Защита персональных данных для организации в 2026–2027 году: что нужно сделать бизнесу, чтобы не получить проблемы с Роскомнадзором

Персональные данные — это не только паспорт, СНИЛС или медицинская информация. Чаще всего компания начинает обработку уже тогда, когда получает имя, телефон, email, адрес доставки, данные сотрудника, заявку с сайта или сообщение от клиента в мессенджере.

Поэтому защита персональных данных для организации — это не один документ «для галочки». Это комплекс действий: регистрация в Роскомнадзоре как оператора персональных данных, подготовка документов по 152-ФЗ, проверка сайта, корректные согласия, политика обработки персональных данных, внутренние регламенты и понятный порядок работы с запросами.

Защита персональных данных — это система правил, документов и технических мер, которые помогают организации законно собирать, хранить, использовать и передавать данные физических лиц.

Для бизнеса это означает, что нужно понимать:

• какие персональные данные собираются;

• у кого именно они собираются;

• зачем они нужны;

• на каком правовом основании обрабатываются;

• где они хранятся;

• кто имеет к ним доступ;

• кому они передаются;

• какие документы подтверждают законность обработки;

• уведомлен ли Роскомнадзор;

• соответствует ли сайт требованиям 152-ФЗ.

Если на сайте есть форма «Оставить заявку», «Получить консультацию», «Заказать звонок», «Купить», «Записаться на прием» или «Скачать файл», бизнес уже может получать персональные данные.

Защита персональных данных нужна почти любой организации, которая взаимодействует с физическими лицами.

В первую очередь это актуально для:

• ООО и ИП, которые принимают заявки через сайт;

• интернет-магазинов и служб доставки;

• онлайн-школ, образовательных платформ и экспертов;

• медицинских организаций, клиник, стоматологий и лабораторий;

• салонов красоты, фитнес-клубов и сервисных компаний;

• агентств недвижимости, юристов, бухгалтеров и консалтинга;

• работодателей, которые ведут кадровые документы;

• компаний, которые используют CRM, телефонию, рассылки и мессенджеры;

• маркетплейс-селлеров, если они собирают данные покупателей вне площадки;

• B2B-компаний, которые работают с контактами представителей клиентов и подрядчиков.

Даже если компания работает «только с юрлицами», внутри процесса часто появляются персональные данные: ФИО директора, телефон менеджера, email бухгалтера, данные представителя по доверенности, подписи, кадровые документы сотрудников.

Поэтому вопрос обычно не в том, обрабатывает ли организация персональные данные. Вопрос в другом: оформлена ли эта обработка правильно.

Комплаенс по персональным данным можно условно разделить на несколько блоков.

1. Первый блок — регистрация в Роскомнадзоре как оператора персональных данных. По общему правилу оператор должен уведомить Роскомнадзор о намерении обрабатывать персональные данные до начала обработки, кроме отдельных исключений, предусмотренных законом. На портале персональных данных Роскомнадзор также указывает, что операторы должны уведомлять ведомство о начале или осуществлении обработки персональных данных, за исключением случаев из ч. 2 ст. 22 152-ФЗ. 

2. Второй блок — документы по 152-ФЗ. Это не только политика на сайте. Организации нужны внутренние положения, согласия, приказы, инструкции, формы ответов на запросы, документы по допуску сотрудников и другие локальные акты с учетом реальных процессов.

3. Третий блок — сайт. Под каждой формой, где пользователь оставляет данные, должны быть корректные формулировки, ссылки на документы, согласия и чекбоксы. Ошибки на сайте особенно заметны, потому что их можно увидеть без запроса документов у компании.

4. Четвертый блок — организационные и технические меры. Нужно определить, кто отвечает за персональные данные, кто имеет доступ к базам, как хранятся документы, как ограничивается доступ, как реагировать на запросы и инциденты.

5. Пятый блок — актуализация. Если у компании изменились цели обработки, категории данных, адрес, ответственный, сайт, CRM, подрядчики или трансграничная передача, документы и сведения в Роскомнадзоре могут потребовать обновления.

Регистрация в Роскомнадзоре — это не «получение лицензии» и не разрешение на бизнес. Это подача уведомления об обработке персональных данных, после чего сведения об операторе вносятся в реестр операторов персональных данных.

