Персональные данные — как защищать и обрабатывать по 152-ФЗ

Что такое персональные данные

Закон 152-ФЗ «О персональных данных» определяет ПДн как любую информацию, относящуюся к прямо или косвенно определённому или определяемому физическому лицу — субъекту персональных данных.

Это широкое определение включает:

• Базовые идентификаторы: ФИО, дата рождения, адрес, паспортные данные, ИНН, СНИЛС.
• Контакты: телефон, e-mail, аккаунты в мессенджерах и соцсетях, IP-адрес (по позиции Роскомнадзора 2020 года в большинстве случаев — это ПДн).
• Сведения о работе и доходах: место работы, должность, зарплата, банковские реквизиты.
• Биометрия: фото, отпечатки пальцев, голос, образец почерка — особая категория, с отдельным режимом обработки.
• Сведения о здоровье: диагнозы, история болезни, результаты анализов — специальная категория, обработка только с письменного согласия.
• Сведения о судимости, политических взглядах, религиозных убеждениях, расовой принадлежности — специальные категории с самым жёстким режимом.

ПДн признаются такими независимо от носителя: бумажная анкета, запись в Excel-файле, профиль в CRM, видеозапись с камеры наблюдения с лицом сотрудника — всё это обработка персональных данных.

Кто такой оператор и кто субъект

Оператор ПДн — любое лицо (организация, ИП, госорган, физлицо), которое самостоятельно или совместно с другими организует обработку ПДн, определяет цели и состав обрабатываемых данных. Оператором становится не только тот, кто получил данные, но и тот, кто решил, что и зачем с ними делать.

Типичные операторы:

• работодатели — обрабатывают данные сотрудников и кандидатов;
• интернет-магазины и сайты с формой обратной связи — обрабатывают контакты клиентов;
• врачи и медицинские организации — данные пациентов;
• арендодатели — данные арендаторов из договора;
• УК и ТСЖ — данные жильцов;
• даже самозанятый, ведущий список клиентов в блокноте, — формально оператор.

Субъект ПДн — само физическое лицо, к которому относятся данные. Закон даёт ему расширенный набор прав: знать о составе своих ПДн у каждого оператора, требовать уточнения и удаления, отзывать согласие, обращаться в Роскомнадзор и суд.

На каких основаниях можно обрабатывать ПДн

Статья 6 закона 152-ФЗ перечисляет исчерпывающий список оснований для обработки. Самые частые:

1. Согласие субъекта — самое распространённое основание. Должно быть конкретным, информированным и сознательным: оператор обязан назвать состав данных, цель, перечень действий, срок обработки и порядок отзыва согласия.
2. Договор с субъектом — обработка ПДн, необходимая для исполнения договора (например, доставка товара по адресу клиента). Отдельное согласие не нужно, но цель ограничена исполнением договора.
3. Прямое предписание закона — например, обработка ПДн сотрудника в кадровом учёте по ТК РФ, налогоплательщика по НК РФ. Получать согласие не нужно.
4. Защита жизни, здоровья, прав субъекта — например, передача данных пострадавшего в скорую помощь.
5. Общественный интерес или интерес оператора, не нарушающий прав субъекта, — узкое основание, требует баланса.

В кадровом учёте сочетаются основания «закон» (большая часть данных) и «согласие» (для всего, что не предусмотрено ТК и НК, — например, фото для пропуска, обработка через сторонние сервисы).

Согласие субъекта: как правильно оформить

Согласие — самое уязвимое место операторов. Большинство штрафов Роскомнадзора связаны именно с дефектами согласия: оно либо отсутствует, либо составлено в общих формулировках, либо встроено в иной документ без права отказа.

Обязательные элементы согласия (ст. 9 закона 152-ФЗ):

• ФИО и адрес субъекта;
• наименование и адрес оператора (а если обработка поручена другому лицу — его данные тоже);
• цель обработки;
• перечень обрабатываемых данных;
• перечень действий с данными (сбор, хранение, передача, удаление);
• срок согласия;
• порядок отзыва;
• собственноручная подпись или иной способ идентификации субъекта.

Согласие может быть в простой письменной форме, в электронной форме с электронной подписью или с использованием специальных видов подтверждения (галочка на сайте с фиксацией IP, времени, страницы). Для специальных категорий (здоровье, политические взгляды) и биометрии — только письменная форма, никаких галочек на сайте.

