Персональные данные: базовые определения
Персональные данные (ПДн) — это любая информация, относящаяся прямо или косвенно к определённому физическому лицу. К типичным ПДн относятся:
- ФИО, дата и место рождения;
- паспортные данные, СНИЛС, ИНН;
- номер телефона, адрес электронной почты;
- геолокация, cookies, IP-адрес;
- биометрические и медицинские сведения.
Даже сочетание двух «мелких» данных (например, имя + номер телефона) уже делает информацию персональной.
ФЗ-152 «О персональных данных»: 7 обязательных требований
Федеральный закон от № 152-ФЗ закрепляет базовые принципы обработки ПДн. Каждый оператор обязан:
- Законность — иметь хотя бы одно из 8 правовых оснований (согласие, договор, исполнение закона и др.).
- Информирование — до начала обработки разместить политику конфиденциальности и уведомить субъекта о целях, способах и сроках обработки.
- Минимизация — собирать только те данные, которые действительно необходимы.
- Конфиденциальность — обеспечить доступ к ПДн только уполномоченным сотрудникам.
- Безопасность — применять организационные и технические меры: шифрование, контроль доступа, резервное копирование.
- Хранение — не дольше целей обработки, после чего уничтожать или обезличивать.
- Трансграничная передача, разрешена только в страны, обеспечивающие адекватную защиту ПДн (список Роскомнадзора).
Уголовная ответственность: статья 272.1 УК РФ
С 01 декабря 2024 года в Уголовный кодекс РФ добавлена статья 272.1. Она предусматривает:
- штраф до 1 млн рублей или лишение свободы до 4 лет за незаконный доступ к компьютерной информации, содержащей ПДн;
- если действия повлекли тяжкие последствия (утечка данных >100 000 записей), санкции возрастают до 7 лет лишения свободы;
- уголовное дело может быть заведено даже при отсутствии ущерба: достаточно факта несанкционированного доступа.
Пример из практики: в марте 2026 года мировой суд Таганского района Москвы признал IT-директора компании виновным по ч. 2 ст. 272.1 за экспорт базы клиентов на личный облачный диск без согласия.
Административные новинки 2026 года
С 30 июня 2026 года вступают в силу поправки в КоАП РФ, усиливающие контроль Роскомнадзора:
| Нарушение | Штраф для юр. лица | Штраф для должностного лица |
|---|---|---|
| Неуведомление о начале обработки ПДн | от 300 000 до 500 000 руб. | от 20 000 до 50 000 руб. |
| Отсутствие политики конфиденциальности на сайте | от 100 000 до 300 000 руб. | от 10 000 до 30 000 руб. |
| Несоблюдение требований к трансграничной передаче | от 1 000 000 до 6 000 000 руб. | от 50 000 до 200 000 руб. |
Как составить политику конфиденциальности по новым правилам
Обязательные разделы
- Общие положения — кто оператор, контакты ответственного за защиту ПДн.
- Перечень ПДн — что именно собирается и из каких источников.
- Цели обработки, чёткое описание, например «для исполнения договора оказания услуг».
- Правовые основания — согласие, договор, закон.
- Сроки хранения — конкретные даты или события (например, «в течение 5 лет после расторжения договора»).
- Меры безопасности — шифрование, двухфакторная авторизация, аудит логов.
- Права субъекта, доступ, исправление, удаление, возражение.
- Трансграничная передача — список стран и обоснование адекватного уровня защиты.
Чек-лист публикации
- Разместить документ в открытом доступе на главной странице сайта (ссылка в футере).
- На странице регистрации/оформления заказа сделать чек-бокс «Я согласен с политикой конфиденциальности».
- Отправить уведомление в Роскомнадзор в течение 10 рабочих дней с момента начала обработки.
Практические советы на 2026 год
Проведите аудит данных. Составьте реестр всех ПДн: где хранятся, кто имеет доступ, какие цели обработки.
Обновите политику. Добавьте ссылки на ст. 272.1 УК РФ и новые коаповские штрафы.
Обучите персонал. Проведите обязательные тренинги для сотрудников, имеющих доступ к ПДн.
Подключите логирование. Используйте SIEM-системы для отслеживания подозрительной активности.
Подготовьтесь к проверкам. Создайте папку «РКН-2026» с договорами, политиками, актами аудита и журналами доступа.
С 2026 года политика конфиденциальности перестаёт быть формальным документом: нарушение может привести к уголовному преследованию (ст. 272.1 УК) и крупным административным штрафам. Достаточно одной утечки или просроченного уведомления, чтобы компания оказалась в центре судебных разбирательств. Своевременное обновление документов, обучение сотрудников и техническая защита персональных данных — единственный способ минимизировать риски и сохранить репутацию.
Не откладывайте ревизию на «потом», проверьте политику уже сегодня!