В уведомлении обычно отражаются:

• сведения об операторе;

• цели обработки персональных данных;

• категории субъектов персональных данных;

• категории обрабатываемых данных;

• правовые основания обработки;

• действия с персональными данными;

• дата начала обработки;

• сроки или условия прекращения обработки;

• сведения о мерах защиты;

• сведения о базах данных;

• информация о трансграничной передаче, если она есть;

• данные ответственного лица.

Сложность в том, что уведомление должно соответствовать реальным процессам компании. Нельзя просто указать «обработка клиентов» и считать вопрос закрытым.

Например, у интернет-магазина могут быть одни цели: оформление заказа, доставка, оплата, возврат, поддержка, рассылки. У онлайн-школы — другие: регистрация на курс, заключение договора, обучение, выдача документов, доступ в личный кабинет, рассылка материалов. У клиники — третьи, причем там могут появляться специальные категории персональных данных, включая сведения о состоянии здоровья.

Если заполнить уведомление слишком общо, можно получить требование об уточнении. Если заполнить неверно, сведения в реестре будут расходиться с фактической обработкой.

Поможем подать уведомление в Роскомнадзор под ключ:

• разберем, обязаны ли вы подавать уведомление;

• подготовим сведения для формы под ваш бизнес (сайт/CRM/HR/маркетинг);

• проверим рисковые формулировки и согласуем цели/основания;

• сопроводим подачу и подскажем, что делать после включения в реестр.

Рассчитать стоимость услуги

Самостоятельная подача уведомления кажется простой только на первый взгляд. Форма действительно доступна онлайн, но юридическая сложность не в самой форме, а в правильном описании процессов.

Типичные ошибки:

• указывают не все цели обработки;

• забывают про сотрудников и кандидатов;

• не учитывают пользователей сайта;

• не отражают CRM, телефонию, рассылки и подрядчиков;

• некорректно описывают категории субъектов;

• неправильно определяют категории персональных данных;

• не указывают трансграничную передачу, хотя используются зарубежные сервисы;

• пишут формальные меры защиты без связи с реальностью;

• не обновляют сведения после изменения сайта, адреса, процессов или подрядчиков.

Особенно часто ошибки возникают у компаний, которые сначала скачали шаблон, потом подали уведомление, а уже после этого начали разбираться, какие данные фактически обрабатываются.

Правильная последовательность обратная: сначала нужно провести мини-аудит процессов, затем подготовить документы, потом подать уведомление в Роскомнадзор и привести сайт в соответствие.

Единого универсального комплекта документов для всех не существует. Набор зависит от того, чем занимается организация, какие данные собирает, есть ли сайт, сотрудники, подрядчики, CRM, рассылки, личный кабинет, медицинские или образовательные сведения.

Но в большинстве случаев бизнесу нужны:

• политика в отношении обработки персональных данных;

• согласие на обработку персональных данных;

• согласие на получение рекламных и информационных рассылок, если рассылки есть;

• пользовательские формулировки под формы сайта;

• положение об обработке и защите персональных данных;

• приказ о назначении ответственного за организацию обработки персональных данных;

• перечень обрабатываемых персональных данных;

• перечень лиц, имеющих доступ к персональным данным;

• инструкция для сотрудников по работе с персональными данными;

• обязательство о неразглашении персональных данных;

• порядок рассмотрения запросов субъектов персональных данных;

• порядок уничтожения или обезличивания данных;

• документы по поручению обработки персональных данных подрядчикам.

Для сайта отдельно нужно проверить связку: форма заявки — чекбокс — текст согласия — ссылка на политику — цель обработки — конкретный набор данных. Если пользователь вводит имя и телефон для консультации, согласие должно соответствовать именно этой цели. Если отдельно есть рассылка, она не должна автоматически «прятаться» в общем согласии.

Это важный момент для сайтов, анкет, оферт и договоров. Нельзя механически вставить фразу «согласен на обработку персональных данных» в общий текст и считать, что вопрос решен.

Политика обработки персональных данных — один из самых заметных документов для Роскомнадзора и пользователей. Она должна быть доступна на сайте и объяснять, как оператор обрабатывает персональные данные.

