152-ФЗ простыми словами: что нужно знать бизнесу в 2026 году
Материал ПдПро · обновлено
152-ФЗ простыми словами: если вы собираете имя, телефон или email хотя бы одного клиента, вы уже ведёте обработку персональных данных и являетесь оператором — порога по числу людей в базе закон не ставит. Дальше начинается обязательный пакет документов, ответственность за утечки и штрафы от 10 тысяч до 500 миллионов рублей при повторном нарушении. При этом ИП и ООО отвечают не одинаково: по большинству составов ИП несёт штраф как должностное лицо — в разы меньше, чем юрлицо, а при утечках и хранении данных за рубежом отвечает наравне с компанией. Разбираем, что именно требует закон и как не попасть под санкции.
Зачем этот закон существует
Закон № 152-ФЗ «О персональных данных» принят в 2006 году. Его цель — защитить граждан от незаконного использования их личной информации: утечек, продажи баз, нежелательных звонков, дискриминации.
С момента принятия закон несколько раз ужесточали. Самые значимые этапы:
- 2022 год (266-ФЗ) — ввели обязательное уведомление об утечках (24 и 72 часа), реформировали правила трансграничной передачи данных.
- 30 мая 2025 года (420-ФЗ от 30.11.2024) — вступили в силу новые размеры штрафов по ст. 13.11 КоАП, введён оборотный штраф до 500 млн рублей за повторные утечки. Это главное и самое свежее ужесточение.
- 1 июля 2025 года (23-ФЗ от 28.02.2025) — ввели прямой запрет на обработку персональных данных граждан России с использованием баз данных, расположенных за рубежом.
- 1 сентября 2025 года (156-ФЗ от 24.06.2025) — согласие на обработку ПД теперь оформляют отдельным документом, а не включают в договор или другой документ.
Что такое персональные данные
По ст. 3 152-ФЗ персональные данные — это любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных).
Важно: не только «паспортные данные», а любые сведения, по которым можно установить личность — в том числе косвенно.
Примеры персональных данных
Очевидные:
- Фамилия, имя, отчество
- Дата рождения
- Паспортные данные
- СНИЛС, ИНН физлица
- Домашний адрес
Менее очевидные:
- Номер телефона
- Адрес email
- IP-адрес (в сочетании с другими данными)
- Фотография человека
- Геолокация
Специальные категории (повышенная защита, ст. 10):
- Состояние здоровья
- Расовая и национальная принадлежность
- Политические взгляды
- Религиозные или философские убеждения
- Интимная жизнь
- Судимости (отдельный режим — ч. 3 ст. 10)
Биометрия (отпечатки пальцев, голос, лицо — когда по ним устанавливают личность) — формально не спецкатегория, а отдельная категория со своим режимом (ст. 11), но правило то же: без письменного согласия или прямых законных оснований обрабатывать нельзя.
Специальные категории обрабатывать без явного письменного согласия или особых оснований (ч. 2 ст. 10) нельзя.
Что НЕ является персональными данными
- Данные о юридических лицах (ИНН организации, название компании)
- Обезличенная статистика, по которой нельзя установить личность
- Общедоступная агрегированная информация
Кто такой оператор персональных данных
По ст. 3 152-ФЗ оператор — это государственный орган, муниципальный орган, юридическое или физическое лицо, которое самостоятельно или совместно с другими лицами организует и (или) осуществляет обработку ПД, а также определяет цели обработки, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
Проще: если вы решаете, зачем собирать данные, какие именно и что с ними делать — вы оператор.
