Закон о персональных данных 152-ФЗ простыми словами: требования, изменения 2026 и чек-лист
Обновлено 20 июля 2026 г. Учтены поправки, вступившие в силу 30 мая и 1 сентября 2025 года.
Есть форма заявки или подписки на сайте? Хранится база клиентов в CRM? Установлена Яндекс.Метрика или Google Analytics? Значит, вы уже обрабатываете персональные данные. По 152-ФЗ вы — оператор персональных данных, даже если об этом не знаете. С 30 мая 2025 года штрафы за нарушения выросли кратно: за утечку теперь грозит до 3% годовой выручки.
Ниже — практический разбор закона: кого он касается, что конкретно нужно сделать и какие документы оформить. Без юридического жаргона, с конкретными цифрами и чек-листом.
Содержание
69%
форм собирают данные без корректного согласия на обработку ПДн
Данные ScanBase, 602 сайта, июнь 202651%
сайтов без cookie-баннера — нарушение требований к информированию
Данные ScanBase, 602 сайта, июнь 202636%
не указывают реквизиты оператора ПДн в политике конфиденциальности
Данные ScanBase, 622 сайта, июнь 202616%
сайтов работают без политики конфиденциальности вовсе
Данные ScanBase, 604 сайта, июнь 2026Эти цифры — не оценка «на глаз»: ScanBase непрерывно сканирует сайты по 19 параметрам соответствия 152-ФЗ и агрегирует результаты по всей базе. Картина по 623 проверенным сайтам показывает главное: большинство нарушений — не «дыры в защите», а отсутствующие документы и некорректно оформленные согласия. Именно их Роскомнадзор находит и фиксирует в первую очередь. Когда мы сканируем сайты целой отрасли, разрыв между «сайт работает» и «сайт соответствует закону» виден ещё резче — например, в нашем исследовании 474 сайтов школ и вузов почти ни одна организация не закрывала базовые требования полностью.
Что такое 152-ФЗ и зачем он нужен
Федеральный закон № 152-ФЗ «О персональных данных» принят в 2006 году и планомерно ужесточался в 2017, 2022 и 2025 годах. Его главная идея: любая компания или ИП, которые собирают, хранят или используют информацию о физических лицах, обязаны делать это по правилам и нести ответственность за безопасность этих данных.
Надзор осуществляет Роскомнадзор (РКН). С 2022 года регулятор кратно усилил активность: количество проверок выросло, суды начали выносить реальные решения. В апреле 2026 года Таганский суд Москвы оштрафовал три иностранные компании за нарушение 152-ФЗ — по 2 млн рублей каждую (разбор практики). Российские компании идут следом.
Кто такой оператор персональных данных — и являетесь ли вы им
Оператор — это любое юрлицо, ИП или физлицо, которое определяет цели и способы обработки персональных данных. На практике: если вы принимаете заявки, ведёте клиентскую базу, используете счётчики аналитики или нанимаете сотрудников — вы оператор.
| Вид бизнеса | Почему является оператором |
|---|---|
| Интернет-магазин | Собирает ФИО, адреса, телефоны при заказе |
| Сервис онлайн-записи | Хранит контакты и историю визитов клиентов |
| Любой работодатель | Обрабатывает данные сотрудников по ТК РФ |
| Блог с формой подписки | Собирает email-адреса подписчиков |
| Мобильное приложение | Запрашивает геолокацию, контакты, идентификаторы устройства |
| Офлайн-магазин с картой лояльности | Собирает ФИО и телефон при регистрации |
Единственное исключение — обработка персональных данных исключительно в личных и семейных целях (ст. 1 152-ФЗ). Личная адресная книга — не оператор. Клиентская база в коммерческих целях — оператор.