По 152-ФЗ оператор обязан опубликовать или иным образом обеспечить неограниченный доступ к документу, который определяет политику в отношении обработки персональных данных. 

На практике политика должна отвечать на вопросы:

• кто является оператором;

• какие данные собираются;

• у каких категорий субъектов;

• для каких целей;

• на каком основании;

• какие действия совершаются с данными;

• кому данные могут передаваться;

• как субъект может направить запрос;

• как отозвать согласие;

• какие меры защиты применяются;

• как долго данные хранятся;

• есть ли трансграничная передача;

• где находится база данных с персональными данными граждан РФ.

Ошибка многих сайтов — размещение типовой «политики конфиденциальности», которая не соответствует реальным формам и процессам. Например, в политике написано только про email-рассылку, а на сайте есть запись на медицинскую услугу, форма обратного звонка и личный кабинет.

Еще одна частая ошибка — политика есть в футере сайта, но под формами нет ссылок на нее. Пользователь оставляет данные, но не видит понятной юридической связки: что он отправляет, зачем, кому и на каких условиях.

Сайт — это первое место, где обычно видны нарушения. У Роскомнадзора, клиента, конкурента или недовольного пользователя нет необходимости запрашивать внутренние документы, чтобы увидеть ошибки на форме заявки.

Наиболее частые проблемы:

• под формой нет ссылки на политику обработки персональных данных;

• чекбокс заранее проставлен;

• согласие объединено с рекламной рассылкой;

• текст под формой слишком общий;

• ссылка ведет на неактуальный документ;

• политика не содержит данных оператора;

• форма собирает больше данных, чем нужно для цели;

• нет отдельного согласия для рассылки;

• нет понятного способа отозвать согласие;

• на сайте используются метрики, виджеты, чаты, CRM или зарубежные сервисы, но это не отражено в документах.

Правильная форма должна быть понятной для пользователя. Человек должен видеть, кто собирает данные, для какой цели и с какими документами он соглашается.

Например, если пользователь оставляет телефон для консультации, не стоит одновременно включать в этот же чекбокс согласие на рекламную рассылку, передачу данных партнерам и бессрочное хранение. Чем шире и туманнее формулировка, тем выше риск претензий.

Многие предприниматели думают о персональных данных только в контексте сайта и клиентов. Но почти у каждой организации есть сотрудники, а значит — кадровые персональные данные.

Работодатель обрабатывает:

• ФИО сотрудников;

• паспортные данные;

• адреса;

• телефоны;

• сведения об образовании;

• данные трудовых договоров;

• сведения о зарплате;

• документы воинского учета;

• больничные и иные кадровые сведения.

Поэтому документы по 152-ФЗ должны учитывать не только клиентов, но и работников. Если компания подает уведомление в Роскомнадзор, но забывает про кадровую обработку, сведения могут быть неполными.

Для работодателя важно оформить доступ сотрудников к персональным данным, инструкции, обязательства о неразглашении, порядок хранения кадровых документов и правила уничтожения копий документов, которые больше не нужны.

Клиентские данные — самая заметная часть обработки. Они появляются в заявках, CRM, договорах, счетах, актах, переписке, мессенджерах, телефонии, доставке, программах лояльности и рассылках.

Для клиентов нужно определить:

• какие данные собираются;

• для какой цели;

• какое правовое основание используется;

• нужна ли отдельная форма согласия;

• кто имеет доступ к базе;

• где хранятся данные;

• кто является подрядчиком;

• как клиент может отозвать согласие;

• как компания отвечает на запросы.

Например, интернет-магазин может обрабатывать данные для оформления заказа и доставки. Онлайн-школа — для заключения договора и предоставления доступа к обучению. Клиника — для записи на прием и оказания медицинских услуг. У каждого сценария будет свой набор документов и рисков.

Поэтому шаблон «для всех сайтов» часто не работает. Он не учитывает отрасль, реальные формы, подрядчиков, категории данных и особенности обработки.

Современный бизнес почти никогда не хранит персональные данные только «у себя на компьютере». Обычно используются CRM, облачные диски, сервисы рассылок, телефония, онлайн-чаты, мессенджеры, платежные сервисы, подрядчики по рекламе, бухгалтерия на аутсорсе.