Готовый шаблон с формой согласия и пояснениями — Положение о персональных данных работников. Для подрядчиков с доступом к данным пригодится Соглашение о неразглашении (NDA).

Обязанности оператора

Полный список обязанностей сложен, но базовый минимум знать должен каждый, кто получает хотя бы одну анкету в год.

Документы, которые обязан иметь оператор:

• Политика обработки персональных данных — публикуется на сайте оператора. Содержит цели, категории субъектов, перечень обрабатываемых ПДн, права субъектов, контакты ответственного.
• Положение об обработке ПДн (внутренний документ) — детализирует процедуры.
• Согласия субъектов — хранятся весь срок обработки + 5 лет.
• Журнал учёта обращений субъектов — фиксация запросов и ответов.
• Положение о работе с конфиденциальной информацией для сотрудников, имеющих доступ к ПДн.

Технические и организационные меры:

• ограничение доступа (только сотрудники с прямой необходимостью, идентификация и авторизация);
• защита от несанкционированного доступа (шифрование, антивирус, межсетевые экраны);
• резервное копирование и восстановление при инцидентах;
• ведение журнала событий доступа.

Конкретные технические требования зависят от уровня защищённости информационной системы (УЗ-1 до УЗ-4). Большинство малого бизнеса с типичной CRM попадает в УЗ-3 или УЗ-4 — это базовый набор без сертифицированных средств.

Уведомление Роскомнадзора

С 2022 года почти любая обработка ПДн (кроме узкого перечня исключений — кадровый учёт, обработка только в рамках договора с субъектом) требует подачи уведомления в Роскомнадзор о намерении осуществлять обработку.

Уведомление подаётся до начала обработки. Форма — электронная, через сайт Роскомнадзора (для портала уведомлений требуется учётная запись).

Что указать в уведомлении:

• наименование, ИНН, адрес оператора;
• цель обработки;
• категории и состав ПДн;
• категории субъектов (работники, клиенты, посетители сайта);
• основания обработки;
• срок обработки;
• наличие или отсутствие трансграничной передачи;
• меры по обеспечению безопасности.

После подачи оператор попадает в Реестр операторов ПДн, и любое изменение в составе обработки требует уведомления.

Локализация ПДн на территории РФ

Один из самых обсуждаемых аспектов 152-ФЗ — требование локализации. Статья 18, ч. 5 требует: при сборе ПДн граждан РФ оператор обязан обеспечить запись, систематизацию, накопление, хранение, уточнение и извлечение ПДн в базах данных, находящихся на территории РФ.

Это значит:

• основная база данных (CRM, кадровая система, БД сайта) физически размещена на серверах в России;
• зарубежное облако (Google Drive, Dropbox, AWS) — нельзя как основное хранилище;
• зарубежные сервисы рассылок (Mailchimp, SendGrid) — только если есть резервная локальная база.

Для сайтов это часто решается переносом на хостинг внутри РФ (Selectel, Yandex Cloud, MTS Cloud) либо использованием специальных «локализованных» версий зарубежных сервисов.

При трансграничной передаче ПДн в страны, не обеспечивающие адекватной защиты (определяет Роскомнадзор), требуется отдельное письменное согласие субъекта на трансграничную передачу.

Штрафы и ответственность

С 2025 года ответственность по ст. 13.11 КоАП РФ ужесточена многократно. Штрафы рассчитываются исходя из количества пострадавших субъектов.

Обработка без правовых оснований (ч. 1 ст. 13.11):

• для граждан — от 6 000 до 10 000 ₽;
• для должностных лиц — от 20 000 до 100 000 ₽;
• для ИП и юрлиц — от 150 000 до 300 000 ₽.

Обработка без надлежащего согласия там, где оно обязательно (ч. 2), наказывается строже — для юрлиц от 300 000 до 700 000 ₽.

Утечка ПДн (за первый эпизод), для юрлиц:

• от 3 до 5 миллионов ₽ при утечке данных 1 000 — 10 000 субъектов;
• от 5 до 10 миллионов ₽ при утечке данных 10 000 — 100 000 субъектов;
• от 10 до 15 миллионов ₽ при утечке данных более 100 000 субъектов или специальной категории;
• от 15 до 20 миллионов ₽ при утечке биометрических данных.

