30 мая 2025 года вступили в силу обновления к 152-ФЗ — теперь несоблюдение закона оборачивается не формальностью, а реальными миллионами штрафов и блокировками. Если у вас есть сайт, CRM, клиентская база или даже просто Excel с именами — вы обязаны зарегистрироваться как оператор персональных данных.
Почему сейчас об этом говорят все?
152-ФЗ существует с 2006 года. Но за последние 2 года он стал совсем другим:
- Изменяется каждые 3–6 месяцев
- Поправки 420-ФЗ и 421-ФЗ (вступили в силу с 30.05.2025) — самые жёсткие за всю историю
- Введена уголовная ответственность за «серые» базы
- Штрафы выросли в десятки раз и теперь могут достигать миллионов
Теперь регистрация в Роскомнадзоре — это не «бюрократия ради галочки», а реальная защита вашего бизнеса от проблем, которые могут стоить компании репутации, клиентов и выручки.
ВЕБИНАР "КАК НЕ НАРВАТЬСЯ НА ШТРАФЫ ПО ЗАКОНУ О ПДН"
Спикеры:
– Антон Карцев, CEO AlarmCRM
– Александр Рыжов - юрист, который говорит на языке бизнеса, а не "по Гражданскому кодексу"
Чтобы не пропустить вебинар, подпишитесь на 👉 КАНАЛ
Что грозит бизнесу за несоблюдение 152-ФЗ
⚠️ Больше нет «предупреждений» — теперь санкции начинаются с шестизначных сумм.
Кто обязан зарегистрироваться
Закон говорит просто: оператором считается «государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку ПДн и определяющие её цели и способы» .
То есть важен не размер бизнеса, а сам факт, что вы собираете, храните или передаёте данные людей.
То есть важен не размер бизнеса, а сам факт, что вы собираете, храните или передаёте данные людей.
Исключения? Их всего три
- Обработка исключительно без автоматизации — полностью бумажные реестры, никаких файлов, сканов, e-mail и отчётности в электронном виде .
- Участие в государственных ИС ПДн, созданных для обеспечения безопасности государства или правопорядка .
- Организации транспортной безопасности, обеспечивающие устойчивую работу ТК РФ .
На практике чисто «бумажный» режим встречается крайне редко: достаточно завести WhatsApp-чат с жильцами или бухгалтерскую программу — и льгота исчезает.
Чек-лист: вы — оператор персональных данных, если...
Хотя бы один «да» — и вы обязаны быть в реестре операторов.
Что нужно сделать прямо сейчас
- Проверить, есть ли вы в реестре РКН: https://pd.rkn.gov.ru
- Подать уведомление по новой форме (после 01.02.2023)
- Подготовить пакет документов (политика, приказы, согласия)
- Привести сайт в порядок: локализация, куки-баннер, чекбоксы
- Назначить ответственного за ПДн
- Настроить технические меры защиты: антивирус, firewall, бэкапы
- Обучить сотрудников
- Разработать план на случай утечки: 72 часа на уведомление
В дальнейшем обновляйте данные при любых изменениях целей, способов обработки, ответственных или мест хранения
Пример: как это выглядит на практике
Компания B2B с 12 сотрудниками:
⚠️ Риски:
Что сделали:
- CRM → amoCRM
- Сайт на Tilda, подключена Google Analytics
- Заявки поступают через форму, телефоны — в WhatsApp
⚠️ Риски:
- Штраф за отсутствие регистрации: 300 тыс. ₽
- Утечка базы = 5–15 млн ₽
- Использование Google → +6 млн ₽
Что сделали:
- Подали уведомление
- Убрали GA и перешли на Метрику
- Настроили бэкапы, обновили антивирус
- Назначили ответственного и провели обучение
Затраты: ≈ 50 тыс. ₽ на аудит + внедрение. Экономия — миллионы.