Это не запрещено само по себе. Но нужно понимать, кому и на каком основании передаются персональные данные.

Если подрядчик получает доступ к персональным данным клиентов или сотрудников, отношения с ним нужно оформить корректно. В ряде случаев требуется условие о поручении обработки персональных данных, обязанности соблюдать конфиденциальность, принимать меры защиты и обрабатывать данные только в рамках поручения оператора.

Отдельно нужно анализировать зарубежные сервисы. Если персональные данные передаются за пределы России, может возникать трансграничная передача. Статья 12 152-ФЗ регулирует трансграничную передачу и предусматривает, какие сведения оператор должен учитывать и получать до подачи соответствующего уведомления. 

Для малого бизнеса это часто становится неожиданностью. Компания подключила виджет, рассылку или зарубежную CRM, но не отразила это ни в политике, ни в уведомлении, ни во внутренних документах.

Закон требует не только подготовить документы, но и принять правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения и иных неправомерных действий. 

В практическом смысле это означает:

• назначить ответственного за персональные данные;

• определить, кто имеет доступ к данным;

• ограничить доступ по ролям;

• вести учет документов и баз;

• не хранить лишние копии паспортов и анкет;

• использовать пароли и права доступа;

• закрывать доступ у уволенных сотрудников;

• обучить менеджеров и администраторов базовым правилам;

• определить порядок ответа на запросы субъектов;

• понимать, что делать при инциденте или утечке.

Защита персональных данных — это не только юридический документ, но и порядок внутри компании.

Онлайн сервис «Роском 24». Услуги для ООО, АО, ИП и самозанятых как операторов персональных данных в соответствии ФЗ № 152 «О персональных данных»:

• Регистрация в Роскомнадзоре.

• Подготовка документов по ФЗ 152 «О персональных данных».

• Юридический и технический анализ сайта.

• Полный анализ бизнеса на соответствие требованиям 152-ФЗ.

• Подготовка к проверке Роскомнадзора.

• Ответ на предписания и требования Роскомнадзора.

Рассчитать стоимость услуг

Риски можно разделить на несколько групп.

• Первая группа — административные штрафы. По ст. 13.11 КоАП предусмотрены разные составы нарушений в сфере персональных данных, включая обработку без надлежащего правового основания, нарушения при сборе данных, невыполнение обязанности по уведомлению Роскомнадзора, нарушения локализации и отдельные составы по утечкам. Например, за невыполнение или несвоевременное выполнение обязанности уведомить Роскомнадзор о намерении обрабатывать персональные данные для юридических лиц предусмотрен штраф от 100 000 до 300 000 рублей. 

• Вторая группа — запросы и предписания. Если Роскомнадзор обнаружит проблему или получит жалобу, организации может потребоваться предоставить пояснения, документы, сведения о процессах обработки и подтверждение устранения нарушений.

• Третья группа — репутационные риски. Жалоба клиента на незаконную рассылку, неработающую ссылку на политику или непонятную форму согласия может привести не только к проверке, но и к публичному негативу.

• Четвертая группа — договорные риски. Крупные контрагенты, франчайзеры, маркетплейсы, банки и IT-партнеры все чаще спрашивают документы по персональным данным. Если документов нет, сделка может затянуться.

• Пятая группа — риск утечки. Чем хуже организованы доступы, хранение и подрядчики, тем выше вероятность, что база клиентов или сотрудников окажется не там, где должна быть.

Шаблон может быть полезен как ориентир, но он редко закрывает реальную задачу организации.

Проблема в том, что документы по персональным данным должны соответствовать фактической обработке. Если компания использует CRM, сайт, форму записи, телефонию, рассылки, подрядчиков и мессенджеры, это должно быть отражено в документах.

Типовой шаблон часто не отвечает на вопросы:

• кто конкретно оператор;

• какие формы есть на сайте;

• какие данные собираются;

• какие цели обработки используются;

• какие подрядчики получают доступ;

• есть ли трансграничная передача;

• как субъект может отозвать согласие;

• кто отвечает за обработку внутри компании;

• какие меры защиты реально применяются.