Отдельно за неуведомление Роскомнадзора об утечке в течение 24 часов — штраф для юрлиц от 1 до 3 миллионов ₽.

Повторная утечка — оборотный штраф 1-3% от совокупной выручки за предшествующий год, но не менее 20 (для отдельных составов — 25) миллионов и не более 500 миллионов ₽.

Льготная уплата штрафа с 50-процентной скидкой, которую ч. 1.3-3 ст. 32.2 КоАП РФ даёт по нарушениям, выявленным в ходе государственного и муниципального контроля, к составам ст. 13.11 не применяется — они прямо названы в исключениях.

Помимо административных штрафов, оператор может быть привлечён к гражданско-правовой ответственности — субъект ПДн вправе требовать возмещения убытков, морального вреда и удаления данных.

Уголовная ответственность ограничена случаями неправомерного доступа к компьютерной информации (ст. 272 УК РФ) и нарушения тайны переписки (ст. 138 УК РФ). Уголовная ответственность за «обычную» утечку ПДн пока обсуждается, но в КоАП — уже жёсткая.

Права субъекта ПДн

Если вы — гражданин и ваши данные обрабатывают, у вас есть набор прав, который оператор обязан реализовать.

Право на информацию. Запросить у оператора любую информацию о составе ваших ПДн, целях, основаниях, сроках, лицах, которым переданы данные. Оператор обязан ответить в течение 10 рабочих дней с даты обращения или получения запроса; срок продлевается не более чем на 5 рабочих дней с уведомлением заявителя (ст. 20 ФЗ-152).

Право на уточнение, блокировку, уничтожение. Если данные неточны, устарели или их обработка не предусмотрена законом — оператор обязан исправить или удалить.

Право отозвать согласие. В любой момент, в той же форме, в которой согласие давалось. После отзыва оператор обязан прекратить обработку (за исключением обработок, не требующих согласия — кадровый учёт, исполнение договора и т.п.).

Право жаловаться. Через портал Роскомнадзора, в прокуратуру или в суд. Жалоба бесплатна. Порядок подачи обращения в надзорный орган в целом одинаков — он подробно разобран в материале как пожаловаться в Роспотребнадзор (тот же механизм по ФЗ-59 применим и к жалобе в Роскомнадзор).

Право на возмещение. Через суд можно потребовать компенсацию морального вреда и убытков, причинённых незаконной обработкой. Размер компенсации судебной практикой невелик (5-50 тысяч рублей за стандартный случай), но при крупных утечках — растёт.

Отдельный случай — когда данные публикует не компания, а конкретный человек: адрес, телефон или фотографии выкладывает преследователь. Тогда к требованиям по 152-ФЗ добавляются нормы о частной жизни и уголовные составы — разбор в материале есть ли статья за преследование человека.

Что делать бизнесу: чек-лист оператора

Минимальный набор действий, который должен сделать каждый оператор:

1. Определить, что вы обрабатываете: составить список всех ПДн (сотрудники, клиенты, посетители сайта, контрагенты).
2. Назначить ответственного за организацию обработки ПДн — приказом, с должностной инструкцией.
3. Разработать политику обработки ПДн и опубликовать её на сайте.
4. Разработать положение об обработке ПДн (внутренний документ).
5. Собрать согласия субъектов с правильными формулировками.
6. Уведомить Роскомнадзор о намерении обрабатывать ПДн.
7. Перенести базы данных в РФ, если ещё не сделано.
8. Внедрить технические меры — разграничение доступа, антивирус, бэкапы.
9. Обучить сотрудников работе с ПДн (под подпись).
10. Подготовить процедуру реагирования на инциденты — что делать при утечке (24 часа на уведомление Роскомнадзора).

Большинство задач решается через стандартный пакет документов: политика, положение, согласия, должностные инструкции. См. Положение о персональных данных работников, Согласие на обработку персональных данных: бланк и образец и Образец соглашения о неразглашении информации — это базовый минимум для типичного малого бизнеса.

Персональные данные вы указываете и в обычных анкетах — на работу, в банк, на Госуслугах. Как правильно заполнить одну из типовых граф, разобрано в материале Как писать гражданство в анкете.