Кто является оператором в бизнесе
| Бизнес | Почему оператор |
|---|---|
| Интернет-магазин | Собирает данные покупателей для оформления заказов |
| Кафе или ресторан | Ведёт программу лояльности, принимает бронирования |
| ИП-фрилансер | Работает с клиентами-физлицами по договорам |
| Салон красоты | Хранит базу клиентов с контактами и историей визитов |
| Любой работодатель | Обрабатывает данные сотрудников |
| Школа, детский центр | Собирает данные учеников и их родителей |
Важно: оператором является и ИП, и ООО, и НКО. Размер базы значения не имеет: закон делает оператором уже при обработке данных одного человека (ст. 3 152-ФЗ) — порога в сотни клиентов в законе нет. Размер штрафа при этом у ИП и юрлица разный: за обработку без основания по ч. 1 ст. 13.11 КоАП ИП отвечает как должностное лицо — 50 000–100 000 ₽, юрлицо — 150 000–300 000 ₽; если закон требует письменное согласие (спецкатегории, биометрия) или нарушен его состав — по ч. 2 ИП платит 100 000–300 000 ₽, юрлицо — до 700 000 ₽.
Полный разбор понятия и обязанностей — в статье Кто такой оператор персональных данных: определение и обязанности.
Что такое обработка персональных данных
Обработка — это практически любое действие с данными:
- Сбор (заполнение формы)
- Запись (внесение в CRM)
- Хранение (файл на сервере)
- Уточнение (редактирование)
- Извлечение (выгрузка отчёта)
- Использование (отправка письма)
- Передача (отправка данных партнёру)
- Уничтожение (удаление из базы)
Если хотя бы одно из этих действий происходит — это обработка, и закон применяется.
Основные принципы 152-ФЗ
Закон строится на нескольких принципах, которые должны соблюдаться при любой обработке:
1. Законность и справедливость Данные обрабатываются только при наличии законного основания (договор, согласие, закон).
2. Ограничение целей Данные собираются для конкретной цели и не используются для других целей без нового основания.
3. Минимизация данных Собирайте только те данные, которые реально нужны для заявленной цели. Нельзя требовать паспорт для записи на стрижку.
4. Точность Данные должны быть актуальными. Устаревшие или неверные данные нужно исправлять или удалять.
5. Ограничение хранения Данные нельзя хранить дольше, чем нужно для достижения цели.
6. Безопасность Оператор обязан принимать меры для защиты данных от утечек, несанкционированного доступа, уничтожения.
Основные обязанности оператора
До начала обработки
- Уведомить Роскомнадзор — после реформы 266-ФЗ это касается почти всех: исключения ч. 2 ст. 22 сведены к обработке совсем без средств автоматизации и госсистемам
- Разработать политику обработки ПД и разместить её публично
- Назначить ответственного за организацию обработки ПД (обязанность юрлиц — ст. 22.1 ч. 1; для ИП закон её не устанавливает)
В процессе обработки
- Получать согласие субъектов там, где оно требуется
- Соблюдать принцип локализации: хранить данные россиян на серверах в России (подробнее — ниже)
- Реагировать на запросы субъектов (доступ, исправление, удаление) в установленные сроки
- Не передавать данные третьим лицам без оснований
- Перед трансграничной передачей данных отдельно уведомить Роскомнадзор о своём намерении — до её начала и отдельно от общего уведомления об обработке (ст. 12 ч. 3 152-ФЗ)
Если данные обрабатывает подрядчик — CRM-сервис, рассылки, хостинг, — это поручение обработки (ст. 6 ч. 3 152-ФЗ). В договор обязательно включают перечень данных и действий с ними, цели обработки, обязанность подрядчика соблюдать конфиденциальность и меры безопасности по ст. 19, а также уведомлять оператора об инцидентах (ч. 3.1 ст. 21). Перед субъектом за действия подрядчика всё равно отвечает оператор (ст. 6 ч. 5), а если подрядчик иностранный — отвечают оба (ст. 6 ч. 6).
При утечке
- В течение 24 часов уведомить Роскомнадзор о факте утечки
- В течение 72 часов — сообщить о результатах внутреннего расследования
- Принять меры по устранению последствий
Сроки реакции на запросы субъектов
| Тип запроса | Срок ответа |
|---|---|
| Запрос о наличии и составе ПД (ст. 14 ч. 3) | 10 рабочих дней |
| Запрос на исправление неверных данных (ст. 20 ч. 3) | 7 рабочих дней |
| Запрос на удаление данных (ст. 20 ч. 3) | 7 рабочих дней |
| Прекращение обработки после отзыва согласия (ст. 21) | 30 дней |
| Жалоба в Роскомнадзор | Регулятор рассматривает до 30 дней |
Срок ответа на запрос о наличии и составе данных — 10 рабочих дней (ст. 14 ч. 3). А вот подтверждённый запрос на исправление или удаление данных оператор обязан выполнить быстрее — за 7 рабочих дней (ст. 20 ч. 3). 30 дней — это отдельный срок: он даётся на прекращение обработки после отзыва согласия (ст. 21), а не на ответ на запрос.