Что считается персональными данными
По ст. 3 152-ФЗ: «любая информация, относящаяся прямо или косвенно к определённому физическому лицу». Закон не ограничивается паспортными данными — охват значительно шире.
| Категория | Примеры | Режим защиты |
|---|---|---|
| Общие ПДн | ФИО, email, телефон, дата рождения, адрес | Стандартный |
| Специальные (ст. 10) | Здоровье, раса, религия, политические взгляды | Усиленный: нужно явное согласие |
| Биометрические (ст. 11) | Фото лица, отпечатки пальцев, голос | Отдельный режим согласия |
| Общедоступные | Данные, добровольно раскрытые субъектом | Облегчённый режим |
Что обязан сделать бизнес: 6 шагов к соответствию
По ст. 22 152-ФЗ большинство операторов обязаны уведомить РКН до начала обработки ПДн. Оснований для освобождения осталось три, и почти никого из бизнеса они не касаются: данные в государственных информационных системах безопасности, обработка исключительно без средств автоматизации и транспортная безопасность. Прежние исключения — только данные сотрудников, только исполнение договора, только ФИО — утратили силу с 1 сентября 2022 года. Уведомление подаётся бесплатно через портал pd.rkn.gov.ru. С 30 мая 2025 года за неподачу штрафуют отдельно: 100 000–300 000 ₽ для ИП и юрлиц (ч. 10 ст. 13.11 КоАП).
Обязательный документ для любого сайта, собирающего данные (ст. 18.1). Что должно быть внутри: перечень собираемых данных, цели обработки, сроки хранения, права субъекта, контакты оператора. Разместить в открытом доступе — в футере сайта на странице /privacy. Отсутствие политики: штраф до 60 000 ₽ для юрлица.
По ст. 9 согласие должно быть конкретным, информированным, сознательным и однозначным. На форме: непредзаполненный чекбокс со ссылкой на политику. С 1 сентября 2025 года согласие должно быть обособленным — не строчкой в оферте, а отдельным действием. На разные цели (заявка, рассылка, передача партнёрам) нужны отдельные согласия.
По ст. 18.1 оператор обязан назначить лицо, ответственное за организацию обработки персональных данных. В малом бизнесе — сам ИП или руководитель. Оформить приказом. Отсутствие ответственного — самостоятельное нарушение, которое РКН фиксирует при проверке.
Минимальный набор: политика обработки ПДн (публичный документ), положение об обработке ПДн (внутренний регламент), приказ о назначении ответственного, формы согласий, регламент реагирования на утечки (обязателен с 2022 года). Если передаёте данные подрядчикам (колл-центр, IT-подрядчик, CRM-вендор) — нужен договор поручения на обработку по ст. 6 ч. 3. Ответственность при этом остаётся на вас.
Для большинства малого и среднего бизнеса актуален уровень защищённости УЗ-3 или УЗ-4 (Постановление Правительства № 1119). Минимум: HTTPS на всём сайте, разграничение прав доступа к базе ПДн, антивирусная защита, регулярное резервное копирование. При утечке — уведомить РКН в течение 24 часов (первичное) и 72 часов (развёрнутое).
Отдельно: трансграничная передача данных
С 1 марта 2023 года действует новый порядок передачи ПДн за рубеж (ст. 12 152-ФЗ). Практическая проблема: использование Google Analytics, зарубежных CRM, облачных сервисов и CDN — это передача данных за рубеж. До начала такой передачи нужно уведомить РКН. Передача разрешена в страны из «белого списка» РКН и участницы Конвенции Совета Европы № 108. В остальных случаях требуется разрешение регулятора.
Карта закона: какие статьи вам действительно понадобятся
В 152-ФЗ шесть глав, но в практике бизнеса работает примерно десяток статей. Вот они с расшифровкой, зачем каждая нужна.
| Статья | О чём | Зачем вам |
|---|---|---|
| ст. 3 | Основные понятия | Определяет, что вы оператор, а данные — персональные |
| ст. 5 | Принципы обработки | Минимизация: нельзя собирать «про запас», только под цель |
| ст. 6 | Условия обработки | Перечень оснований: договор, закон, согласие и другие |
| ст. 9 | Согласие субъекта | Реквизиты, форма, отзыв. С 01.09.2025 — отдельный документ |
| ст. 10, 10.1, 11 | Специальные категории, распространение, биометрия | Усиленный режим: отдельные согласия и письменная форма |
| ст. 12 | Трансграничная передача | Зарубежная аналитика, CRM, облако, шрифты, капча |
| ст. 18, ч. 5 | Локализация | База с данными россиян должна находиться в России |
| ст. 18.1, 19 | Меры оператора | Ответственный, политика, локальные акты, защита |
| ст. 20, 21 | Ответы на запросы, уточнение и удаление | Сроки реакции на обращения субъектов и РКН |
| ст. 22 | Уведомление Роскомнадзора | Постановка на учёт до начала обработки |
Права субъекта и сроки, в которые вы обязаны уложиться
Обратная сторона закона: у человека есть права, а у вас — сроки на реакцию. Просроченный ответ на обращение сам по себе становится нарушением, и именно с жалобы одного человека чаще всего начинается внеплановая проверка.
