Защита персональных данных (152‑ФЗ) для компании: минимальный набор документов и типовые ошибки

Обратиться к специалисту

Автор статьи - специалист в области корпоративного, миграционного и контрактного права

Маргарита Садовщикова

Краткая информация

Окончила Современный гуманитарный Институт (г. Москва) со степенью бакалавра юриспруденции. С 1996 по 1998 годы работала следователем в межрайонной прокуратуре г. Москвы.

Юридическая практика

В Юридическом центре «Ваш поверенный» работает с 1998 года. За это время прошла курсы повышения квалификации по темам: «Регистрация предприятий и организаций», «Правовое регулирование рынка ценных бумаг», «Статус и правовое положение иностранных граждан в России», «Ведение судебных споров» и др. Публикует статьи в журнале «Иностранный капитал в России» издательства «АКДИ Интернэйшнл «Экономика и Жизнь». Является ведущим специалистом Юридического центра «Ваш поверенный». Специализируется в области аккредитации иностранных представительств и филиалов, корпоративного и миграционного права. Ведет судебную практику по гражданским делам.

Многие предприниматели уверены: 152-ФЗ обязателен для крупных корпораций: «У нас всего пять сотрудников и простой сайт – не тронут.» Это опасное заблуждение. Оператором становится любой, кто осуществляет обработку персональных данных. А она начинается с первого клиента или сотрудника.

Штрафы в 2026 году выросли в разы. За утечку данных малый бизнес платит миллионы, за повторную — оборотный штраф до 3% выручки. И штрафуют уже не только корпорации, но и небольшие магазины, салоны, кадровые агентства.

Кто обязан соблюдать 152-ФЗ

Оператор персональных данных – любая компания или ИП, обрабатывающие ПДн. Обработка – это сбор, запись, хранение, передача, даже просто просмотр.

Вы оператор, если есть:

• хотя бы один сотрудник (паспорт, СНИЛС, ИНН);
• сайт с формой заявки или обратной связи;
• клиентская база в CRM или Excel;
• договоры с физлицами.

Интернет-магазин с телефонами клиентов, стоматология с карточками пациентов, кадровое агентство с резюме соискателей – это все операторы.

Штрафы 2026, которые заставляют действовать

До 2025 года штрафы казались несерьезными. Сейчас суммы, особенно для юрлиц, принципиально иные, и ответственность за нарушение 152-ФЗ стала по-настоящему жесткой.

За отсутствие базовых документов:

• не подали уведомление в Роскомнадзор – 30–50 тыс.;
• нет политики на сайте – 60–200 тыс.;
• обработка без согласия – 300-500 тыс.

За утечку данных:

• от 1 000 до 10 000 субъектов – 3–5 млн руб.;
• от 10 000 до 100 000 субъектов – 5–10 млн;
• более 100 000 – 10–15 млн.

За утечку биометрии (фото, отпечатки, голос для идентификации) – 15–20 млн руб.

За повторную утечку – оборотный штраф: 1–3% годовой выручки, но не менее 20 млн и не более 500 млн руб.

Пример. Московский ритейлер передал кадровый учет внешнему провайдеру, но не оформил поручение на обработку ПДн. После взлома базы подрядчика пострадали данные 5000 сотрудников. Штрафы получили обе стороны на общую сумму более 5 млн рублей. Репутационные потери оказались еще выше.

Минимальный набор документов для малого бизнеса

Вам не нужны 30 папок. Все локальные акты по персональным данным для компании с 5–20 сотрудниками и обычным сайтом умещаются в 10–12 документов.