Локализация данных: зачем хранить данные в России
Часть 5 статьи 18 152-ФЗ требует, чтобы при сборе персональных данных граждан России первичная запись происходила в базах на территории России.
С 1 июля 2025 года (23-ФЗ от 28.02.2025) действует прямой запрет на обработку персональных данных граждан РФ с использованием баз данных, находящихся за рубежом. Это не означает, что данные нельзя передавать за рубеж — но хранить и обрабатывать их нужно в российских базах.
На практике это означает: облачные сервисы, CRM, базы данных должны иметь серверы в России или использоваться через российских провайдеров.
Если данные всё же уходят за рубеж — иностранному контрагенту, в зарубежное облако, — это трансграничная передача. До её начала оператор обязан отдельно уведомить Роскомнадзор о своём намерении: это отдельное уведомление, помимо общего уведомления об обработке ПД (ст. 12 ч. 3 152-ФЗ).
За нарушение локализации Роскомнадзор блокирует сервисы — именно так были заблокированы LinkedIn и ряд других платформ.
Какие документы нужны бизнесу
Минимальный пакет для любого оператора:
- Политика обработки персональных данных (публичная — на сайте или в офисе)
- Положение об обработке ПД (внутренний регламент)
- Приказ о назначении ответственного (для юрлиц; ИП не обязан — ст. 22.1 ч. 1)
- Согласия (отдельным документом — с 01.09.2025 по 156-ФЗ)
- Регламент реагирования на запросы субъектов
- Регламент реагирования на утечки
Для бизнеса с сотрудниками дополнительно: 7. Документы по кадровому обороту ПД
Без политики — уже штраф: ч. 3 ст. 13.11 КоАП, для ИП 10–20 тыс. руб., для юрлица 30–60 тыс. руб. А это нарушение, которое РКН выявляет автоматически — простым открытием вашего сайта.
Полный перечень из 18 обязательных документов — в статье Перечень документов по 152-ФЗ: полный список для бизнеса.
Полный пакет документов за ~10 минут — это ПдПро. Вы отвечаете на вопросы о своём бизнесе, система определяет, какие именно документы вам нужны, и генерирует готовые шаблоны. Тариф на 6 месяцев — 3 980 руб., на 2 года — 8 980 руб.
Кто проверяет и штрафует
Роскомнадзор (РКН) — основной регулятор. Проводит:
- Плановые проверки (по графику, публикуется заранее)
- Внеплановые проверки (по жалобам субъектов)
- Автоматический мониторинг сайтов
ФСБ — проверяет средства криптозащиты при обработке специальных категорий ПД.
ФСТЭК — лицензирование и проверка технических средств защиты информации.
Штрафы в 2026 году
С 30 мая 2025 года действуют санкции по обновлённой ст. 13.11 КоАП (420-ФЗ от 30.11.2024). Ниже — ключевые составы для коммерческих операторов.
