# Персональные данные в России: 152-ФЗ **Актуально на июль 2026 года.** Учтены изменения: 420-ФЗ, 421-ФЗ (штрафы и УК), 23-ФЗ (локализация), 156-ФЗ (согласия), 233-ФЗ (обезличивание), ПП №1286 (риск-ориентированный надзор). --- ## БЛОК 1: Базовые понятия ### Определения (ст. 3 152-ФЗ) - **Персональные данные (ПДн)** — любая информация, относящаяся к определённому/определяемому физлицу - **Оператор** — лицо, организующее и осуществляющее обработку ПДн, определяющее её цели - **Обработка** — любые действия с ПДн: сбор, запись, хранение, передача, уничтожение ### Категории персональных данных | Категория | Примеры | Режим | |-----------|---------|-------| | **Обычные** | ФИО, телефон, email, адрес | Стандартный | | **Специальные** (ст. 10) | Здоровье, судимости, религия, политика | Письменное согласие | | **Биометрические** (ст. 11) | Изображение лица, голос, отпечатки | Письменное согласие, ЕБС | --- ## БЛОК 2: Регистрация в Роскомнадзоре ### Обязанность уведомления С 01.09.2022 большинство исключений **утратили силу**. Практически все операторы обязаны уведомить РКН до начала обработки. **Исключения (ч. 2 ст. 22):** - Государственные ИС для защиты безопасности (п. 7) - Обработка только на бумаге без передачи третьим лицам (п. 8) - Транспортная безопасность (п. 9) ### Процедура - Портал: **pd.rkn.gov.ru** (с УКЭП) или на бумаге - Срок внесения в реестр: **30 дней** - Изменения: до 15-го числа следующего месяца ### Штраф за отсутствие регистрации (с 30.05.2025) **100 000 – 300 000 ₽** для юрлиц и ИП (ч. 10 ст. 13.11 КоАП) --- ## БЛОК 3: Требования к согласиям (с 01.09.2025) ### Новые правила (156-ФЗ) - Согласие — **отдельный документ** (не в договоре/оферте) - **Отдельное согласие на каждую цель** обработки - Ранее полученные согласия (до 01.09.2025) сохраняют силу ### Обязательные реквизиты согласия - ФИО и паспортные данные субъекта - Наименование оператора - **Конкретная цель** обработки - Перечень ПДн и действий с ними - **Срок действия и способ отзыва** - Подпись субъекта ### Письменная форма обязательна при: - Обработке специальных категорий ПДн - Обработке биометрических данных - Трансграничной передаче в страны без адекватной защиты ### Обработка без согласия (ст. 6) Допускается при: исполнении договора, исполнении обязанностей по закону, защите жизни/здоровья, осуществлении правосудия, законных интересах оператора, журналистской/научной деятельности. --- ## БЛОК 4: Административная ответственность **Скидка 50%** на штрафы по ст. 13.11 КоАП **НЕ применяется**. ### Штрафы за утечки (юрлица, с 30.05.2025) | Масштаб утечки | Штраф | |----------------|-------| | 1 000 – 10 000 субъектов | **3 – 5 млн ₽** | | 10 000 – 100 000 субъектов | **5 – 10 млн ₽** | | > 100 000 субъектов | **10 – 15 млн ₽** | | Специальные категории ПДн | **10 – 15 млн ₽** | | Биометрические данные | **15 – 20 млн ₽** | | **Повторная утечка** | **1–3% выручки** (min 20 млн, max 500 млн ₽) | ### Иные штрафы (юрлица) | Нарушение | Штраф | |-----------|-------| | Неуведомление РКН о начале обработки | 100 000 – 300 000 ₽ | | Неуведомление об утечке (24+72 ч) | **1 – 3 млн ₽** | | Обработка без письменного согласия | 300 000 – 700 000 ₽ | | Нарушение локализации (первое) | **1 – 6 млн ₽** | | Нарушение локализации (повторное) | **6 – 18 млн ₽** | | Непубликация политики на сайте | 30 000 – 60 000 ₽ | | Обработка без письменного согласия **(повторное)** | **1 – 1,5 млн ₽** | | Незаконная передача биометрии | **25 – 50 млн ₽** | --- ## БЛОК 5: Уголовная ответственность (ст. 272.1 УК) Действует с 11.12.2024 (421-ФЗ). Криминализирует **незаконный сбор, использование, передачу, хранение** ПДн, полученных неправомерным путём. | Состав | Наказание | |--------|-----------| | Базовый (ч. 1) | до **4 лет** лишения свободы | | Несовершеннолетние / спецкатегории / биометрия (ч. 2) | до **5 лет** | | Корысть / группа лиц / служебное положение (ч. 3) | до **6 лет** + штраф до 1 млн ₽ | | Трансграничная передача (ч. 