Обработка персональных данных: что это и какие правила должен соблюдать бизнес

Обработка персональных данных — это любое действие с информацией, относящейся к конкретному человеку: сбор, запись, хранение, уточнение, использование, передача, обезличивание, блокирование, удаление и уничтожение (п. 3 ст. 3 закона № 152-ФЗ).

Учтите, что закон охватывает и автоматизированную обработку, и работу с бумажными карточками. Даже если вы записываете клиента в обычный журнал или держите резюме кандидатов в папке, вы уже обрабатываете ПДн.

Сюда относятся многие ежедневные процессы:

• прием заявок через сайт: имя, телефон, email в форме обратной связи;

• ведение кадрового учета: трудовые договоры, личные карточки, приказы;

• расчет зарплаты и налогов;

• заключение договоров с клиентами и подрядчиками;

• рассылки и маркетинговые коммуникации;

• передача данных в банк для зарплатного проекта или в бухгалтерский сервис.

Оператор — тот, кто организует обработку ПДн и определяет ее цели и способы. Это может быть ООО, АО, ИП или самозанятый, если он собирает данные клиентов.

Когда бизнес считается оператором:

• на сайте есть форма заказа или подписки;

• вы ведете базу клиентов в CRM или Excel;

• вы храните резюме соискателей;

• вы используете видеонаблюдение или пропускную систему;

• вы передаете данные сотрудников в бухгалтерский сервис или банк.

Оператор обязан соблюдать правила обработки персональных данных по 152-ФЗ независимо от масштаба бизнеса: закон не делает исключений для микропредприятий.

Пример:

Мастер маникюра работает как самозанятая. На странице в соцсети она принимает записи через форму: имя, телефон, дата визита. Данные сохраняет в заметках на телефоне, а по воскресеньям отправляет клиенткам напоминания в мессенджере.

Это полноценная обработка ПДн: сбор, запись, хранение и использование. Мастер — оператор, даже если у нее нет офиса, сотрудников и CRM. Как только она добавила форму записи, у нее появились обязанности: опубликовать политику обработки, получить согласие на запись и на напоминания, обеспечить защиту данных на телефоне. Отсутствие статуса ИП или юрлица от обязанности не освобождает: самозанятые тоже подпадают под 152-ФЗ, если собирают данные клиентов-физлиц.

На практике ПДн делят на группы:

Принципы — это фундамент, на котором строится вся работа с ПДн. Нарушение любого из них может стать основанием для штрафа, даже если согласие получено.

• Законность и справедливость. У обработки должно быть законное основание: согласие, договор, требование закона или иной случай из ст. 6 закона № 152-ФЗ. Нельзя собирать данные «на всякий случай» или под предлогом, которого нет в документах.

• Минимизация данных. Собирайте только те сведения, которые действительно нужны для заявленной цели. Если для доставки нужен адрес и телефон, запрашивать паспортные данные нельзя.

• Совместимость целей. Данные, собранные для одной цели, нельзя использовать для другой без нового основания. Например, телефон, оставленный для доставки заказа, не подходит для рекламных рассылок — на маркетинг нужно отдельное согласие.

• Актуальность и точность. Оператор обязан обновлять данные и исправлять ошибки по запросу субъекта.

Чаще всего для обработки нужно согласие субъекта, но могут быть и другие основания, предусмотренные ч. 1 ст. 6 ФЗ №152:

• исполнение договора, стороной которого является субъект, или заключение договора по его инициативе;

• выполнение обязанностей, возложенных законом на оператора (например, налоговый и кадровый учет);

• исполнение судебного акта или акта другого органа;

• защита жизни и здоровья субъекта, когда получить согласие невозможно;

• законные интересы оператора или третьих лиц, если не нарушаются права субъекта;

• статистические или исследовательские цели при обязательном обезличивании данных.

С 1 сентября 2025 года согласие на обработку ПДн оформляется отдельным документом, а не блоком в общем тексте договора, как это было раньше. Это важно для сайтов и форм: галочка «согласен с политикой и обработкой» больше не закрывает требование закона.

Подготовка документов для работы с персональными данными 2026 для организаций

Консультация

Нет. Согласие — не единственное и не всегда обязательное основание для обработки персональных данных. Закон допускает работу с ПДн без него, если есть другое основание из ст. 6 ФЗ №152 — об этом мы рассказали в разделе выше. Теперь приведем несколько наглядных примеров, когда согласие не нужно.

Пример 1: трудовые отношения. Работодатель обрабатывает данные сотрудника для кадрового учета, расчета зарплаты, оформления документов воинского учета и уплаты налогов на основании закона и трудового договора. Отдельное согласие на эти цели не требуется — но только в пределах базовых сведений, необходимых для выполнения обязанностей работодателя.

Пример 2: договор с клиентом. Интернет-магазин получает имя, адрес и телефон для доставки заказа. Обработка нужна для исполнения договора купли-продажи, поэтому согласие на эти цели не нужно. Но если магазин захочет отправить рекламную рассылку, потребуется отдельное согласие на маркетинг.

