152-ФЗ о персональных данных для бизнеса в 2026

Федеральный закон 152-ФЗ устанавливает обязанности для любого, кто собирает и обрабатывает персональные данные. От интернет-магазина до корпорации — если вы работаете с контактами клиентов, должны соответствовать закону. Нарушения грозят штрафами, проверки Роскомнадзура случаются неожиданно. Рассказываем, что требует закон и как начать соответствие в 2026 году.

Что регулирует 152-ФЗ и почему это касается вашего бизнеса?

Закон говорит просто: если вы обрабатываете персональные данные (ФИ, телефон, электронную почту, адрес, а в ряде случаев и IP-адрес в сочетании с другими данными), вы — оператор персональных данных. [ОФИЦИАЛЬНЫЙ] Статья 3 закона 152-ФЗ определяет эти понятия. Это значит, что требования закона распространяются не только на компании, но и на ИП, самозанятых, блогеров, агентства — на всех, кто ведёт хотя бы свободный реестр контактов клиентов или использует аналитику на сайте.

Главная цель закона — защита прав физических лиц. Но на практике это означает множество документов, процессов и системных требований, которые нужно внедрить в бизнес. Многие компании ошибаются, думая, что достаточно опубликовать на сайте политику конфиденциальности — и всё. На самом деле это лишь начало. Политика, согласия, приказы, внутренние документы по обработке и защите данных, договоры с подрядчиками — всё должно быть документировано и согласовано с фактической работой компании. Вот это часто и вызывает проблемы при проверке.

И ещё один момент: если вы передаёте данные за границу или обрабатываете биометрические данные, требования усложняются: как правило, нужно письменное согласие субъекта (статья 11 закона). Но об этом дальше.

Кому обязательно соблюдать закон о персональных данных?

Ответ простой: [ОФИЦИАЛЬНЫЙ] статья 1 закона распространяется на всех, кто обрабатывает персональные данные в России. Но есть исключения — и это важно знать.

Соблюдать закон обязаны организации (ООО, АО, ЗАО), индивидуальные предприниматели, самозанятые, владельцы сайтов, которые собирают данные через формы, интернет-магазины (для доставки, расчётов, маркетинга), работодатели, образовательные учреждения и государственные организации.

Исключения есть, но они узкие. [ОФИЦИАЛЬНЫЙ] Статья 2 закона говорит, что закон не применяется к обработке данных физическими лицами для личных и семейных нужд — например, если вы ведёте личный дневник с контактами друзей. Но если вы — это ИП, работающий с клиентами, или сотрудник компании, который имеет доступ к данным в служебных целях — вы уже в области действия закона.

Короче: если вы обрабатываете данные в целях бизнеса, вы — оператор, и требования к вам обязательны.

Какие требования нужно выполнить оператору персональных данных?

Закон определяет несколько базовых требований, которые должны выполнять все операторы. Вот самые важные.

Согласие субъекта данных. [ОФИЦИАЛЬНЫЙ] Статья 6 закона устанавливает условия обработки персональных данных: обработка допускается, в частности, с согласия субъекта (п. 1 ч. 1), но согласие не требуется, если есть иное правовое основание из перечисленных в статье (например, исполнение закона или договора, защита жизненно важных интересов). Требования к форме и содержанию согласия определены в статье 9. И это не просто галочка на сайте — согласие должно быть информированным, то есть человек должен понимать, что вы с его данными будете делать.

Регистрация в реестре Роскомнадзура. Если вы обрабатываете персональные данные, вы должны уведомить Роскомнадзур. Это относится и к ИП: освобождение возможно только в случаях, прямо предусмотренных ч. 2 ст. 22 закона 152-ФЗ, а не из-за того, что обработка не является основной деятельностью. Порядок уведомления. Узнать, нужна ли вам регистрация

Локализация данных. [ОФИЦИАЛЬНЫЙ] Статья 7 закона устанавливает требование конфиденциальности: операторы и иные лица, получившие доступ к персональным данным, не вправе раскрывать и распространять их без согласия субъекта, если иное не предусмотрено законом. Требование о локализации (обработка баз данных граждан РФ на территории России) содержится в части 5 статьи 18 152-ФЗ. Это одно из самых строгих требований. Даже если вы используете облачные сервисы, серверы должны быть в России.

Безопасность. Данные нужно защищать от несанкционированного доступа, утечек, повреждений. Это может означать шифрование, резервные копии, контроль доступа, антивирусы. Объём требований зависит от категории данных и размера бизнеса.

Внутренние документы. Операторам, как правило, необходимо разработать внутренние документы, регламентирующие обработку и защиту персональных данных, и назначить ответственного за организацию обработки (ст. 22.1 152-ФЗ). Не путайте это с реестром операторов Роскомнадзора, в который подаётся уведомление об обработке (ст. 22).

Согласования с подрядчиками. Если вы передаёте данные на обработку другой компании (например, call-центру, маркетинг-агентству, хостинг-провайдеру), должны быть договоры, которые регулируют эту обработку.