4) | до **8 лет** + штраф до 2 млн ₽ | | Тяжкие последствия / ОПГ (ч. 5) | до **10 лет** + штраф до 3 млн ₽ | **Примечание:** направлено против хакеров и инсайдеров. Добросовестные операторы несут только административную ответственность. --- ## БЛОК 6: Локализация данных (с 01.07.2025) ### Императивный запрет (23-ФЗ) Использование БД за пределами РФ при сборе ПДн граждан РФ **НЕ ДОПУСКАЕТСЯ**. **Первичный сбор** (запись, систематизация, накопление, хранение, уточнение, извлечение) — **только в российских БД**. ### Разъяснения регуляторов - Последующая трансграничная передача ранее собранных в РФ данных **не запрещена** (требует процедуры ст. 12) - Иностранные облака (AWS, Google Cloud, Azure) — только для данных, уже записанных в РФ - Прямой сбор через Google Analytics без server-side решения — **нарушение** --- ## БЛОК 7: Трансграничная передача ### Процедура (ст. 12) До начала передачи — уведомление в РКН: страны, получатели, категории ПДн, цели, основания. Срок рассмотрения: **10 рабочих дней**. ### Страны с адекватной защитой (Приказ РКН № 128) **89 государств**: стороны Конвенции СЕ (55 стран) + 34 дополнительные (Израиль, Канада, Китай, Япония, Южная Корея, СНГ). **США НЕ ВХОДЯТ** — требуется расширенная процедура + письменное согласие с указанием страны и получателя. ### Порядок - Страны из перечня: передача **сразу после уведомления** - Страны вне перечня: **ждать 10 дней** + отсутствие запрета + письменное согласие субъекта --- ## БЛОК 8: Обезличенные данные (с 01.09.2025) ### Новая статья 13.1 (233-ФЗ) Минцифры вправе направлять операторам **требования** о предоставлении обезличенных ПДн в ГИС **«Госозеро»** (ЕИП НСУД — Единая информационная платформа Национальной системы управления данными). - Срок: **5 р.д.** (ЛК/Госуслуги) или **30 дней** (иначе) - **Нельзя обезличивать** для ГИС: спецкатегории (кроме медицинских) и биометрию - Обезличенные данные **остаются ПДн** и подлежат защите - Параметры передачи (состав данных, сроки, порядок обезличивания) определяет Правительство РФ совместно с ФСБ ### Требования к обезличиванию Недостаточно просто удалить ФИО или телефон. Необходимо доказать: субъект **не может быть повторно идентифицирован**, даже по косвенным признакам (должность, возраст, регион и т.д.). ### Методы обезличивания (Приказ РКН № 140) Введение идентификаторов, изменение состава/семантики, перемешивание, декомпозиция, агрегация. ### Цель Установить правила безопасного использования больших данных для развития ИИ и отечественных технологий. --- ## БЛОК 9: Права субъектов ПДн | Право | Срок исполнения | |-------|-----------------| | Доступ к своим данным (ст. 14) | **10 р.д.** (+ 5 дней продление) | | Уточнение / блокирование / уничтожение | **7 р.д.** | | Отзыв согласия | Прекращение обработки в **30 дней** | Жалобы: оператору, в РКН (pd.rkn.gov.ru / Госуслуги), в суд. Срок рассмотрения РКН: до **30 дней**. --- ## БЛОК 10: Обязанности оператора ### Ответственный за ПДн (ст. 22.1) Юрлицо **обязано назначить** лицо, ответственное за организацию обработки ПДн. Подотчётен руководителю. ### Политика обработки ПДн (ст. 18.1) Содержит: категории и перечень ПДн для каждой цели, категории субъектов, способы и сроки обработки, порядок уничтожения. При сборе через интернет — **обязательная публикация** на сайте. ### Уведомление об утечках - Первичное: **24 часа** с момента выявления - Результаты расследования: **72 часа** - Портал: раздел «Инциденты» на pd.rkn.gov.ru --- ## БЛОК 11: Уровни защищённости (ПП № 1119, Приказ ФСТЭК № 21) **4 уровня**: УЗ1 (высший) — УЗ4 (базовый). | Критерий | УЗ4 | УЗ3 | УЗ2 | УЗ1 | |----------|-----|-----|-----|-----| | Обычные ПДн клиентов (< 100 тыс.) | ✓ | | | | | Обычные ПДн клиентов (> 100 тыс.) | | ✓ | | | | Спецкатегории / биометрия | | ✓+ | ✓+ | ✓+ | Для УЗ4: СЗИ 6-го класса. Для УЗ1: не ниже 4-го класса. --- ## БЛОК 12: Биометрия и ЕБС ### Единая биометрическая система (572-ФЗ) Коммерческие организации **не могут** самостоятельно