Обработка персональных данных это любое действие со сведениями о людях: получить заявку, записать телефон в таблицу, хранить договор, отправить рассылку, удалить старую базу. Если у вашего бизнеса есть клиенты, сотрудники или сайт с формой, вы уже обрабатываете персональные данные и должны соблюдать Закон № 152-ФЗ «О персональных данных».
Этот гид собирает главное на одной странице: касается ли закон вас, что изменилось к 2026 году, что сделать по шагам и где прочитать подробнее. Каждый раздел короткий и ведет к подробному разбору.
Материал актуален на 22 октября 2026 года. Нормы сверены с Законом № 152-ФЗ в редакции от 26.07.2026 и КоАП РФ в редакции от 04.08.2026.
Обработка персональных данных простыми словами
Персональные данные это любые сведения, по которым можно понять, о каком человеке речь: имя, телефон, email, адрес, фото, номер заказа в связке с покупателем. Подробно с примерами мы разобрали это в статье что относится к персональным данным.
Обработкой закон называет вообще любое действие с такими сведениями, с компьютером или без него, хоть на бумаге (статья 3). Вот как слова из закона выглядят в обычном бизнесе:
| Слово из закона | Как это выглядит в жизни |
|---|---|
| Сбор | Человек заполнил форму на сайте или продиктовал телефон |
| Запись и систематизация | Заявка попала в CRM, клиентов разложили по статусам |
| Хранение | Договоры лежат в папке и в облаке, заявки в почте |
| Использование | Менеджер звонит клиенту, бухгалтер начисляет зарплату |
| Передача | Адрес ушел курьеру, данные сотрудников в бухгалтерию на аутсорсе |
| Распространение | Фото сотрудника опубликовано на сайте |
| Блокирование | Обработку временно остановили, пока проверяют данные |
| Удаление и уничтожение | Старую базу стерли после окончания срока хранения |
Получается, что обработка начинается с первой заявки и заканчивается только тогда, когда данные уничтожены.
Касается ли закон вашего бизнеса
Почти наверняка да. Закон обязателен для каждого, кто сам решает, зачем и какие данные о людях собирать. Такого участника закон называет оператором. Им бывает ООО, индивидуальный предприниматель и даже самозанятый. Размер бизнеса, число клиентов и наличие сотрудников значения не имеют.
Признаки того, что вы оператор:
- на сайте есть форма заявки, корзина, квиз или счетчик посещений;
- вы храните телефоны и email клиентов в CRM, таблице или мессенджере;
- у вас есть сотрудники, соискатели или исполнители по договорам;
- вы общаетесь с менеджерами компаний-партнеров и храните их контакты.
Подробнее в статьях кто является оператором персональных данных, персональные данные для ИП и как понять, что сайт обрабатывает персональные данные.
Проверяют бизнес чаще, чем принято думать. Роскомнадзор не ждет жалобы: его система мониторинга сама просматривает сайты.
- проверок сайтов
- 159,1 тыс.
- из них нашли нарушения
- 135,95 тыс.
- обращений граждан, на 20% больше, чем за прошлый период
- ≈150 тыс.
Среди типичных нарушений регулятор назвал отсутствие политики или неработающую ссылку на нее, формы без галочки согласия или с галочкой, которая стоит заранее, неподанное уведомление, обработку без законного основания и непредоставление человеку информации о его данных.
Что изменилось к 2026 году
За последние годы закон менялся несколько раз, и часть советов из интернета устарела. Вот главные изменения, которые действуют сейчас:
- Уведомлять Роскомнадзор нужно почти всем исключения для данных работников, клиентов по договору и других случаев отменили. Изменения в уведомлении теперь сообщают до 15-го числа следующего месяца
- Штрафы выросли в десятки и сотни раз отдельный штраф за неподанное уведомление, миллионы рублей за утечки, оборотные штрафы за повторные утечки (закон № 420-ФЗ)
- Согласие оформляют отдельно его нельзя вписать в оферту, договор или политику, у него своя галочка или своя подпись (закон № 156-ФЗ)
- Изменились правила передачи данных за рубеж закон № 265-ФЗ поменял статью 12. Если данные уходят в другие страны, условия стоит перепроверить
Самые заметные для сайтов изменения разобраны в статьях о согласии на обработку персональных данных и об изменении сведений в уведомлении Роскомнадзора.
Что сделать бизнесу: восемь шагов
Порядок важен. Документы пишут в конце, когда понятно, как бизнес на самом деле работает с данными. Иначе получаются бумаги о какой-то другой компании.