Обязанности оператора персональных данных: краткий обзор практических требований
1. Уведомление Роскомнадзора — и его постоянная актуализация
- Первичное уведомление подаётся только по новой форме (действует с 01.02.2023)
- При любом изменении целей, категорий данных, ответственных лиц или адресов хранилищ оператор обязан подать корректирующее уведомление не позднее 15-го числа месяца, следующего за изменениями
- Контактное лицо для связи с РКН указывается в уведомлении и обновляется при кадровых перестановках
2. Локальная нормативная база (ЛНА) — “документальный скелет”
Лайфхак: политика и уведомление должны «зеркалить» друг друга; три расхождения — и РКН автоматически относит оператора к группе повышенного риска.
3. Технические и организационные меры
- Антивирус, межсетевой экран, контроль доступа, шифрование, резервное копирование. Затраты на ИБ рекомендуется планировать не ниже 0,1 % выручки в год; счета и акты об оплате хранятся как смягчающее обстоятельство
- Регулярный аудит: внутренний контроль по утверждённому плану, журналы проверок, устранение уязвимостей
- Обучение персонала: инструктаж о том, какие данные можно собирать, как их хранить, что делать при инциденте; факт обучения фиксируется в журналах
4. План реагирования на инциденты (72-часовой таймер)
- Фиксация события и первичная локализация.
- Уведомление РКН в течение 72 ч через личный кабинет; одновременно информируются затронутые субъекты ПДн.
- Внутреннее расследование с итоговым актом: причины, объём утечки, предпринятые меры.
- Корректирующие действия: усиление защиты, обновление ЛНА, повторное обучение сотрудников.
5. Назначение ответственного (DPO по-русски)
- Для ИП это может быть сам владелец; для компании — любой сотрудник с административным ресурсом.
- Должностная инструкция включает контроль соответствия 152-ФЗ, ведение реестра баз данных, взаимодействие с РКН и субъектами.
- Ответственный указывается в приказе и в уведомлении; смена человека → корректировка обоих документов.
- Первичное уведомление подаётся только по новой форме (действует с 01.02.2023)
- При любом изменении целей, категорий данных, ответственных лиц или адресов хранилищ оператор обязан подать корректирующее уведомление не позднее 15-го числа месяца, следующего за изменениями.
- Контактное лицо для связи с РКН указывается в уведомлении и обновляется при кадровых перестановках.
Суть: регистрация в реестре — лишь «паспорт» оператора. Настоящая обязанность — наладить живой цикл: документировать процессы, защищать данные, обучать команду и быть готовым за 72 ч. доказать РКН, что вы держите ситуацию под контролем.
Как подготовить бизнес к регистрации в Роскомнадзоре
Процесс сдаётся «под ключ» только тогда, когда внутри уже наведен порядок. Ниже — рабочая дорожная карта, которой пользуются консультанты при запуске проекта соответствия 152-ФЗ.
1. Назначьте ответственного и сформируйте мини-команду
- Издайте приказ о назначении лица, курирующего обработку ПДн (для ИП это может быть сам владелец).
- Определите, кто поможет: ИТ-специалист (инвентаризация систем), юрист/HR (документы), маркетолог (сайт, рассылки).
- Внесите Ф. И. О., телефон, e-mail ответственного в будущем уведомлении. При любой замене человека — подавайте корректировку до 15-го числа следующего месяца.
2. Составьте «карту данных»
- Цели — зачем нужны ПДн (кадровый учёт, маркетинг, доставка, обслуживание клиентов и т. д.).
- Субъекты — сотрудники, клиенты, подписчики, поставщики.
- Категории данных — Ф. И. О., телефоны, адреса, cookie, метрики и т. д.
- Системы — CRM, 1С, Google Sheets, почта, чат-боты, складские программы.
- Хранилища — локальные серверы, облачные ЦОД, ноутбуки, смартфоны.
Результат фиксируется в таблице (Excel или Miro) — она станет основой для политики и уведомления.
3. Проведите инвентаризацию сайта и внешних сервисов
- Проверяем, где физически размещён сервер (только РФ).
