Что нового в законе о персональных данных

Изменения в регулировании обработки персональных данных

С каждым годом требования к обработке персональных данных (ПДН) становятся всё строже. Законодательство меняется, Роскомнадзор усиливает контроль, а штрафы за нарушения положения о персональных данных растут.

В этой статье простым языком расскажем:

• Какие группы ПДН бывают;
• Чем отличается работа с данными сотрудников, клиентов, соискателей и посетителей сайта;
• Какие надо подготовить документы для проверяющих по персональным данным;
• Как организовать работу, чтобы избежать штрафов;
• Ответим на частые вопросы бухгалтеров и предпринимателей.

Персональные данные (ПДН) – любая информация, относящаяся к прямо или косвенно определяемому человеку (ФИО, паспортные данные, адрес, телефон, e-mail, фото, сведения о доходах, IP-адрес и т.д.).

Обработка – любое действие с этими данными: сбор, хранение, использование, передача, уничтожение.

Обработчиками персональных данных (ПДН) становятся практически все организации и ИП – даже если в штате всего один сотрудник или компания работает только с клиентами через сайт. Для безопасного хранения и обработки данных многие компании выбирают аренду 1с сервера, обеспечивая надежную защиту информации.

Условно все ПД можно разделить на три основные группы:

Данные сотрудников

• Работники в штате (даже если это один директор-учредитель)
• Кандидаты на вакансии (резюме, анкеты)
• Стажёры

Данные клиентов/контрагентов

• Физлица-заказчики услуг/товаров
• Представители юрлиц (если есть их личные контакты)
• Пользователи сайта (если через сайт собираются заявки)

Данные третьих лиц

• Посетители сайта (через формы обратной связи, онлайн-чаты)
• Подписчики рассылок
• Лица, чьи данные получены через посредников (например, headhunter)

Для каждой группы есть свои нюансы по обработке и оформлению согласий.

Требования к обработке разных групп данных отличаются. А именно:

Данные сотрудников

• Обработка обязательна по Трудовому кодексу РФ.
• Без разрешения сотрудника можно обрабатывать только те данные, которые нужны для трудовых отношений.
• Для других целей (например, публикация фото на сайте) – требуется отдельный документ.
• Необходимы внутренние регламенты: положение о защите ПД, приказы о назначении ответственных лиц.
• Данные кандидатов (резюме) – тоже персональные данные! Их хранить можно только с разрешения кандидата и не дольше 3 лет (или меньше – по политике компании).

Данные клиентов

• Нужно получать согласие на обработку ПДН (отдельно для каждого канала: телефон, e-mail, SMS).
• Для интернет-магазинов – отдельно на передачу ПДН курьерским службам.
• Если ведёте рассылки – отдельно на рекламу (по ФЗ «О рекламе»).
• Для B2B: если получаете контакты представителей компаний – это тоже ПДН!

Данные с сайта

• Любая форма на сайте (обратная связь, подписка) = сбор ПДН.
• Необходимо разместить Политику конфиденциальности (согласие ставится галочкой).
• Если используете куки-файлы – обязаны уведомлять об этом посетителей.
• Для онлайн-консультантов (чатов) – отдельное информирование о сборе ПДН.

Данные от посредников (headhunter и др.)

• Передача резюме через hh.ru или кадровое агентство = передача ПДН третьим лицом.
• Хантер должен иметь разрешение кандидата на передачу его данных работодателю.
• Ваша компания должна получить подтверждение такого согласия (обычно это прописано в договоре с hh.ru).
• После получения резюме вы становитесь оператором ПДН кандидата и обязаны соблюдать все требования закона.

Изменения в регулировании обработки персональных данных

Новый закон о персональных данных (2025) оставил без изменения основные требования, но добавил новые обязанности:

• Усилены требования к учёту событий обработки ПДН (журналы событий должны храниться не менее 3 лет);
• Уточнены правила передачи ПД за границу;
• Введена обязанность уведомлять РКН о некоторых инцидентах утечки данных;
• Повышены штрафы за отсутствие или неправильное оформление;
• Обновлены требования к информационной безопасности.

Подача уведомления в РКН – обязательный шаг для всех, кто обрабатывает персональные данные (ПДН). Разберём, кто, когда и как должен его подавать.

Кто подаёт?

• Юрлица, ИП и самозанятые, если обрабатывают ПДН хотя бы одного человека (сотрудника, клиента, контрагента).
• Исключения (ч. 2 ст. 22 ФЗ-152): обработка без автоматизации (например, бумажные архивы); работа с данными в госсистемах безопасности и обеспечение транспортной безопасности.

Пример: ИП без сотрудников, продающий товары через маркетплейс и хранящий телефоны клиентов, обязан подать уведомление.

Сроки подачи

Тип уведомления Срок

Первичное До начала обработки ПДн

Об изменениях (цели, ответственный) Не позднее 15-го числа месяца, следующего за месяцем изменений

О прекращении обработки В течение 10 рабочих дней после прекращения

Что указать в уведомлении?

