Как уже сейчас нужно защитить свой бизнес от штрафов или как я заплатил за свою ошибку

Я собственник бизнеса, у меня небольшая строительная компания и я попал на штраф.

Если ваша компания собирает контакты на сайте, по электронной почте, совершает звонки потенциальным клиентам, у Вас хоть один сотрудник и это Генеральный директор, вы — оператор обработки персональных данных. С каждым годом требования Федерального закона № 152-ФЗ «О персональных данных» становятся жестче, а проверки Роскомнадзора и штрафы за нарушения — выше.

В этой статье мы разберем, чем рискует бизнес в 2026-2027 г.  и как правильно привести компанию в соответствие с законом, превратив систему внутренних правил и контроля компании в конкурентное преимущество.

Итак, в мае 2025г были приняты поправки в 152 ФЗ "О персональных данных" из-за чего многократно возросли штрафы: для юридических лиц и индивидуальных предпринимателей они достигают нескольких миллионов, а за повторное нарушение применяются оборотные штрафы. А также вне зависимости от организационно-правовой формы, размера компании, вида деятельности, каждая компания рискует получить штраф одного размера. Это говорит о том, что даже маленькие ИП обязаны позаботиться о решении данного вопроса.

Прежде чем пойдем дальше, развею мифы о том, кто не попадает под действие закона. Под закон попадают все, кто собирает, обрабатывает, хранит данные физических лиц: ФИО, номер телефона, электронная почта, паспортные данные, фотографии, биометрические данные, IP адрес, куки.

Пример 1: У Вас ИП или ООО без сотрудников, сайта нет, заключаете договорные отношения только с юридическими лицами. Казалось бы, где тут персональные данные? 99% собственников таких бизнесов скажут: “Я не обрабатываю персональные данные” и это будет ошибкой, которую я тоже допустил. Если вам позвонит, напишет на электронную почту или мессенджер любой сотрудник потенциального клиента, то на этом этапе вы обрабатываете персональные данные физического лица. Даже, если впоследствии вы заключите с компанией договорные отношения, то факт обработки персональных данных так и остаётся фактом - данные уже обработаны. 

Пример 2: У Вас ИП или ООО, есть сотрудники. Вам уже известны: ФИО, номер телефона, паспортные данные, ИНН, СНИЛС, есть фотография для CRM, корпоративного портала - вы уже являетесь обработчиком персональных данных. Кто-то скажет: “Прекрасно, но это мои сотрудники, у нас подписан трудовой договор”. Все верно, но для составления этого договора вы запрашиваете и получаете персональные данные, то есть автоматически становитесь обработчиком персональных данных и обязаны соответствовать действующему законодательству, в частности 152 ФЗ. 

Пример 3: У Вас ИП или ООО, есть клиентская база. В один из обычных дней ваш сотрудник, имеющий доступ к этой базе, скачивает ее и передает  3-м лицам. Дальше алгоритм простой. Сам сотрудник или один из клиентов заметивший утечку данных подает жалобу в Роскомнадзор. Далее по цифровому следу все отслеживается и приводит в отправную точку. Приходит проверка и выявляет нарушение, параллельно проводя проверку по всем статьям 152 ФЗ. 

Сколько стоит игнорирование 152-ФЗ?

Штрафы за несоблюдение закона суммируются и могут быстро вырасти в миллионные убытки:

• Обработка данных без согласия (или с некорректным согласием) — до 700 000 рублей за первое нарушение и до 1,5 млн рублей за повторное.

• Обработка данных без уведомления Роскомнадзора о начале обработки —  300 000 рублей.

• Отсутствие политики конфиденциальности в открытом доступе — 30 000 - 60 000 рублей.

• Обработка данных за пределами РФ (хранение на зарубежных серверах) — до 6 млн рублей для юридических лиц (при повторном нарушении — до 18 млн рублей).

• Утечка данных — помимо огромных оборотных штрафов (1-3% от годового оборота компании) это мгновенная потеря репутации и доверия клиентов.

Переходим от теории к базе.

Расскажу о 5-ти обязательных шагах для приведения компании в соответствие со 152-ФЗ

Реализация требований закона — это комплексный процесс, который затрагивает юриспруденцию, IT-инфраструктуру и внутренний менеджмент.

1. Аудит данных и процессов. 

Необходимо четко определить, какие именно данные вы собираете (ФИО, телефоны, email, паспорта, cookies, биометрические данные), зачем вы это делаете (цели обработки) и где они хранятся.

2. Разработка пакета документов 

Вам потребуется внутренний и внешний пакет из 13-ти локально-нормативных актов (ЛНА) для проведения проверки:

• Политика обработки персональных данных (должна быть доступна по ссылке на каждой форме сбора данных на сайте).

• Согласия на обработку персональных данных (отдельно для клиентов, сотрудников, маркетинговых рассылок).

• Положения о защите персональных данных, приказы о назначении ответственных лиц, модели угроз безопасности.

3. Уведомление Роскомнадзора

Большинство компаний обязаны подать уведомление о начале обработки персональных данных в Роскомнадзор для включения в официальный реестр операторов.

4. Техническая защита и локализация

• Перенесите все базы данных на серверы физически находящиеся на территории РФ.

 В законе четко прописано «При сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети "Интернет", оператор обязан обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации...» 

• Защитите ваши серверы системами безопасности

• Настройте права доступа для сотрудников, а также пароли на каждом устройстве и меняйте их каждые 60-90 дней.

• Используйте сертифицированные средства защиты информации (антивирусы, шифрование).

5. Обучение персонала

Сотрудники (HR, отдел продаж, маркетинг) должны подписать обязательства о неразглашении и четко знать правила работы с конфиденциальной информацией. 

Заострю внимание на этом пункте, ведь очень часто утечка данных происходит по вине\инициативе сотрудника. Штрафы за утечку данных самые высокие от 1 до 6 млн. рублей. 

Остается логичный вопрос. Сделать самому или доверить экспертам?

Попытка настроить все процессы самостоятельно по шаблонам из интернета или скачать у конкурента — это высокий риск. Каждый бизнес уникален: у интернет-магазина и медицинской клиники абсолютно разные бизнес-процессы, категории данных и уровень защиты этих данных также будет отличаться . Ошибка в одной формулировке согласия на сайте может стоить сотни тысяч рублей. Согласитесь, риск ошибиться очень велик, а применять к себе пословицу “Скупой платит дважды” — не каждый хочет. Стоимость ошибки и бездействия мы уже знаем. 

В заключение скажу, вопрос обработки персональных данных – это зона риска каждого бизнеса. Не игнорируйте, разберись в этом вопросе самостоятельно. Ведь на фоне большого кол-ва утечек, мошенников, желающих завладеть вашими данными, каждый гражданин имеет право на законную обработку и должную защиту его данных.