В результате у бизнеса появляется ощущение безопасности, но не сама безопасность. Документы вроде бы есть, а при проверке выясняется, что они не совпадают с сайтом и реальными процессами.

Можно начать с короткого внутреннего аудита.

Проверьте сайт:

• есть ли политика обработки персональных данных;

• открывается ли она с каждой страницы;

• есть ли ссылки под всеми формами;

• есть ли чекбоксы;

• не стоят ли чекбоксы заранее;

• разделены ли согласие на обработку и согласие на рассылку;

• совпадают ли формы сайта с текстом политики;

• указаны ли актуальные данные оператора.

Проверьте Роскомнадзор:

• подано ли уведомление об обработке персональных данных;

• есть ли организация в реестре операторов;

• актуальны ли сведения;

• совпадают ли цели обработки с фактическими процессами;

• отражены ли сотрудники, клиенты, пользователи сайта и подрядчики.

Проверьте документы:

• есть ли локальные акты по 152-ФЗ;

• назначен ли ответственный;

• есть ли согласия;

• оформлен ли доступ сотрудников;

• есть ли порядок ответа на запросы;

• есть ли порядок уничтожения данных;

• отражены ли подрядчики и поручения обработки.

Проверьте процессы:

• где хранится клиентская база;

• кто имеет доступ к CRM;

• удаляются ли доступы после увольнения;

• кто отвечает за рассылки;

• какие сервисы подключены к сайту;

• передаются ли данные за границу;

• кто действует при запросе клиента или Роскомнадзора.

Комплексная работа по защите персональных данных обычно начинается с диагностики. Специалист смотрит, какие данные собирает организация, где они появляются, через какие формы, кому передаются и какие документы уже есть.

Затем формируется план приведения в порядок:

• регистрация в Роскомнадзоре как оператора персональных данных;

• подготовка или обновление уведомления;

• подготовка политики обработки персональных данных;

• подготовка согласий и формулировок под формы сайта;

• подготовка внутренних документов по 152-ФЗ;

• проверка чекбоксов, ссылок и текстов на сайте;

• анализ CRM, подрядчиков и сервисов;

• рекомендации по доступам и хранению;

• помощь при запросах и предписаниях.

Ценность такой работы в том, что документы готовятся не абстрактно, а под реальные процессы. Для интернет-магазина один комплект, для клиники — другой, для онлайн-школы — третий, для B2B-компании с заявками на сайте — четвертый.

Есть ситуации, когда откладывать защиту персональных данных рискованно.

Например:

• запускается новый сайт;

• на сайте появились формы заявок;

• компания начала использовать CRM;

• подключили рассылки;

• открыли онлайн-школу;

• запустили медицинскую запись;

• начали собирать заявки на рекламе;

• появился личный кабинет;

• изменились реквизиты или адрес компании;

• сменились подрядчики;

• подключили зарубежный сервис;

• получили запрос от клиента;

• пришло письмо или требование от Роскомнадзора;

• планируется сделка с крупным контрагентом.

В таких случаях лучше сначала проверить обработку персональных данных, а потом масштабировать рекламу и продажи. Иначе рост заявок может одновременно увеличить и юридические риски.

Минимальный набор для сайта зависит от конкретной модели бизнеса, но обычно нужно проверить следующие элементы:

• политика обработки персональных данных;

• согласие на обработку персональных данных;

• согласие на рекламную рассылку, если есть рассылка;

• корректные чекбоксы под формами;

• ссылки на документы под каждой формой;

• отсутствие заранее проставленных согласий;

• понятное описание цели обработки;

• актуальные реквизиты оператора;

• контакт для запросов субъектов персональных данных;

• соответствие текстов фактическим формам и сервисам.

Важно не просто разместить документы, а связать их с пользовательским сценарием. Если человек оставляет заявку на консультацию, он должен понимать, что его данные используются для связи с ним. Если он подписывается на рассылку, согласие на рассылку должно быть отдельным и понятным.

Если организация получает запрос, не стоит отвечать на него в спешке и отправлять все подряд. Нужно сначала понять, что именно запрашивается, какие документы есть, какие сведения актуальны и какие риски видны уже сейчас.

