С сегодняшнего дня бизнесу в России придется куда внимательнее следить за персональными данными. Старые штрафы выросли в разы, появились новые, в том числе оборотные. Это самое масштабное ужесточение закона в этой сфере за последние годы.
Под удар попадают не только ИТ-гиганты. Речь о каждом предпринимателе, кто работает с физлицами, — от офлайн-продавцов до рекламных агентств. Даже если разок отправили клиенту SMS или запросили геолокацию — вы уже в зоне риска.
Кому какие штрафы грозят и как их избежать, SETTERS Media разобралось вместе с юристами:
Любому бизнесу, который:
Обновилось несколько статей КоАП РФ. Изменения вступили в силу с 30 мая 2025 года — ниже самое важное.
За незаконный сбор персональных данных (ч. 1 ст. 13.11 КоАП РФ) теперь грозит:
Нарушите снова — и суммы удвоятся:
Для сравнения: раньше с физлиц не брали больше 5 тыс. руб., а штрафы для юрлиц стартовали с 15 тыс. руб.
В КоАП добавили несколько статей:
Наказание по этим статьям грозит не только бизнесу — прописаны суммы и для «физиков», и для должностных лиц.
За работу с биометрией — лицами, голосами, отпечатками пальцев и другими уникальными данными — ввели отдельные штрафы в статьях 13.11.3 и 14.8, ч. 8, КоАП РФ.
Наказание грозит за:
Нарушите что-то из перечисленного выше — приготовьтесь платить от 200 тыс. до 2 млн руб. (для юрлиц). Штрафы за утечку биометрии еще страшнее: как писали выше, организациям придется отдать от 15 млн до 20 млн руб., за повторные нарушения могут наложить оборотные штрафы.
Раньше давалось 20 дней, чтобы оплатить штраф со скидкой 50%. С 30 мая — уже нет, если речь про персональные данные. Это прописано в ч. 1.3 ст. 32.2 КоАП РФ.
Риски больше, чем когда-либо. Нарушите сразу по нескольким пунктам — получите десятки миллионов штрафов, блокировку сайта и риск уголовного дела. И неважно, кто вы — ИП-одиночка или корпорация.
Проверки внезапны. Если Роскомнадзор планирует визит, то предупредит за пять рабочих дней. Но могут назначить и внеплановую проверку: достаточно жалобы на спам. Впрочем, нередко проверка проходит удаленно: запрос на документы приходит по почте или через «Госуслуги».
Иностранные сервисы — под особенным прицелом. Многие по-прежнему пользуются Google Forms, Notion, Zoom, Dropbox и другими зарубежными платформами. Регулятор может счесть это трансграничной передачей персональных данных — именно это теперь один из главных поводов для внеплановой проверки. Особенно если работаете с детьми, биометрией и российскими гражданами.
Требование хранить и обрабатывать персональные данные россиян в России действует уже давно — с 2015 года. Тогда в закон о персональных данных добавили норму о локализации: сначала данные должны обрабатываться «дома», и только потом — при необходимости — в других странах.
Однако с 1 июля отношение к локализации станет намного строже: используете иностранные облака — потребуют уведомить Роскомнадзор, показать схему ИТ-инфраструктуры с подтверждающими документами. Не сделаете — получите штраф до 6 млн руб. (при повторе — до 18 млн руб.), видно из ч. 7-8 ст. 13.11 КоАП РФ.
Скоро придется делиться данными с государством. С 1 сентября 2025 года Минцифры сможет запрашивать у бизнеса обезличенные персональные данные для единой госбазы. Пока штрафов за отказ нет, но их обещают уже во втором полугодии. Лучше привести данные в порядок заранее.
Все документы должны быть актуальными, прозрачными, читабельными и доступными по первому запросу Роскомнадзора.
Клиент должен явно согласиться (или отказаться) по каждому пункту: отдельные чекбоксы, галочки, кнопки или бумажные подписи — для обработки персональных данных, получения рекламы и cookies. Главное — не заполнять такие чекбоксы автоматически, фиксировать дату и способ согласия, сохранять логи.
Кнопка «отписаться» должна быть на видном месте. Если человек отказался, больше не шлите ему ничего, удалите все его данные.
Настройте двухфакторную аутентификацию, разграничьте доступ сотрудников, шифруйте данные. Особенно если работаете с биометрией.
Не храните копии паспортов уволенных сотрудников или фотографии неподошедших кандидатов «на всякий случай».
CRM, email-платформа, рекламное агентство — кто из них имеет доступ к персональным данным ваших клиентов? Убедитесь, что контрагенты надежные, что с ними есть договоры.
Если используете зарубежные платформы, важно проверить, где физически хранятся данные.
Сделать это можно через «Госуслуги», «Почту России» или сайт Роскомнадзора. Только после внесения в реестр (до 30 дней) сможете официально работать с персональной информацией.
