Персональные данные: что бизнесу пересмотреть после роста штрафов

С 30 мая 2025 года действуют изменения закона № 420-ФЗ, усилившие административную ответственность за ряд нарушений при работе с персональными данными. Среди специальных составов — отдельные нарушения уведомления об обработке или об утечке. Размер санкции зависит от конкретного состава, повторности и фактов; единого штрафа за «любую ошибку» нет.

Инвентаризируйте данные

Составьте список мест, куда попадают имя, телефон, электронная почта, резюме, заявки сайта, клиентская переписка и кадровые документы. Для каждой цели определите, какие сведения необходимы, у кого есть доступ, кому они передаются и сколько хранятся. Сопоставьте политику конфиденциальности с реальным процессом.

Проверьте обязанности оператора

Определите, нужно ли направить уведомление Роскомнадзору до начала обработки, где находится база данных при сборе сведений граждан РФ через интернет, существует ли трансграничная передача и какова цель каждого набора данных. Отдельно проверьте договоры с почтой, CRM, хостингом и обработчиками.

Подготовьте план на случай утечки

Ограничьте дальнейший доступ, сохраните журналы и выясните, какие категории сведений затронуты. Закон устанавливает специальные сроки уведомления регулятора; оцените обязанность и сроки сразу, а не после завершения расследования. Назначьте ответственного, подготовьте шаблон внутреннего отчёта и канал эскалации.

• Регулярно проверять права пользователей и отключать лишние аккаунты.
• Удалять сведения, когда цель обработки достигнута, если хранение не требуется по закону.
• Не пересылать копии документов и данные инцидента в публичные чаты.

Форма согласия не устраняет необходимость определить законное основание, сроки и место обработки. Обзор не заменяет аудит конкретной системы и правовую оценку инцидента.

Проведите инвентаризацию обработки

Составьте карту процессов, где компания получает данные людей: кадровый учёт, заявки на сайте, пропуска, рассылки, звонки, видеонаблюдение и передача сведений подрядчикам. Для каждого процесса зафиксируйте цель, состав данных, правовое основание, получателей, срок хранения и ответственного. Собирайте только сведения, необходимые для конкретной цели. Согласие не заменяет другие законные основания и не даёт разрешения на любые последующие действия.

Проверьте уведомление Роскомнадзора: до начала обработки оно требуется большинству операторов, если не применяется исключение из закона. Обновляйте сведения при изменении целей и процессов. Отдельно проверьте локализацию баз данных российских граждан, поручения подрядчикам, доступ сотрудников, меры защиты и удаление сведений после завершения срока хранения.

Что изменилось в ответственности

С 30 мая 2025 года действуют повышенные санкции по ряду составов закона о персональных данных. Для утечки размер штрафа зависит, среди прочего, от числа затронутых субъектов и идентификаторов; для юридических лиц предусмотрены многомиллионные диапазоны, а повторная утечка может повлечь оборотный штраф. Отдельная ответственность предусмотрена за непредставление уведомления об инциденте. Точная квалификация зависит от фактов, повторности и редакции КоАП РФ, поэтому старые памятки с прежними суммами могут быть неверны.

План действий при инциденте

Немедленно ограничьте утечку, сохраните журналы доступа и определите источник, категории данных и число затронутых людей. Закон устанавливает сжатые сроки: первичное уведомление Роскомнадзора направляется в течение 24 часов, результаты внутреннего расследования — в течение 72 часов. Назначьте ответственного и канал эскалации заранее; документируйте локализацию и принятые меры.

• Ограничить доступ к данным по ролям.
• Проверить договоры и безопасность подрядчиков.
• Утвердить порядок срочного сообщения об утечке.
• Не загружать персональные сведения в неутверждённые сервисы.
• Пересчитать риски по актуальной редакции КоАП РФ.

Минимальный набор документов оператора

Организации обычно нужны актуальная политика обработки персональных данных, документы о целях и основаниях обработки, формы уведомлений и согласий там, где они необходимы, перечень допущенных сотрудников и порядок уничтожения данных. Для каждого подрядчика, которому поручена обработка, проверьте договорные условия и безопасность. На сайте политика должна соответствовать реальным формам и процессам; текст, скопированный из чужого шаблона, не подтверждает законность обработки.

После утечки не удаляйте журналы и не ограничивайтесь сменой пароля: сохраните цифровые следы, определите масштаб, выполните требуемое уведомление и уведомите руководство. Обязанность реагировать зависит от роли компании как оператора, а содержание отчёта должно соответствовать фактам расследования.

Обсудить вопрос с Binjaminov & Partners