Цель — это то, ради чего вы собираете данные. Она определяет:

• какие данные можно запрашивать (минимизация);

• как долго их можно хранить;

• какие основания применимы (согласие или договор);

• какие документы нужны (политика, согласия, приказы).

Цель фиксируется в политике обработки ПДн и в согласиях. Если цель достигнута или субъект отозвал согласие, обработку нужно прекратить, а данные — уничтожить или обезличить.

Закон выделяет три способа работы с ПДн. От них зависят требования к обработке персональных данных.

На практике чистая неавтоматизированная обработка встречается редко — даже небольшая компания использует хотя бы Excel. Поэтому большинство операторов работают в смешанном режиме и должны закрывать оба контура защиты.

ПДн проходят путь от получения до уничтожения. На каждом этапе — свои правила.

1. Получение. Данные поступают от клиентов, сотрудников, соискателей. Собирайте только то, что нужно для цели. Если форма на сайте запрашивает лишнее, это нарушение принципа минимизации.

2. Классификация. Разнесите данные по категориям: обычные, биометрические, специальные, иные. От категории зависят меры защиты и требования к согласиям.

3. Запись и систематизация. Данные фиксируются в CRM, 1С или на бумаге. Определите, кто имеет доступ к каждой системе.

4. Хранение. Электронные данные — в защищенных системах с паролями и разграничением доступа. Бумажные — в сейфах или запирающихся шкафах.

5. Использование. Данные применяются только для заявленных целей. Передача внутри компании допускается в пределах должностных обязанностей сотрудников.

6. Передача. Третьим лицам — только при наличии основания: согласия, договора поручения или требования закона.

7. Архивирование. Если данные больше не нужны для оперативной работы, но должны храниться по закону, их переносят в архив.

8. Уничтожение или обезличивание. Когда цель достигнута или согласие отозвано, данные уничтожаются.

До того как собрать первую анкету или запустить сайт с формой, оператор обязан:

1. Назначить ответственного за организацию обработки ПДн. Для этого оформляется приказ.

2. Разработать и утвердить политику в отношении обработки ПДн — она должна быть опубликована на сайте. Если есть офис, ее нужно разместить на информационном стенде.

3. Подготовить локальные акты: положение об обработке, приказы, журналы, формы согласий, акты и прочее.

4. Подать уведомление в Роскомнадзор — до начала обработки, если компания использует автоматизированные средства (компьютеры, 1С, Excel).

5. Определить уровень защищенности информационных систем и внедрить меры защиты.

6. Организовать работу с обращениями субъектов — разработать журналы и инструкции.

Состав документов зависит от масштаба и наличия сотрудников. Рассмотрим базовые комплекты.

В этом случае перечень документов шире. Нужно оформить то же самое, что и для ИП без сотрудников, но дополнительно понадобятся другие документы:

• журнал сдачи и приема под охрану помещений;

• журнал учета лиц, допущенных к работе с ПДн в информационных системах;

• журнал учета мероприятий по контролю выполнения требований по обеспечению безопасности ПДн при обработке в ИСПДн;

• журнал учета нештатных ситуаций, фактов вскрытия и опечатывания АРМ, выполнения профилактических работ;

• журнал учета процедур резервного копирования;

• журнал учета прохождения первичного инструктажа работниками, допущенными к работе с ПДн;

• инструктаж для сотрудников;

• инструкция по проведению инструктажа работников, допущенных к работе с ПДн;

• инструкция по учету лиц, допущенных к работе с ПДн;

• инструкция по физической охране и контролю доступа в помещения;

• инструкция работников, обслуживающих информационные системы ПДн;

• лист ознакомления работников с локальными нормативными актами оператора;

• лист ознакомления работников с положениями законодательства о ПДн;

• лист ознакомления работников с приказами оператора;

• матрица доступа к информационной системе ПДн;

• обязательство о неразглашении ПДн работников;

• план контроля выполнения требований по обеспечению безопасности ПДн (для бумажной обработки);

• план контроля выполнения требований по обеспечению безопасности ПДн при обработке в ИСПДн;

• положение о комиссии по обеспечению безопасности ПДн;

• положение об обработке персональных данных;

• положение об ответственности работников, допущенных к обработке ПДн;

• правила оборудования помещений, используемых для обработки ПДн;

• приказ об утверждении комиссии по обеспечению безопасности ПДн;

• приказ об утверждении перечня должностей, доступ которых к ПДн в ИСПДн необходим для трудовых обязанностей;

• приказ об утверждении политики оператора в отношении обработки ПДн;

• приказ о назначении администратора информационной безопасности;

• приказ о назначении ответственного за организацию обработки ПДн;

• приказ о создании комиссии по уничтожению машинных носителей ПДн;

• приказ о создании комиссии по уничтожению ПДн;

• протокол заседания комиссии по обеспечению безопасности ПДн;

• согласие на передачу ПДн третьей стороне;

• согласие на получение ПДн от третьих лиц;

• согласие родителя на обработку ПДн несовершеннолетнего.