1. Уведомление в Роскомнадзор. Без него вас нет в реестре операторов. Направляется до начала обработки. Если уже работаете без уведомления, подавайте прямо сейчас.
2. Политика обработки персональных данных. Публичный документ на сайте. Посетитель должен видеть, какие данные собираете, зачем и как защищаете. Размещается в футере.
3. Согласие на обработку персональных данных. Важно. С сентября 2025 года согласие – отдельный документ. Нельзя включать в договор или оферту. Только отдельный текст с чекбоксом или бумажный документ.
4. Приказ о назначении ответственного. Для ООО – обязательно. Для ИП – формально не требуется, но лучше оформить на себя.
5. Перечень обрабатываемых ПДн. Простой список: ФИО, телефон, адрес, паспорт, СНИЛС. Указать для каких целей.
6. Перечень информационных систем (ИСПДн). Все, где хранятся данные: 1С, CRM, Excel, облачная бухгалтерия, почта и другие.
7. Согласие на обработку данных сотрудников. Отдельный документ для каждого работника (ст. 86 ТК РФ).
8. Согласие на обработку данных соискателе. Для резюме и анкет кандидатов. Другая форма, не такая как для сотрудников.
9. Минимальные меры защиты.Кто имеет доступ, как ограничен, используется ли антивирус, ведется ли резервное копирование. Фиксируется приказами или инструкциями.

Что проверить прямо сейчас:

• Есть ли уведомление в РКН.
• Размещена ли политика на сайте.
• Собраны ли согласия для клиентов и сотрудников.
• Назначен ли ответственный.
• Составлен ли перечень данных и систем.
• Есть ли отдельное согласие для соискателей.

Типичные ошибки, на которых теряют деньги

1. Хранение копий паспортов после увольнения
Сотрудник ушел, а паспорт остался в папке «Кадры». Через год произошла утечка. Штраф до 500 тыс. Копии паспортов – это избыточные данные, их нужно уничтожать.

2. Согласие встроено в договор или оферту
Клиент подписывает договор, а внутри мелким шрифтом «Я согласен». До сентября 2025 г. считалось нормой. Теперь – штраф. Согласие должно быть отдельным.

3. Не подали уведомление в РКН
Работаете год, два, пять, а в реестре операторов вас нет. Приходит проверка – штраф 30–50 тыс. Самая частая ошибка.

4. Используете зарубежные облачные сервисы для сбора данных
Google Drive, Dropbox, Notion, зарубежная CRM.

5. Доступ к базе у всех сотрудников
Секретарь, курьер, бухгалтер видят паспортные данные клиентов. Нарушение. Доступ только тем, кому это нужно для работы.

6. Нет отдельного согласия на распространение
Публикуете отзывы с ФИО и фото клиентов? Фото с корпоративов? Это распространение ПДн. Нужно отдельное согласие. Обычное не покрывает публикацию.

Как подготовиться к проверке

Роскомнадзор может прийти в любой момент. Инспектор проверяет не только документы, но и реальные процессы:

• есть ли компания в реестре операторов;
• размещена ли политика на сайте;
• как оформлены согласия;
• где физически хранятся базы (сервер в РФ);
• кто имеет доступ;
• как ведется учет обращений субъектов.

Почему шаблоны из интернета не работают

Бесплатные образцы и примеры часто:

• не учитывают изменения 2025 года (отдельное согласие, локализация);
• не подходят под ваш бизнес;
• легко распознаются инспектором как копипаст.

Лучше адаптировать шаблон с юристом или заказать готовый комплект «под ключ».

Что в итоге

Защита персональных данных – не бюрократия. Это реальная ответственность с миллионными штрафами.

Для малого бизнеса минимальный пакет документов по 152-ФЗ:

• уведомление в Роскомнадзор;
• политика на сайте;
• отдельные согласия (клиенты, сотрудники, соискатели);
• приказ о назначении ответственного;
• перечни данных и систем.

Документы нужно поддерживать в актуальном состоянии: обновлять при изменении процессов, переоформлять согласия, проверять доступы.

Экономия на юридическом сопровождении при работе с персональными данными может обернуться штрафами, во много раз превышающими стоимость качественной подготовки документов. Специалисты «Ваш Поверенный» проведут аудит персональных данных, оценят риски и подготовят полный комплект документов по 152-ФЗ под ваш бизнес. Сэкономьте время, нервы и избежите штрафов.