| Право субъекта | Норма | Ваш срок |
|---|---|---|
| Узнать, обрабатываете ли вы его данные, и получить к ним доступ | ст. 14, 20 | 10 рабочих дней, можно продлить не более чем на 5 с мотивированным уведомлением |
| Потребовать уточнить неточные данные | ст. 21 | 7 рабочих дней с даты подтверждения неточности |
| Отозвать согласие | ч. 2 ст. 9 | Прекратить обработку и уничтожить данные в срок до 30 дней (ч. 5 ст. 21) |
| Получить мотивированный отказ, если основания для отказа есть | ст. 20 | 10 рабочих дней, письменно, со ссылкой на норму |
| Пожаловаться в Роскомнадзор или пойти в суд | ст. 17 | Ответ на запрос регулятора — 10 рабочих дней |
Практический минимум: заведите рабочий адрес для обращений, укажите его в политике и назначьте человека, который проверяет этот ящик. Большая часть просрочек происходит потому, что письмо субъекта просто некому прочитать.
Штрафы за нарушение 152-ФЗ в 2025-2026 году
| Нарушение | Статья | Штраф для юрлица |
|---|---|---|
| Обработка ПДн без согласия субъекта | ст. 13.11 ч. 2 КоАП | до 300 000 ₽ |
| Нет политики конфиденциальности на сайте | ст. 13.11 ч. 3 КоАП | до 60 000 ₽ |
| Невыполнение требования об удалении ПДн | ст. 13.11 ч. 5 КоАП | до 500 000 ₽ |
| Повторная обработка без согласия | ст. 13.11 ч. 2.1 КоАП | до 500 000 ₽ |
| Утечка ПДн (виновные действия) | ст. 13.11 ч. 12-13 КоАП | до 15 000 000 ₽ |
| Повторная крупная утечка | ФЗ № 420-ФЗ | 1–3% годовой выручки (не менее 20 млн ₽, для биометрии и спецкатегорий — 25 млн, максимум 500 млн) |
| Нелокализованное хранение данных | ст. 13.11 ч. 8 КоАП | до 6 млн ₽ (повтор — до 18 млн ₽) |
Штрафы актуальны на 2025-2026 год с учётом поправок, вступивших в силу с 30 мая 2025 года.
Помимо штрафов: прецеденты блокировки сайтов уже есть. А с декабря 2024 года за незаконный оборот персональных данных введена уголовная ответственность по ст. 272.1 УК РФ. Детальные разборы санкций — в материалах про штрафы за нарушение 152-ФЗ и оборотные штрафы за утечки.
Частые заблуждения о 152-ФЗ
Большинство штрафов вырастает не из «сложных» нарушений, а из устойчивых мифов. Вот те, что чаще всего обходятся бизнесу дороже всего.