Это не полный список — есть ещё требования к кадрам, к документации, к реагированию на утечки. Но вот основной костяк.

Что изменилось в 2025 и 2026 году?

Требования закона усиливаются. Роскомнадзур становится активнее, штрафы растут, а требования Роскомнадзора к персональным данным применяются строже, и регулятор чаще ищет нарушения даже у небольших компаний. В 2025 году ужесточились правила трансграничной передачи персональных данных: с 30 мая выросли штрафы, а с 1 июля запрещён первичный сбор данных граждан РФ с использованием зарубежных баз. В 2026 году в статью 12 закона «О персональных данных» вносились корректировки, касающиеся порядка трансграничной передачи (Федеральный закон от 26.07.2026 N 265-ФЗ). Также появились новые требования к обработке данных в целях маркетинга и аналитики.

Кроме того, практика применения закона становится всё более строгой. Если раньше компании могли работать, имея только шаблонную политику конфиденциальности, то теперь регулятор требует доказательств того, что компания действительно выполняет все требования — с документацией, процессами и проверками. Проверить соответствие вашего сайта требованиям 152-ФЗ

За какие нарушения штрафуют по 152-ФЗ?

Нарушение требований 152-ФЗ влечёт ответственность. Размеры штрафов значительные и зависят от типа нарушения и субъекта (физическое лицо, должностное лицо, компания). [ОФИЦИАЛЬНЫЙ] Статья 13.11 КоАП РФ предусмотрены штрафы за нарушения закона. Для физических лиц штрафы меньше, для должностных лиц — больше, для компаний — максимальные. Конкретные суммы не указываю, так как они регулярно меняются в законодательстве, но важно знать: штраф может быть от нескольких тысяч до миллионов рублей в зависимости от серьёзности нарушения.

Помимо штрафа, возможны предупреждение, изъятие оборудования, блокировка сайта или информационной системы. В особо тяжких случаях — уголовная ответственность (например, за утечку банковских данных).

Проверки Роскомнадзура случаются случайно или по жалобе. Инспекторы требуют документацию, проверяют сайты, анализируют согласия, смотрят внутренние документы. Если что-то не в порядке, начинают составлять акт нарушения — это уже путь к штрафу. Но есть позитивный момент: если нарушения обнаружены вами самостоятельно и исправлены до проверки, это значительно снижает риск серьёзного штрафа. Поэтому аудит и самопроверка — это не лишнее, а практически необходимо.

С чего начать соответствие 152-ФЗ: пошаговый план

Если вы только понимаете, что нужно соответствовать закону, или хотите проверить, всё ли у вас в порядке, вот порядок действий.

Шаг 1. Определить, какие данные вы обрабатываете. Составьте список: ФИ, телефоны, адреса, данные платёжных карт, информация о здоровье, фото, IP-адреса. Для каждого типа данных определите цель обработки (доставка, маркетинг, аналитика, по закону).

Шаг 2. Проверить, нужна ли регистрация в Роскомнадзуре. Это зависит от размера компании, вида деятельности и объёма данных. Есть льготы для малого бизнеса, но часто регистрация всё равно требуется. Если вы используете персональные данные не только как обычный бизнес-инструмент, но и для целей аналитики, маркетинга или передачи третьим лицам — регистрация почти всегда нужна.

Шаг 3. Подготовить документы. Политика конфиденциальности, согласия на обработку, приказ о назначении ответственного лица, внутренние документы по обработке и защите данных. Состав документов зависит от вашей работы. Не нужно копировать шаблон с другого сайта — документы должны отражать реальные процессы вашей компании.

Шаг 4. Проверить сайт. Если вы собираете данные через формы, нужно убедиться, что на странице опубликована ссылка на политику конфиденциальности, есть чекбокс согласия на обработку, согласие информированное (человек понимает, что его данные будут обрабатываться), cookie и аналитика (Яндекс.Метрика, Google Analytics) не работают без согласия, контакты ответственного лица видны (электронная почта или ссылка на форму обратной связи).

Шаг 5. Обучить команду. Те, кто работает с данными, должны понимать требования закона. Это не обязательно должен быть формальный курс, но люди должны знать, что данные — это не простой файл в таблице, а субъект права.

Шаг 6. Регулярно проверяться. Периодически (минимум раз в год) проверяйте, всё ли ещё в порядке. Требования закона могут меняться, бизнес развивается, появляются новые системы. Соответствие — не одноразовое мероприятие.

Если всё это кажется сложным, то это нормально. Закон действительно требует системного подхода, а соответствие 152-ФЗ для организации — это постоянный процесс, а не разовое действие. И именно поэтому стоит работать со специалистами, которые знают тонкости.

Требования 152-ФЗ по типам организаций

*Кроме исключений, предусмотренных законом (например, для обработки данных сотрудников по трудовому договору).

Подробнее по теме: Разработка документов по персональным данным | Роском 24, Проверка сайта на 152-ФЗ — аудит ПДн | Роском 24.