Подготовка документов для работы с персональными данными 2026 для организаций

Организуем внутреннюю документацию, защитим от штрафов, обучим ваших юристов системе ведения документов и особенностям работы с ПДн

Консультация

Сайт — самая частая зона риска. Многие собирают лишние данные, прячут согласие в длинный текст, копируют чужую политику.

Что должно быть на сайте:

• политика обработки персональных данных — публичная и доступна с любой страницы;

• отдельное согласие в каждой форме — не галочка «согласен с политикой», а отдельный чекбокс с четкой формулировкой целей;

• уведомление о cookie — с возможностью отказаться от необязательных файлов;

• формы не должны запрашивать лишнее: если поле не нужно для цели, его не должно быть.

С 1 июля 2025 года данные граждан РФ должны храниться на серверах в России. Это требование локализации, и оно не зависит от того, где зарегистрирована компания. Если сайт использует иностранную аналитику или облако, проверьте, где физически расположены серверы.

В октябре 2026 года к этому добавился новый риск. Три дата-центра «Яндекса» — в Сасове, Калуге и Владимире — подверглись атакам БПЛА. Два из них полностью остановили работу, Yandex Cloud перешел в аварийный режим. Минцифры и Минобороны обсуждают вопрос прикрытия таких объектов, но это не отменяет обязанности оператора обеспечивать сохранность ПДн. Ответственность за данные перед субъектами и регулятором несет оператор, а не хостинг-провайдер.

Что делать, если вы используете Yandex Cloud:

1. Проверьте, где физически хранятся данные. Если ваша база или сайт размещены на площадке, которая может быть выведена из строя, заранее продумайте резервный вариант.

2. Настройте резервное копирование за пределами одного провайдера. Храните копии на другой площадке — в идеале у другого облачного провайдера с серверами в РФ.

3. Зафиксируйте план действий при инциденте. Если доступ к данным утрачен, оператор обязан уведомить Роскомнадзор в течение 24 часов с момента обнаружения инцидента, а в течение 72 часов — направить результаты внутреннего расследования.

4. Проверьте договор на обработку персональных данных с провайдером. Уточните, как провайдер уведомляет об инцидентах и какие обязательства берет на себя.

5. Оцените, нужна ли миграция. Если перебои повторяются, перенос критичных данных на другую площадку может быть дешевле, чем последствия утраты данных и штрафы.

Можно, но нужно все правильно оформить. Здесь два разных сценария.

• Поручение обработки. Подрядчик выполняет задачу вместо вас: бухгалтерский аутсорсинг, колл-центр, сервис рассылок, ЭДО. В этом случае нужен договор поручения по ч. 3 ст. 6 закона № 152-ФЗ. Ответственность перед субъектом и Роскомнадзором остается на вас как на операторе, даже если ошибку совершил подрядчик.

• Самостоятельный оператор. Банк, страховая, образовательная организация или госорган получают данные для своей услуги или по закону. Они отвечают за обработку сами. Вам нужно подтвердить законность передачи: согласие, договор или требование закона.

Срок хранения определяется целью обработки и требованиями закона. Ориентиры:

• резюме непринятых кандидатов — не более 30 дней с момента отказа;

• кадровые документы — 50 лет, если оформлены после 2003 года, и 75 лет — если до;

• данные клиентов по договору — в течение срока действия договора и срока исковой давности;

• согласия на обработку — в течение срока обработки и трех лет после прекращения (на случай проверки).

Если срок хранения не установлен законом, действует принцип разумной достаточности: храните столько, сколько нужно для цели. «На всякий случай» — не основание.

Обработка прекращается и данные уничтожаются в нескольких случаях:

• цель достигнута — например, договор исполнен, гарантийный срок истек;

• субъект отозвал согласие — если нет другого основания для обработки;

• срок хранения истек;

• выявлена неправомерная обработка — данные уничтожаются или блокируются.

Чтобы обрабатывать персональные данные безопасно, начните с аудита: определите, какие ПДн собираете, где они хранятся и кто к ним имеет доступ. Затем приведите в порядок документы и формы согласий — так, чтобы они отражали реальные процессы. Обязательно зарегистрируйтесь в реестре операторов Роскомнадзора — это позволит вам работать с ПДн законно и снизит риск штрафа до 300 000 рублей (ч. 10 ст. 13.11 КоАП РФ).

Важно! мы разработали сервис «Мобиз» для бесплатной проверки контрагентов!

• Выгружайте отчеты.

• Добавляйте списки контрагентов.

• Проявляйте должную осмотрительность.

Эти и другие возможности Мобиз доступны бесплатно!

Попробовать бесплатно

Реклама: АО «Консалтинг онлайн», ИНН: 2310203967, erid: 2W5zFG1jnk2