| Нарушение | Статья | ИП | Юрлицо |
|---|---|---|---|
| Нет публичной политики ПД | ч. 3 | 10–20 тыс. | 30–60 тыс. |
| Обработка без основания (без согласия) | ч. 1 | 50–100 тыс. | 150–300 тыс. |
| Обработка без письменного согласия (спецкатегории, биометрия) или с нарушением его состава | ч. 2 | 100–300 тыс. | 300–700 тыс. |
| Нарушение локализации (хранение за рубежом) | ч. 8 | 1–6 млн | 1–6 млн |
| Неуведомление РКН об утечке | ч. 11 | 1–3 млн | 1–3 млн |
| Утечка 1–10 тыс. субъектов | ч. 12 | 3–5 млн | 3–5 млн |
| Утечка 10–100 тыс. субъектов | ч. 13 | 5–10 млн | 5–10 млн |
| Утечка более 100 тыс. субъектов | ч. 14 | 10–15 млн | 10–15 млн |
| Повторная утечка (ч. 12–14) | ч. 15 | 1–3% выручки, 20–500 млн | 1–3% выручки, 20–500 млн |
Примечания:
- По чч. 1 и 2 ст. 13.11 отдельной ставки для ИП в тексте статьи нет, поэтому ИП отвечает как должностное лицо (примечание к ст. 2.4 КоАП) — отсюда суммы ниже, чем у юрлица. По ч. 3 ставка для ИП прописана прямо в самой статье.
- Для ч. 1.1 и ч. 8–18 ИП несут ответственность как юридические лица (примечание 1 к ст. 13.11) — поэтому в этих строках столбцы «ИП» и «Юрлицо» совпадают.
- Скидка 50% при оплате штрафа (ст. 32.2 КоАП) к составам ст. 13.11 не применяется: 420-ФЗ включил статью в перечень исключений ч. 1.3-3 ст. 32.2.
- Дополнительно: Федеральный закон от 30.11.2024 № 421-ФЗ (в силе с 11.12.2024) ввёл уголовную ответственность по ст. 272.1 УК РФ за незаконные использование, передачу, сбор и хранение персональных данных, полученных незаконным путём.
Подробная таблица штрафов — в статье Штрафы за нарушение 152-ФЗ в 2026 году.
Частые вопросы
Я маленький ИП, 152-ФЗ меня правда касается? Да. Закон не делает исключений по размеру бизнеса или числу клиентов в базе — оператором становятся уже при обработке данных одного человека (ст. 3 152-ФЗ). Отличается только штраф: за обработку без основания по ч. 1 ст. 13.11 ИП отвечает как должностное лицо — 50 000–100 000 ₽, у юрлица — 150 000–300 000 ₽. Проверьте свой статус за 2 минуты — тест: вы оператор персональных данных?
Раз клиент сам заполнил форму на сайте, согласие уже есть? Не всегда. Форма должна содержать корректный текст согласия на обработку. С 01.09.2025 согласие оформляют отдельным документом (156-ФЗ) — включить его пунктом в договор или пользовательское соглашение уже нельзя.
Мы не передаём данные третьим лицам — значит, с 152-ФЗ всё в порядке? Нет. Нарушения возможны и без передачи: отсутствие политики обработки ПД, отсутствие ответственного за обработку, хранение данных дольше необходимого срока — каждое из них отдельный штрафуемый состав.
Сколько времени есть на ответ клиенту, который запросил свои данные — 10 дней или 30? Зависит от запроса. На запрос о наличии и составе данных отвечают за 10 рабочих дней (ст. 14 ч. 3 152-ФЗ); на подтверждённое исправление или удаление данных — за 7 рабочих дней (ст. 20 ч. 3). 30 дней — срок прекращения обработки после отзыва согласия (ст. 21), это другой случай.
С чего начать приведение бизнеса в соответствие
- Проведите инвентаризацию: какие данные вы собираете, откуда, где храните, кому передаёте
- Определите правовые основания для каждого вида обработки
- Разработайте комплект документов
- Проверьте, что данные хранятся только на российских серверах
- Настройте технические меры защиты
- Обучите сотрудников
- Уведомьте Роскомнадзор (если требуется)
- Настройте процесс обработки запросов субъектов с соблюдением срока 10 рабочих дней
- Быстро проверить состояние своего сайта по ключевым требованиям 152-ФЗ можно бесплатным инструментом проверка сайта
Не знаете, с каких документов начать? ПдПро задаст вам 15 вопросов о вашем бизнесе и автоматически определит нужный комплект — 18 обязательных документов плюс условные под ваш профиль. Готовые шаблоны, соответствующие актуальным требованиям, за 10 минут. Тариф на 6 месяцев — 3 980 руб., на 2 года — 8 980 руб.