- Выявляем все счётчики, cookie, формы и CAPTCHА.
- Убираем зарубежные аналитические сервисы (Google Analytics, reCAPTCHA) во избежание штрафа до 6 млн ₽.
- Делаем чек-боксы согласия необязательными по умолчанию; ссылки на политику и согласия — рабочими.
4. Оцените вред субъектам и уровень защищённости
- Градация РКН: до 1000, 1 000–100 000, >100 000 субъектов.
- Итог оформляется Актом оценки вреда + Актом определения уровня защищённости ИСПДн.
- На базе акта выбираются классы СЗИ (антивирус, DLP, шифрование).
5. Подготовьте комплект локальных нормативных актов
Документы утверждаются директором/ИП и синхронизируются с данными в уведомлении; расхождения ≥ 3 автоматически повышают риск-профиль компании.
6. Проверьте технические меры защиты
- Антивирус и актуальные патчи на всех рабочих станциях.
- Межсетевой экран/IPS на периметре.
- Резервное копирование баз на отдельный носитель или облако.
- Ограничение прав доступа по принципу «минимально необходимого».
- Документальное подтверждение инвестиций ≥ 0,1 % оборота — весомый аргумент при проверке.
7. Организуйте обучение персонала
- Минимум раз в год — вводный и повторный инструктаж (фиксируется в журнале).
- Темы: какие данные собирать, как хранить, что делать при подозрении на утечку.
- Зафиксируйте факт обучения: подписи в ведомости или протоколе.
8. Сформируйте уведомление для РКН
- Используйте актуальную форму (после 01.02.2023).
- Впишите все цели, базы, защитные меры и данные об ответственном.
- Проверьте, чтобы каждая цель имела отражение в политике и ЛНА.
9. Подайте уведомление и сохраните подтверждения
- Каналы: портал Госуслуг (КЭП руководителя) или личный кабинет pd.rkn.gov.ru.
- Сохраните квитанцию о приёме и номер реестровой записи.
- Добавьте запись в календарь: ежегодный аудит + проверка актуальности целей и баз.
10. Настройте «петлю возврата»
- Раз в квартал: мини-ревизия целей и систем.
- При любом изменении — корректируем ЛНА ➜ вносим правки в уведомление (до 15-го числа следующего месяца).
- Зафиксируйте цикл в регламенте внутреннего контроля, чтобы процесс не зависел от смены сотрудников.
Итог: грамотно подготовившись, вы подаёте уведомление лишь тогда, когда все процессы, документы и техника уже «строем». Такой подход экономит деньги (нет повторных уведомлений и штрафов за расхождения) и время команды, а главное — формирует устойчивую систему защиты персональных данных вместо разовой «галочки».
Частые ошибки компаний при работе с персональными данными и как их избежать
Совет: используйте этот список как «живую» доску контроля — проставьте статусы, назначьте ответственных и дедлайны. После закрытия всех 10 пунктов риск штрафа падает в разы.
Практические рекомендации, сервисы и инструменты для соблюдения 152-ФЗ
1. Бесплатные официальные источники
- Портал Госуслуг (gosuslugi.ru) — подача первичного или корректирующего уведомления с КЭП руководителя.
- pd.rkn.gov.ru — реестр операторов, форма уведомления об инциденте, методички РКН и ответы на FAQ.
- КонсультантПлюс / Гарант — актуальные тексты КоАП, 152-ФЗ, приказа Минцифры № 180 и чек-листов РКН.
- 1С:Лекторий — восемь бесплатных двухчасовых лекций юристов-практиков (осень 2024 + обновления)
2. Специализированные конструкторы документов (онлайн-сервисы)
Совет: прежде чем покупать, запросите демо-доступ и проверьте:
- Есть ли экспорт всех документов в .docx для хранения офлайн.
- Можно ли пригласить стороннего юриста для ревью.
- Шифруется ли хранение данных клиента в сервисе (TLS + ГОСТ).
