025 года действуют обновленные штрафы по статье 13.11 КоАП РФ.
За отсутствие регистрации в Роскомнадзоре:
- Должностные лица — 30 000 — 50 000 ₽
- ИП и юрлица — 100 000 — 300 000 ₽
За утечки персональных данных:
| Утечка данных (кол‑во человек) | Штраф для юрлиц |
|---|---|
| 1 000 — 10 000 | 3 — 5 млн ₽ |
| 10 000 — 100 000 | 5 — 10 млн ₽ |
| Свыше 100 000 | 10 — 15 млн ₽ |
| Повторная утечка | 1-3% годового оборота (но не менее 20-25 млн ₽ и не более 500 млн ₽) |
За неуведомление Роскомнадзора об утечке: штраф для юрлиц — 1-3 млн ₽.
Что делать отделу продаж прямо сейчас
- Проверьте регистрацию в Роскомнадзоре. Если вы еще не подавали уведомление — сделайте это срочно через сайт РКН или Госуслуги.
- Локализуйте данные. Проверьте, где физически хранятся ваши базы: CRM‑система (уточните у провайдера), облачные таблицы, почтовые сервисы. При необходимости перенесите данные на российские платформы (Яндекс.Диск, российские CRM).
- Обновите форму согласия. На сайте, в соцсетях, в бумажных документах — везде, где вы собираете данные, должно быть отдельное согласие, а не просто пункт в договоре.
- Уберите лишние поля. Проверьте все анкеты, формы регистрации, заявки. Оставьте только те поля, без которых невозможно оказать услугу.
- Разработайте пакет документов. У вас должны быть Политика обработки ПДн (публичный документ на сайте), Положение о работе с ПДн (внутренний), журналы учета согласий.
- Назначьте ответственного за ПДн. Издайте приказ о назначении сотрудника, который будет отвечать за выполнение требований 152‑ФЗ.
- Проведите аудит безопасности. Если у вас есть сайт или IT‑системы, проверьте шифрование данных, наличие сертифицированных средств защиты, резервное копирование, систему обнаружения инцидентов.
Чек‑лист для отдела продаж
- ✅ Зарегистрировались в реестре операторов РКН
- ✅ Локализовали все базы на серверах в РФ (CRM, облака, почта)
- ✅ Обновили форму согласия — отдельная галка, обязательные реквизиты
- ✅ Убрали лишние поля из всех форм сбора данных
- ✅ Разработали и опубликовали Политику обработки ПДн
- ✅ Утвердили внутреннее Положение о работе с ПДн
- ✅ Назначили ответственного за ПДн
- ✅ Проверили договоры с подрядчиками (хостинг, CRM) на соответствие требованиям
- ✅ Провели инструктаж сотрудников о новых правилах
- ✅ Убедились, что на сайте есть SSL‑сертификат и защищенные соединения
Что ждать в 2026 году
Эксперты сходятся во мнении, что 2026 год станет временем массовых проверок и показательных штрафов. Роскомнадзор переходит от выборочных проверок к системному мониторингу с использованием ИИ.
Главные риски: отсутствие регистрации, хранение данных за рубежом, неправильно оформленные согласия, избыточный сбор данных.
Главная защита: привести документацию и технические процессы в порядок до проверки, а не после.
Комплект документов 15-ФЗ
- Документ №1. Согласие на обработку персональных данных
- Документ №2. Согласие на обработку персональных данных (для сотрудников)
- Документ №3. Политика обработки персональных данных (содержание)
- Документ №4. Приказ о назначении ответственного за обработку ПДн
- Документ №1. Уведомление в Роскомнадзор (заполненный образец)
- Документ №2. Договор поручения на обработку персональных данных
- Документ №3. Инструкция по разработке модели угроз
Полезные ссылки
- Портал персональных данных Роскомнадзора
- Федеральный закон № 152‑ФЗ (актуальная редакция) на КонсультантПлюс
- Госуслуги — подача уведомления через ЕСИА
- ФНС России — проверка контрагентов и регистрационных данных
* — Если вы обнаружили неработающую ссылку, пожалуйста, сообщите нам на info@intelbase.ru. Спасибо!