Обычно нужно проверить:

• подано ли уведомление в Роскомнадзор;

• совпадают ли сведения в реестре с текущими процессами;

• есть ли политика обработки персональных данных;

• есть ли локальные документы;

• оформлены ли согласия;

• корректны ли формы сайта;

• кто отвечает за обработку;

• есть ли подтверждение мер защиты;

• какие подрядчики имеют доступ к данным.

Если часть документов отсутствует, лучше быстро и аккуратно привести комплект в порядок, чем направлять разрозненные и противоречивые материалы.

В ситуациях с запросами, предписаниями и риском проверки предприниматели часто обращаются за сопровождением в Роском 24, чтобы оценить позицию, подготовить документы и снизить вероятность новых претензий.

Стоимость зависит от объема работы. Одной компании нужно только подать уведомление в Роскомнадзор. Другой — подготовить полный комплект документов по 152-ФЗ. Третьей — дополнительно проверить сайт, формы, чекбоксы, CRM, рассылки и подрядчиков.

На цену обычно влияют:

• организационно-правовая форма;

• количество сайтов;

• наличие сотрудников;

• количество форм заявок;

• тип данных;

• наличие специальных категорий данных;

• использование CRM и подрядчиков;

• наличие рассылок;

• трансграничная передача;

• необходимость срочного сопровождения;

• наличие запроса или предписания.

Если у организации пока ничего не оформлено, не нужно пытаться решить все хаотично за один день. Лучше идти по понятному алгоритму.

• Шаг 1. Определить, какие персональные данные обрабатываются.

• Шаг 2. Разделить данные по категориям: клиенты, пользователи сайта, сотрудники, кандидаты, подрядчики, представители контрагентов.

• Шаг 3. Проверить, подано ли уведомление в Роскомнадзор.

• Шаг 4. Подготовить или обновить документы по 152-ФЗ.

• Шаг 5. Проверить сайт, формы, чекбоксы и ссылки.

• Шаг 6. Проверить CRM, рассылки, телефонию, мессенджеры и подрядчиков.

• Шаг 7. Назначить ответственного и ограничить доступы.

• Шаг 8. Настроить порядок ответа на запросы субъектов и Роскомнадзора.

Этот алгоритм помогает перейти от формального подхода к рабочей системе защиты персональных данных.

Во многих случаях — да, потому что через форму заявки организация получает персональные данные пользователя: имя, телефон, email или другую информацию. Нужно оценивать конкретную ситуацию, но рассчитывать на то, что «маленькая форма не считается», небезопасно.

Нет. Политика — важный документ, но она не заменяет уведомление в Роскомнадзор, согласия, внутренние документы, порядок доступа, меры защиты и корректные чекбоксы под формами.

Можно использовать как ориентир, но не как готовое решение. Документ должен соответствовать вашей организации, сайту, формам, целям обработки, подрядчикам и реальным процессам.

Если компания направляет рекламные или маркетинговые сообщения, согласие на рассылку лучше оформлять отдельно от общего согласия на обработку персональных данных. Один общий чекбокс на все цели создает лишние риски.

Нужно проверить, требуется ли обновить сведения. По ст. 22 152-ФЗ при изменении сведений, указанных в уведомлении, оператор обязан уведомить уполномоченный орган не позднее 15-го числа месяца, следующего за месяцем, в котором возникли изменения. 

Сначала нужно внимательно изучить запрос, проверить документы и фактические процессы. Не стоит отправлять шаблоны без анализа: если документы противоречат сайту или реальности, это может усилить риски.

Защита персональных данных для организации начинается не с шаблона политики, а с понимания процессов. Нужно знать, какие данные собираются, зачем, где хранятся, кому передаются и какие документы подтверждают законность обработки.

Минимально бизнесу стоит проверить три направления: регистрацию в Роскомнадзоре, документы по 152-ФЗ и сайт. Именно там чаще всего обнаруживаются ошибки: неподанное или неточное уведомление, формальные документы, некорректные согласия, неправильные чекбоксы и отсутствие ссылок под формами.

Получить консультацию можно до того, как возникнет проблема. Обычно это дешевле и спокойнее, чем приводить документы в порядок после жалобы, запроса или проверки.

Реклама: ООО «ОНЛАЙН УСЛУГИ 24», ИНН 7751227590, erid: 2W5zFHRSCEV