С 30 мая 2025 года в России вступили в силу ключевые изменения в регулировании персональных данных. Они напрямую касаются работы гражданско-правовых договоров, внутренних регламентов организаций, а также ответственности, предусмотренной КоАП РФ. Ниже — подробный разбор, как Гражданский кодекс РФ взаимодействует с новыми требованиями и что нужно сделать уже сегодня, чтобы не получить штраф до 300 000 ₽.
Где в ГК РФ «спрятаны» правила об обработке персональных данных?
Несмотря на то, что основной объем норм закреплён в Федеральном законе № 152-ФЗ «О персональных данных», Гражданский кодекс РФ (далее — ГК РФ) содержит несколько «точек пересечения»:
- Ст. 152.1 ГК РФ — защита персональных данных как составляющая гражданских прав личности.
- Ст. 309–314 ГК РФ, общие положения об обязательствах, в т. ч. обязанность соблюдать закон при обработке персональных данных как условие договора.
- Ст. 426–428 ГК РФ, публичный договор и присоединение: если вы работаете с массовыми клиентами, условия о согласии на обработку персональных данных должны быть включены в оферту или публичную оферту.
- Ст. 857.1–857.7 ГК РФ — цифровые права и цифровые финансовые активы; при выпуске токенизированных активов обязательно соблюдать правила 152-ФЗ.
Календарь обязательных действий на 2025–2026 гг.
До 30 июня 2025 года (если не успели)
Обязательно:
- Подать уведомление в Роскомнадзор о начале обработки персональных данных по новой форме (приказ Роскомнадзора от № 88).
Шаблон — официальный файл DOCX. - Провести внутренний аудит:
- сверить цели обработки с ст. 6 152-ФЗ;
- уточнить сроки хранения (теперь не более 3 лет после прекращения договора, если иное не предусмотрено спецзаконом).
С 1 сентября 2025 года
Новые правила получения согласия:
- согласие должно быть «отдельным» — нельзя «спрятать» его в договоре;
- обязательно указать: цель, способ обработки, категории персональных данных, условия трансграничной передачи;
- для биометрических данных нужно письменное нотариальное согласие (новая ст. 11.1 152-ФЗ).
С 1 января 2026 года
Вступают в силу поправки к КоАП РФ:
| Статья КоАП | Нарушение | Размер штрафа для юр. лица |
|---|---|---|
| 13.11–13.14 | Обработка без уведомления Роскомнадзора | от 100 000 до 300 000 ₽ |
| 13.15 | Нарушение правил трансграничной передачи | от 300 000 до 500 000 ₽ |
Как оформить внутренний регламент по ГК РФ и 152-ФЗ: пошаговый чек-лист
- Определить статус оператора
- Если вы работаете только с сотрудниками — вы оператор.
- Если обрабатываете данные клиентов по договору подряда — можно быть совместным оператором по ст. 6.1 152-ФЗ.
- Составить политику конфиденциальности
- Короткая версия — в договоре (п. 1 ст. 428 ГК РФ).
- Полная — на сайте, раздел «Персональные данные».
- Подготовить реестр операций
Форма: Excel или ГИС Роскомнадзора (ввод данных через API с ). - Назначить ответственного
Должностная инструкция должна содержать ссылки на:- ст. 152.1 ГК РФ (ответственность за вред),
- ст. 8–10 152-ФЗ (меры безопасности).
- Утвердить регламент приказом руководителя
Хранить 5 лет после последнего изменения (ст. 314 ГК РФ).
7 типовых ошибок в договорах с клиентами
- Отсутствует пункт о трансграничной передаче, штраф 300 000 ₽.
- Формулировка «выражаете согласие на обработку любых ваших данных», недействительна с .
- Нет отдельного чек-бокса для рассылки — нарушение ст. 18 152-ФЗ.
- Цели обработки сформулированы общим текстом, требуется конкретика: «обработка для исполнения договора № ___».
- Отсутствует срок хранения — автоматически 3 года после расторжения договора.
- Нет ссылки на регламент — клиент не может ознакомиться, значит, согласие не информированное.
- Нет условия о правах субъекта — ст. 14 152-ФЗ обязывает сообщать, как можно отозвать согласие.
Алгоритм отзыва согласия клиентом (по ГК РФ + 152-ФЗ)
Шаг 1. Получаем письменный запрос (e-mail с ЭЦП или бумага).
Шаг 2. В течение 3 рабочих дней:
- прекращаем обработку;
- удаляем данные, за исключением тех, что нужны для налоговой (ст. 23 НК РФ) и бухгалтерии (ст. 29 ФЗ «О бухгалтерском учёте»).
Шаг 3. Отправляем клиенту подтверждение: «Ваши персональные данные удалены, кроме ФИО и ИНН, которые хранятся 5 лет по п. 4 ст. 23 НК РФ».
Что нового в 2026: цифровые следы и «Книга памяти»
С вводится понятие «цифровой след» — совокупность файлов cookie, логов, метаданных фото. Для него:
- нужно отдельное согласие;
- технически разделять «основные» персональные данные и «след» (ст. 3.1 152-ФЗ).
Также с в Книгу памяти (электронный реестр Минобороны) будут включаться только те данные, обработка которых согласована:
- с родственниками погибшего,
- с Роскомнадзором (спецразрешение № ПД-ВС/2026).
| Элемент | Норматив | Статус | Дедлайн |
|---|---|---|---|
| Уведомление в Роскомнадзор | Приказ № 88/2025 | ✅ / ❌ | |
| Регламент обработки | Ст. 18.1 152-ФЗ + ст. 314 ГК РФ | ✅ / ❌ | |
| Политика конфиденциальности на сайте | Ст. 18 152-ФЗ + п. 2 ст. 428 ГК РФ | ✅ / ❌ | |
| Письменные согласия на биометрию | Ст. 11.1 152-ФЗ | ✅ / ❌ | |
| Раздел в договоре о трансгранпередаче | Ст. 12 152-ФЗ + ст. 309 ГК РФ | ✅ / ❌ |
Полезные ссылки и документы
- Официальный портал Роскомнадзора
- Полный текст ГК РФ (Консультант+)
- ФЗ № 152-ФЗ в последней редакции
- API для автоматической подачи уведомлений
Главное: все изменения 2025–2026 годов взаимосвязаны с Гражданским кодексом, потому что именно он определяет силу договора, ответственность сторон и порядок исполнения обязательств. Проверьте договоры, регламенты и согласия уже сегодня, чтобы избежать штрафов и судебных споров уже завтра.