Сайт с формой обратной связи, онлайн-запись, виджет чата или даже счетчик Яндекс.Метрики на вашем сайте — всё это делает вас оператором персональных данных по смыслу 152-ФЗ. Звучит громко, но на деле это означает, что вы обязаны соблюдать требования закона «О персональных данных», который регулирует, как можно собирать, хранить, использовать и передавать информацию о людях. Закон, принятый еще в 2006 году, за последние пару лет претерпел кардинальные изменения, и теперь его несоблюдение может стоить бизнесу не просто штрафа, а серьезной части годовой выручки. При этом штрафы по 152-ФЗ выросли настолько, что даже для малого бизнеса риски стали ощутимыми — от сотен тысяч до миллионов рублей, а в случае повторной утечки — до нескольких процентов оборота.

Закон не делает исключений для микробизнеса или ИП. Если вы собираете ФИО, телефон, email, дату рождения, храните эти данные в таблице, CRM или даже в мессенджере и используете их для связи или рассылки — вы оператор. И как оператор вы обязаны: иметь законное основание для обработки, уведомить Роскомнадзор о начале обработки, принимать меры защиты и выполнять запросы граждан на доступ, уточнение или уничтожение их данных.

Что изменилось в 152-ФЗ и почему это важно именно сейчас

До недавнего времени штрафы за нарушения в сфере персональных данных были невысокими, и многие предприниматели воспринимали 152-ФЗ как закон «на бумаге». Однако ситуация изменилась кардинально. Вступили в силу масштабные поправки в КоАП РФ, которые кратно увеличили административную ответственность. Также появились новые виды штрафов, в том числе привязанные к выручке компании — по аналогии с европейским GDPR.

Одновременно Роскомнадзор получил расширенные полномочия: проверки сайтов ведутся автоматически, без предупреждения, круглосуточно. Автоматический бот РКН обходит сайты постоянно — фиксирует иностранные трекеры, анализирует формы, проверяет наличие cookie-баннера. Предупреждений нет: сразу составляется протокол об административном нарушении.

Ключевые изменения, которые затронули всех операторов:

• Обязательная регистрация в реестре операторов. Теперь любое лицо или организация, обрабатывающие персональные данные, обязаны зарегистрироваться в реестре Роскомнадзора. За отсутствие регистрации предусмотрены значительно увеличенные штрафы.
• Локализация данных на территории РФ. Все персональные данные должны храниться на серверах, расположенных в России. Использование зарубежных облачных платформ и сервисов теперь сопряжено с рисками нарушений.
• Новые правила согласия. Согласие на обработку данных теперь оформляется как отдельный документ, а не как пункт в пользовательском соглашении. Также строго ограничен сбор только тех данных, которые необходимы для конкретной цели.

Размеры штрафов: от локальных до серьезных взысканий

Шкала штрафов теперь зависит от характера нарушения и масштаба утечки данных. За самые «популярные» нарушения, которые РКН фиксирует чаще всего, предусмотрены санкции, которые могут исчисляться сотнями тысяч и даже миллионами рублей. В особо тяжких случаях, например при повторной утечке крупного объема данных, сумма может достигать нескольких процентов от годовой выручки компании, что для крупных игроков исчисляется десятками миллионов.

Среди основных видов нарушений, за которые следуют серьезные штрафы:

• Отсутствие уведомления в Роскомнадзор о начале обработки;
• Нарушение правил обработки персональных данных (как первичное, так и повторное);
• Утечка персональных данных (в зависимости от количества пострадавших);
• Неуведомление об утечке в установленный срок;
• Нарушение требований по локализации данных на территории России.

Оборотный штраф — принципиально новый инструмент для России. Раньше максимальная сумма была фиксированной, что для крупного бизнеса было несущественно. Теперь штраф привязан к выручке: компания, допустившая повторную утечку, рискует заплатить внушительную часть своего дохода.

Пять нарушений, за которые штрафуют чаще всего

Роскомнадзор в ходе автоматических проверок чаще всего фиксирует следующие нарушения:

• Иностранные трекеры и скрипты — Google Analytics, Meta Pixel, reCAPTCHA, виджеты иностранных сервисов передают данные посетителей на зарубежные серверы. Это трансграничная передача, требующая отдельного оформления: уведомления РКН, указания в политике конфиденциальности и отдельного согласия пользователя.
• Отсутствие или некорректное оформление согласия — когда согласие «вшито» в договор или пользовательское соглашение, а не оформлено как отдельный документ.
• Отсутствие политики конфиденциальности — за это предусмотрен штраф.
• Обработка данных без законного основания — например, сбор данных, несовместимый с целями.
• Несвоевременное уведомление об утечке — также влечет серьезные санкции.

Что делать бизнесу уже сейчас

Эксперты прогнозируют, что в ближайшее время количество проверок возрастет. Чтобы избежать санкций, компаниям необходимо:

• Пройти регистрацию в реестре операторов персональных данных.
• Локализовать данные на российских серверах.
• Актуализировать внутренние документы: политику обработки данных, регламенты и инструкции.
• Заменить иностранные инструменты на российские аналоги — Яндекс Метрика вместо Google Analytics.
• Оформить согласия на обработку как отдельные документы.

152-ФЗ — это не просто формальность, а реальный инструмент, который может серьезно ударить по бизнесу. Штрафы выросли в десятки раз, а автоматические проверки Роскомнадзора не оставляют шанса на «авось пронесет». Лучше потратить время на приведение документации и процессов в порядок сейчас, чем платить миллионы и объяснять регулятору, почему вы не знали о требованиях закона.