3. Инструменты экспресс-аудита сайта
- DevTools → Network (Chrome/Edge/Firefox) — мгновенно показывает все сторонние домены и cookie.
- Lighthouse или webhint — прогон через CLI-скрипт выявляет отсутствие cookie-баннера, «битые» ссылки на политику, устаревший TLS.
- SubDPA Scanner (open-source) — ищет зарубежные JS-библиотеки, iFrame платёжных систем, шрифты Google Fonts.
- Парсер WHOIS/IP (например, whois-service.ru) — подтверждает, что сервер физически находится в РФ.
4. Базовый набор технических средств защиты
Финансирование: РКН публично рекомендует тратить не менее 0,1 % годовой выручки на ИБ; акты приёмки-передачи служат смягчающим фактором при штрафах.
5. Мини-план автоматизации «на год вперёд»
- Q1–Q2 (кварталы): выбор и внедрение конструктора документов; выпуск ЛНА; подача уведомления.
- Q3: подключение DLP/EDR, автоматизация резервного копирования, обучение персонала.
- Q4: внутренний аудит, корректировка уведомления, пен-тест сайта, обновление актов оценки вреда.
Главное: используйте бесплатные госресурсы, опирайтесь на открытые шаблоны и при необходимости подключайте юристов или SaaS-сервисы, чтобы закрыть «бумажную» часть. Техническую защиту и мониторинг сайта можно начать с open-source-инструментов, постепенно переходя на промышленные решения.
Заключение: делаем соблюдение 152-ФЗ конкурентным преимуществом
Последние поправки вывели персональные данные из «юридической мелочи» в зону стратегического риска. Штрафы теперь исчисляются миллионами и привязаны к выручке, а любая жалоба клиента автоматически запускает проверку.
Но в этом есть и плюс: компании, которые системно защищают данные, выигрывают у конкурентов — им доверяют партнёры, инвесторы и клиенты.
Самая дорогая ошибка — откладывать. Штрафы растут быстрее, чем бюджет «на потом», а репутационные потери не компенсирует ни одна страховка.
Но в этом есть и плюс: компании, которые системно защищают данные, выигрывают у конкурентов — им доверяют партнёры, инвесторы и клиенты.
- Регистрация в РКН — только начало. Без живых процессов (ЛНА + техзащита + обучение) уведомление превращается в «флажок» для инспектора.
- Сайт — витрина комплаенса. Баннер cookie, российский хостинг, раздельные согласия и отказ от иностранных метрик защищают от штрафа 60 000–6 000 000 ₽.
- 72 часа на инцидент. Назначьте ответственного, держите шаблоны уведомлений и журналы расследований — это снижает санкции в разы.
- 0,1 % оборота на ИБ — инвестиция, а не расход. Документально подтверждённые траты смягчают наказание и повышают устойчивость бизнеса.
Самая дорогая ошибка — откладывать. Штрафы растут быстрее, чем бюджет «на потом», а репутационные потери не компенсирует ни одна страховка.
Ваши следующие шаги
- Проверьте: есть ли ваша компания в реестре операторов ПДн и совпадает ли уведомление с действительностью.
- Соберите «карту данных»: цели → субъекты → системы → хранилища.
- Подготовьте пакет ЛНА и синхронизируйте его с политикой и сайтом.
- Запланируйте аудит сайта и техническую доработку (локализация, куки-баннер, замена западных сервисов).
- Организуйте регулярный контроль: квартальный самоаудит + годовое обучение персонала.
Успейте задать вопрос эксперту на ВЕБИНАРЕ "КАК НЕ НАРВАТЬСЯ НА ШТРАФЫ ПО ЗАКОНУ О ПДН"
Чтобы не пропустить вебинар, подпишитесь на 👉 КАНАЛ
Соблюдение 152-ФЗ — не разовая кампания, а элемент культуры компании. Чем раньше вы встроите его в процессы, тем надёжнее защитите бизнес и репутацию.
