Организация обрабатывает персональные данные не только тогда, когда ведёт электронную базу клиентов или сотрудников. Получение анкеты соискателя, хранение копии паспорта, запись контактов для обратного звонка и работа с бумажными карточками тоже могут быть обработкой. Поэтому важно понимать, какие сведения организация получает, зачем они нужны, на каком основании используются и как защищаются.

Федеральный закон № 152-ФЗ «О персональных данных» закрепляет основные принципы: законность обработки, заранее определённые цели, сбор только необходимых сведений, их точность и конфиденциальность.

Какие сведения относятся к персональным данным

Персональные данные — это любая информация, относящаяся к прямо или косвенно определённому либо определяемому человеку. Имя вместе с контактами, адрес проживания и сведения из документов обычно позволяют установить личность. Отдельный номер телефона или адрес электронной почты нельзя во всех случаях считать ни персональными, ни обезличенными данными: значение имеет возможность связать их с конкретным человеком в условиях работы оператора.
Для отдельных видов данных закон устанавливает особые условия. К специальным категориям относятся, в частности, сведения о здоровье, национальности, политических взглядах и религиозных убеждениях. Биометрическими признаются физиологические и биологические характеристики, которые оператор использует для установления личности (ст. 10–11. № 152-ФЗ).

Открытая публикация сведений не даёт безусловного права использовать их для любой цели. Закон отдельно регулирует общедоступные источники и данные, распространение которых разрешил сам человек. Открытость сведений из государственного реестра также не отменяет необходимости учитывать цель и правовое основание их дальнейшего использования (ст. 8, 10.1 № 152-ФЗ).

Когда требуется согласие

Согласие — одно из законных оснований обработки, но не единственное. Отдельное согласие может не требоваться, если данные необходимы для заключения договора по инициативе человека, исполнения договора с ним или выполнения обязанности, установленной законом. Основание нужно определять для каждой цели: договор или оферта не разрешают автоматически использовать данные для несвязанной рекламы (ст.6 № 152-ФЗ).

Если основанием служит согласие, оно должно быть конкретным, информированным и однозначным. Оператор должен иметь возможность подтвердить его получение. С 1 сентября 2025 года согласие оформляют отдельно от иных документов, которые человек подписывает или подтверждает. Согласие на распространение персональных данных оформляют отдельно и от других согласий (ст. 9, 10.1 № 152-ФЗ).

Состав данных в согласии должен соответствовать заявленной цели и сведениям, которые действительно собираются. Если посетитель оставляет имя и телефон для ответа на вопрос, не следует без необходимости включать в эту цель паспортные данные или рекламную рассылку.

Что проверить на сайте

Если через сайт собирают персональные данные, оператор обязан обеспечить доступ к политике их обработки на страницах, где происходит сбор, и опубликовать сведения о реализуемых требованиях к защите данных. Политика должна описывать реальные процессы организации: цели, категории людей и данных, основания, сроки обработки и хранения, порядок уничтожения сведений. Понятная ссылка рядом с формой помогает посетителю найти документ, хотя закон не предписывает единственный вариант её размещения (ст. 18.1 № 152-ФЗ).

Отдельного внимания требуют подключённые сервисы веб-аналитики. Нужно выяснить, какие идентификаторы они собирают, позволяют ли сведения определить посетителя, кто их получает и где они хранятся. Правовую оценку определяют фактическая схема обработки и передачи данных, её цель и основание.

Уведомление Роскомнадзора и передача за рубеж

По общему правилу оператор направляет в Роскомнадзор уведомление до начала обработки персональных данных. Действующие исключения ограничены: среди них обработка исключительно без средств автоматизации и отдельные случаи, связанные с государственными информационными системами и транспортной безопасностью. Прежние исключения для данных работников, сведений только для исполнения договора или одних ФИО отменены в 2022 году. Об изменениях в ранее поданном уведомлении сообщают не позднее 15-го числа следующего месяца (ст. 22 № 152-ФЗ).

Передача персональных данных иностранному получателю требует отдельной проверки и, как правило, отдельного уведомления Роскомнадзора до её начала. Необходимо учитывать страну получателя и требования к базам данных при сборе сведений о гражданах России (ст. 12, 18 № 152-ФЗ).

После мая 2026 года произошло изменение самого закона № 152-ФЗ: закон от 26 июля 2026 года № 265-ФЗ уточнил, по каким критериям государство включается в перечень стран с адекватной защитой персональных данных. Теперь значение имеет соответствие законодательства и применяемых мер защиты положениям Конвенции Совета Европы, а не сам факт участия страны в ней. Организациям, передающим данные за рубеж, следует сверять страны получателей с актуальным перечнем Роскомнадзора.

Специальные правила, изменившиеся в сентябре 2026 года

С 1 сентября 2026 года заработал механизм добровольного отказа граждан от участия в азартных играх. Заявление о включении в соответствующий перечень сопровождается согласием на обработку персональных данных; закон устанавливает специальные правила для единого регулятора азартных игр и организаторов игр. Это изменение важно для участников данной отрасли, но не вводит новую общую форму согласия для всех операторов (федеральный закон № 575-ФЗ).

С 8 сентября 2026 года изменились специальные правила работы с Единой биометрической системой. Человек вправе по своему выбору разместить в ней все виды биометрических данных или каждый вид отдельно. Уточнены требования к параметрам изображения лица и записи голоса, а также к применяемым техническим средствам. Эти правила относятся к идентификации и аутентификации через Единую биометрическую систему, а не ко всякой обработке фотографий или аудиозаписей (приказ Минцифры № 676).

Внутренние меры и ответственность

Одной опубликованной политики недостаточно. Юридическому лицу необходимы внутренние правила обработки, назначенный ответственный, меры защиты, внутренний контроль или аудит, оценка возможного вреда и ознакомление сотрудников с требованиями. Для государственных и муниципальных органов предусмотрены дополнительные правила; статья 18.1 закона № 152-ФЗ распространяется и на них.

Оператору нужен порядок реагирования на утечки. Если выявлена неправомерная или случайная передача данных, повлёкшая нарушение прав людей, Роскомнадзор уведомляют в течение 24 часов, а результаты внутреннего расследования представляют в течение 72 часов (ст. 21 закон № 152-ФЗ ). С 30 мая 2025 года действуют отдельные штрафы за неподачу уведомления о начале обработки и за несвоевременное сообщение об утечке. За повторные крупные утечки предусмотрены штрафы, рассчитываемые от выручки (статья 13.11 КоАП РФ).

Практический первый шаг — составить перечень всех мест, где организация получает данные: сайт, заявки, кадровые документы, переписка, бумажные архивы и подключённые сервисы. Для каждого процесса следует записать цель, состав данных, правовое основание, срок хранения, получателей и ответственного. Затем можно проверить, соответствуют ли реальной работе политика, согласия, уведомление Роскомнадзора и меры защиты.