- Понять, оператор ли выКто решает, зачем и какие данные собирать. Обычно это владелец бизнеса или сайта. Кто является операторомДанные для ИП
- Составить список данных и процессовОткуда приходят данные, где хранятся и кому уходят: сайт, мессенджеры, CRM, бухгалтерия, кадры. Что относится к персональным данным
- Определить цели и основанияДля каждого процесса: зачем нужны данные и что разрешает с ними работать, договор, закон или согласие. Цели обработкиСогласие и образец
- Привести в порядок сайт Видно снаружиПолитика, отдельные галочки согласия под формами, cookie-баннер с выбором, HTTPS. Требования к сайтуПолитикаCookieСайт на Tilda
- Подать уведомление в Роскомнадзор и держать его актуальным Видно снаружиДо начала обработки, а при любых изменениях до 15-го числа следующего месяца. Как подать уведомлениеКак внести изменения
- Оформить подрядчиков и проверить место храненияCRM, хостинг, рассылки, доставка: договоры поручения, базы в России, уведомление о передаче за рубеж. Передача и поручение
- Подготовить внутренние документы и назначить ответственногоПоложение, приказы, правила доступа, отдельный порядок для данных сотрудников. Какие документы нужныОтветственныйДанные работников
- Настроить работу с людьми и инцидентамиОтветы на запросы, отзыв согласия, сроки хранения, уничтожение данных и порядок действий при утечке. Запросы людейОтзыв согласияСроки храненияУничтожениеУтечка
Три документа, которые чаще всего путают
На сайте почти всегда нужны политика и согласие на обработку, а иногда еще и согласие на распространение. Это разные документы с разными задачами.
| Согласие на обработку | Согласие на распространение | Политика | |
|---|---|---|---|
| Зачем | Дает основание работать с данными, если нет договора или требования закона | Разрешает показать данные всем, например на сайте | Рассказывает всем, как вы работаете с данными |
| Кто его дает или принимает | Конкретный человек | Конкретный человек | Сам оператор |
| Как оформляется | Отдельная галочка или подпись | Отдельный документ, где человек выбирает данные и запреты | Страница на сайте со ссылками у форм |
| Подробно | Согласие и образец | Распространение и образец | Структура политики |
Согласие нужно не всегда. Если данные нужны для договора с самим человеком или их обработку требует закон, основанием будет договор или закон (статья 6).
Сколько стоит ошибка
Штрафы зависят от нарушения и от того, кто нарушил: организация, предприниматель или самозанятый. Ниже суммы для организаций по статье 13.11 КоАП. Их удобно разделить на две группы, потому что они отличаются в десятки раз.
Суммы для юридических лиц в рублях
- Нет политики или к ней нет доступа ч. 3 30–60 тыс. ₽ 30–60 тыс. ₽
- Не подано уведомление в Роскомнадзор ч. 10 100–300 тыс. ₽ 100–300 тыс. ₽
- Обработка без законного основания ч. 1, например форма без согласия 150–300 тыс. ₽ 150–300 тыс. ₽
- Нет письменного согласия, где оно обязательно ч. 2 300–700 тыс. ₽ 300–700 тыс. ₽
Суммы для юридических лиц в миллионах рублей
- Не сообщили Роскомнадзору об утечке ч. 11 1–3 млн ₽ 1–3 млн ₽
- Данные россиян хранятся не в российских базах ч. 8 1–6 млн ₽ 1–6 млн ₽
- Утечка общих данных, в зависимости от числа людей ч. 12–14 3–15 млн ₽ 3–15 млн ₽
- Утечка биометрических данных ч. 17 15–20 млн ₽ 15–20 млн ₽
Для предпринимателей суммы по многим частям ниже, но по уведомлению, хранению данных и утечкам ИП отвечают как организации. Как штрафы выросли после 30 мая 2025 года, показано на странице статистики штрафов.
Если времени мало: три действия на этой неделе
Не обязательно делать все сразу. Начните с того, что видно снаружи и проверяется быстрее всего.
- Найдите себя в реестре операторов Роскомнадзора по ИНН. Если записи нет, уведомление нужно подать. Если запись старая, сверьте ее с тем, как вы работаете сейчас.
- Проверьте сайт: есть ли политика, отдельная пустая галочка согласия у каждой формы и cookie-баннер с кнопкой отказа. Это можно сделать онлайн-проверкой.
- Посмотрите, куда уходят заявки: почта, мессенджер, CRM, таблица. Нужно понять, где хранятся данные и не уходят ли они за рубеж.
Что сложно сделать самому
Большинство требований понятны по отдельности. Сложности начинаются, когда их нужно свести вместе: политика должна совпадать с согласиями, согласия с формами, формы с уведомлением, уведомление с реальными сервисами. Владелец бизнеса обычно знает свой процесс лучше всех, но не помнит, какие виджеты и интеграции подключили подрядчики за последние годы.
На бесплатном аудите обработки персональных данных мы смотрим сайт, документы и процессы вместе и показываем, где риски и что исправить в первую очередь.