| Миф | Как на самом деле |
|---|---|
| «У меня маленький сайт / я самозанятый — закон не про меня» | 152-ФЗ касается всех, кто собирает данные в коммерческих целях, включая ИП и самозанятых. Размер бизнеса значения не имеет. |
| «Есть галочка „согласен“ в форме — значит, всё по закону» | С 1 сентября 2025 года согласие должно быть отдельным документом. Галочка, зашитая в оферту или пользовательское соглашение, больше не считается действительной. |
| «Счётчики аналитики — это не персональные данные» | IP-адрес и cookie в связке с другими данными признаются ПДн. Метрика или Google Analytics без cookie-баннера и уведомления о трансграничной передаче — нарушение. |
| «Поставил политику конфиденциальности — вопрос закрыт» | Политика — лишь один из 5–7 обязательных элементов. Нужны ещё уведомление в РКН, назначенный ответственный, корректные согласия и регламент реагирования на утечки. |
| «Российский хостинг — значит, локализация выполнена» | Хранение на сервере в РФ — необходимое условие, но трансграничная передача (Google Analytics, зарубежный CRM, CDN) остаётся отдельным нарушением даже при российском хостинге. |
Чек-лист соответствия 152-ФЗ — проверьте себя прямо сейчас
Выполнено: 0/13
- ✓Подано уведомление в Роскомнадзор о том, что вы оператор ПДн
- ✓Назначен ответственный за обработку ПДн (оформлен приказ)
- ✓Разработан регламент реагирования на инциденты и утечки
- ✓Политика конфиденциальности опубликована в открытом доступе на сайте
- ✓На каждой форме сбора данных — непредзаполненный чекбокс согласия со ссылкой на политику
- ✓Согласие обособлено — не зашито в оферту, на разные цели — отдельные согласия
- ✓Договоры поручения с подрядчиками, обрабатывающими ПДн, подписаны
- ✓Cookie-баннер присутствует на сайте, содержит кнопки «Принять» и «Отклонить»
- ✓Трекеры и аналитика не запускаются до клика «Принять» в баннере
- ✓В футере и на каждой форме есть ссылка на политику конфиденциальности
- ✓Сайт работает по HTTPS
- ✓Права доступа к базам с персональными данными разграничены
- ✓Данные российских пользователей хранятся на серверах в РФ, либо трансграничная передача оформлена через РКН
Прежде чем заполнять чек-лист, убедитесь, что знаете, какие страницы вашего сайта собирают данные и через какие трекеры они уходят. Быстро проверить структуру и технические параметры сайта поможет ScanBase — сканирование занимает меньше минуты.
Частые вопросы о 152-ФЗ
Да. Если форма собирает персональные данные (имя, email, телефон), вы оператор и обязаны уведомить РКН до начала обработки. Освобождения по ч. 2 ст. 22 сузились до трёх случаев, и «мы обрабатываем данные только по договору» с 1 сентября 2022 года среди них нет.
Для стандартных ПДн (имя, email, телефон) — достаточно при условии, что чекбокс не предзаполнен, ссылка ведёт на корректную политику, а само согласие оформлено отдельно от оферты. Для специальных категорий (здоровье, биометрия) требуется отдельное письменное согласие.
Нет. По принципу ограничения хранения (ст. 5 152-ФЗ) данные нужно удалить или обезличить, когда цель обработки достигнута или согласие отозвано. Срок хранения должен быть указан в политике конфиденциальности. Бессрочное хранение — нарушение закона.
С 1 сентября 2022 года: в течение 24 часов направить в РКН первичное уведомление об утечке, в течение 72 часов — развёрнутый отчёт с описанием причин и принятых мер. При крупной повторной утечке применяются оборотные штрафы до 3% годовой выручки по ФЗ № 420-ФЗ.
В рамках трудовых отношений — нет, закон позволяет обрабатывать данные сотрудников без отдельного согласия (ст. 6 ч. 1 п. 5). Но при передаче данных третьим лицам (банк для зарплатного проекта, страховщик) — нужно письменное согласие. Для специальных категорий (медкнижки, группа инвалидности) — всегда явное согласие.
Да. ИП с сотрудниками или клиентской базой в коммерческих целях — оператор персональных данных с полным набором обязанностей. Самозанятый, ведущий базу клиентов — тоже оператор. Исключение только для обработки в личных и семейных целях.
152-ФЗ — не бюрократическая формальность. Это закон с реальными штрафами и судебными решениями. Хорошая новость: для большинства малого и среднего бизнеса соответствие — это 6 конкретных шагов и набор из 5-7 документов.
Узнайте, какие именно нарушения есть на вашем сайте
ScanBase за минуту покажет, какие трекеры срабатывают до согласия, есть ли cookie-баннер, куда уходят данные и каких документов не хватает
Запустить бесплатную проверку →