хранить биометрию для идентификации — данные передаются в ЕБС. - Субъект вправе через Госуслуги: проверить биометрию, отозвать согласие, отказаться от сбора - Оператор **не вправе отказать** в обслуживании при отказе предоставить биометрию ### Штрафы за утечку биометрии - Первичное: **15 – 20 млн ₽** - Повторное: **1–3% выручки** (min 25 млн, max 500 млн ₽) --- ## БЛОК 13: Риск-ориентированный надзор РКН (с 2026) ### Новые критерии категорий риска (ПП РФ № 1286 от 27.08.2025) С **01.01.2026** Роскомнадзор применяет обновлённые критерии присвоения категорий риска операторам ПДн. ### Категории риска | Категория | Критерий | Частота проверок | |-----------|----------|------------------| | **Высокий риск** | > 100 000 субъектов или спецкатегории в большом объёме | Плановая проверка раз в 2 года или обязательный профвизит ежегодно | | **Категория Б** | > **10 000** записей (порог снижен) | Раз в 2–3 года | | **Средний / низкий** | Менее 10 000 субъектов | По жалобам / мониторинг | ### Автоматизированный контроль - **84%** нарушений выявляется через автоматизированные проверки (роботизированный мониторинг 24/7) - РКН сопоставляет данные из уведомления оператора с сайтом, внутренними документами и фактическими бизнес-процессами - Совместные рейды РКН + ФСБ по значимым операторам ### Подход к проверкам в 2026 РКН оценивает **не наличие документов**, а способность оператора доказать: 1. Обработка имеет **законные цели и основания** 2. Процессы **управляются и контролируются** 3. Документация соответствует **фактическим бизнес-процессам** 4. Применяются **реальные** меры технической защиты ### ОРД (организационно-распорядительная документация) Обязательный пакет документов оператора: - Политика обработки ПДн (публикуется на сайте) - Приказ о назначении ответственного за ПДн - Модель угроз и акт определения уровня защищённости - Перечень ИСПДн с описанием состава ПДн и целей - Журнал учёта обращений субъектов - Журнал учёта инцидентов - Протоколы обучения сотрудников - Договоры с обработчиками (поручения на обработку) - Акты уничтожения ПДн --- ## БЛОК 14: Расширение полномочий ФСБ ### Контроль мер безопасности ФСБ получила **расширенные полномочия** по контролю соблюдения мер безопасности при обработке ПДн. Ранее ФСБ контролировала безопасность ПДн преимущественно в госсекторе — теперь надзор распространяется и на **коммерческих операторов**, обрабатывающих значимые объёмы данных. ### Технические требования ФСБ - Использование **сертифицированных СКЗИ** (средств криптографической защиты) при передаче ПДн по каналам связи - Класс СКЗИ — в зависимости от уровня защищённости (УЗ): КС1–КВ2 - Шифрование каналов связи при трансграничной передаче --- ## БЛОК 15: Изменения IV квартала 2026 (планируемые) ### Технологическая независимость операторов Планируемые изменения направлены на: - **Технологическую независимость** операторов ПДн — снижение зависимости от иностранных технологий - Усиление **цифрового суверенитета** РФ - Повышение уровня **информационной безопасности** ПДн граждан - Установление особенностей обработки обезличенных ПДн при формировании составов данных ### Переход на отечественное ПО Ожидается ужесточение требований к использованию **российского программного обеспечения** для обработки и хранения ПДн, особенно для операторов высоких категорий риска. --- ## Ключевые цифры - Штраф за отсутствие регистрации: **100–300 тыс. ₽** - Штраф за утечку (> 100 тыс. субъектов): **10–15 млн ₽** - Повторная утечка: **до 500 млн ₽** (3% выручки) - Уведомление об утечке: **24 + 72 часа** - Локализация нарушение (повторное): **6–18 млн ₽** - УК 272.1: **до 10 лет** лишения свободы При ответах ОБЯЗАТЕЛЬНО указывай: 1. Конкретные статьи 152-ФЗ и номера подзаконных актов 2. Актуальные размеры штрафов с учётом изменений 2024-2026 3. Сроки вступления в силу новых требований 4. Ссылки на официальные порталы (pd.rkn.gov.ru) 5. Категорию риска оператора и связанные последствия для надзора