Персональные данные. Как не допустить нарушений?

Законодательство в сфере персональных данных одно из самых динамичных, почти каждый месяц вносятся изменения, на 2026 год уже запланировано ряд поправок.
Штрафы за нарушения могут достигать 20 000 000 рублей, предусмотрена и уголовная ответственность.

В этой статье:

• последние изменения
• кого проверят
• размеры штрафов
• самый частые ошибки
• закрытая трансляция Роскомнадзора
• возможность задать вопрос нашим экспертам

Напомним, в сентябре были внесены серьезные поправки, которые сейчас на контроле у Роскомнадзора.

Согласие на обработку персональных данных теперь нужно всегда оформлять отдельным документом.

За обработку персональных данных без письменного согласия в случае, когда оно требуется, или с согласия, но с неполными сведениями предусмотрены штрафы: для должностных лиц – в сумме 300 000 руб., для организаций – в сумме 700 000 руб.

Максимальный штраф за повторное нарушение составит: для должностных лиц – 500 000 руб., для ИП – 1 000 000 руб., для организаций – 1 500 000 руб.

• Для бизнеса ввели требования к обезличиванию персональных данных. В отношении информации, обезличиваемой по запросу Минцифры, установлены отдельные правила.
• Чтобы получить доступ к системе, в которой разрешили обрабатывать составы обезличенных сведений, юрлицу нужно пройти проверку на соответствие ряду требований. Ее проведет Минцифры по запросу компании.

Как правильно оформить согласие без ошибок?
Какие документы помогут разобраться с процессом обезличивания персональных данных?

• Требования к обезличиванию персональных данных
• Методы обезличивания персональных данных
• Правила обезличивания персональных данных

Обратите внимание, к административной ответственности за нарушение правил обработки вашу организацию и ее должностных лиц могут привлечь, если вы будете обрабатывать персональные данные:

1) в не предусмотренных законом случаях (ч. 1 ст. 13.11 КоАП РФ).

Максимальный штраф для должностных лиц, ИП — 100 000 руб., для организации — 300 000 руб.

2) в целях, несовместимых с целями сбора (ч. 1 ст. 13.11 КоАП РФ).

Максимальный штраф для должностных лиц, ИП — 100 000 руб., для организации — 300 000 руб.

3) без письменного согласия, когда оно требуется, или с согласия, но с неполными сведениями (ч. 2 ст. 13.11 КоАП РФ).

Максимальный штраф для должностных лиц — 300 000 руб., для организации — 700 000 руб.

4) без использования баз данных, находящихся в России, для записи, систематизации, накопления, хранения, уточнения (обновления, изменения) или извлечения персональных данных граждан РФ (ч. 5 ст. 18 Закона о персональных данных, ч. 8, 9 ст. 13.11 КоАП РФ).

Максимальный штраф за неисполнение этой обязанности для должностных лиц — 200 000 руб. (за повторное нарушение — 800 000 руб.), для организации либо индивидуального предпринимателя — 6 000 000 руб. (за повторное нарушение — 18 000 000 руб.).

Кроме того, статьей 272 УК РФ предусмотрена уголовная ответственность, которая предусматривает лишение свободы до 6 лет при нарушениях в сфере персональных данных.

Что могут найти в ходе проверки:

При проверках Роскомнадзор наиболее часто выявляют (по данным годовой отчетности Роскомнадзора по защите прав субъектов персональных данных):

• неполные или недостоверные сведения в уведомлении об обработке персональных данных (например, данные обрабатывались с целью исполнения договоров, а теперь компания использует их для продвижения своих товаров с помощью рассылки, а в реестр операторов новая цель не внесена);
• отсутствие письменного согласия физлица, когда оно обязательно. Возможны как очевидные риски (например, передача своей базы клиентов партнерам с целью продвижения последними своих товаров и услуг), так и не всегда явные (например, при обработке биометрических данных проверяющие могут спросить согласие на фотографирование сотрудников на пропуск или покупку спецодежды по их меркам);
• обработка избыточных персональных данных (например, хранение в личном деле сотрудника копии его паспорта).

Есть практический вопрос по персональным данным? Наши эксперты ответят на него бесплатно.