• Цели обработки.
• Каждую цель прописывайте отдельно. Например:«Ведение кадрового учёта», «Формирование налоговой отчётности», «Оформление пропусков». Помните – объединение целей через запятую – ошибка!
• Категории данных и субъектов. Данные – только конкретные наименования (не «паспорт», а «ФИО, дата рождения, адрес»). Субъекты – четкие категории («сотрудники», «клиенты», «соискатели»).
• Правовое основание. Не только ФЗ-152, но и отраслевые акты и локальные нормативные – Трудовой кодекс РФ (ст. 85), Налоговый кодекс РФ (ст. 84), Положение об обработке ПДн ООО «Ромашка» от 01.04.2025.
• Меры защиты – все действия, включая работу с подрядчиками:«Шифрование данных, DLP-системы, обучение сотрудников».
• Адрес сервера – физическое расположение данных (например: «г. Москва, ул. Тверская, д. 15, сервер №3»). Для облачных хранилищ – юрадрес провайдера из договора.

Таблица: Где брать информацию для заполнения

Поле Источник данных

Цели обработки Устав компании, договоры с клиентами

Категории ПДн Перечень данных в трудовых договорах, анкетах

Правовое основание Локальные акты (например, Политика обработки ПДн)

Адрес сервера Договор с IT-провайдером, инвентаризационная ведомость

Расширение перечня административных нарушений в сфере обработки ПДн

Существенно расширили ответственность за нарушение законодательства в области хранения и обработки всех видов персональных данных. а также за несвоевременную подачу документов в контролирующие органы.  В связи с этим многим компаниям становится особенно важно обеспечить надёжное и соответствующее требованиям законодательства хранение данных — например, воспользовавшись услугой аренда 1с сервера.

В связи с этим рассмотрим алгоритм подачи уведомления в РКН:

Шаг 1. Проверьте, нужно ли подавать уведомление.

Шаг 2. Подготовьте документы. Перед заполнением формы уведомления соберите:

• Реквизиты оператора (Полное наименование организации (как в ЕГРЮЛ/ЕГРИП), ИНН, ОГРН, адреса – почтовый (регистрации в ЕГРЮЛ/по прописке для ИП) и фактический (место ведения деятельности).
• Правовые основания обработки ПДн – устав организации, лицензии (если деятельность лицензируется), Положение об обработке ПДн, Договоры с субъектами ПДн.
• Информацию об обработке – цели обработки (например, «кадровый учет», «исполнение договора с клиентом»), перечень категорий ПДн (ФИО, паспорт, СНИЛС, адрес и т.д.), категории субъектов (сотрудники, клиенты, члены семей работников) и сроки хранения данных.

Шаг 3. Заполните форму уведомления. Форма подается в электронном виде через:

• Единый портал Госуслуг (https://www.gosuslugi.ru).
• Сервис РКН (https://rkn.gov.ru/activity/personal-data/for-operators/).

Критические ошибки, которые нужно избежать (по данным 2025г РКН эти ошибки являются наиболее часто совершаемыми):

• Адресные неточности – отсутствие индекса, номера дома.
• Неполные цели – абстрактные формулировки («для улучшения сервиса»).
• Отсутствие локального Положения о ПДн – его реквизиты обязательны в уведомлении.
• Указание юридических лиц в категориях субъектов – только физические лица.
• Подпись неуполномоченным лицом – доверенность должна содержать явные полномочия.

   

  Шаг 4. Подайте уведомление

• Зайдите в личный кабинет на Госуслугах или сайте РКН.
• Заполните форму онлайн, приложив сканы Положения о ПДн и Доверенности (если подписывает не руководитель).
• Отправьте уведомление. Статус рассмотрения можно отслеживать в личном кабинете.

Расширение ответственности индивидуальных предпринимателей наравне с юридическими лицами

С точки зрения нового закона, не важно какая форма собственности у вашего бизнеса. небольшая вы точка по продаже кофе и сладосте или крупный сетевой магазин, надежное хранение и обработка персданных - ваша прмая обязанность.

Как организовать работу с персональными данными в 2025 году: пошаговая инструкция

Шаг 1. Определите, какие ПД вы обрабатываете

Составьте перечень всех процессов, где есть персональные данные:

• Кадровое делопроизводство
• Продажи/клиентский сервис
• Маркетинг/рассылки
• Работа сайта
• Взаимодействие с подрядчиками

Шаг 2. Оформите необходимые документы

Для всех организаций:

• Политика обработки ПД – для размещения на сайте и внутреннего использования.
• Положение о защите ПД – внутренний документ: описывает порядок работы с ПД в компании.

Согласия на обработку ПД:

• для сотрудников: универсальное при приёме на работу + отдельные согласия для иных целей;
• для клиентов: шаблон для заключения договоров/оказания услуг;
• для посетителей сайта: текст согласия под формой заявки.
• Приказ о назначении ответственного за обработку ПД – обычно это бухгалтер или кадровик в небольших компаниях.
• Журнал учёта обращений субъектов ПД – фиксируйте все запросы по поводу обработки/удаления данных.
• Журнал учёта событий обработки персональных данных – с 2025 года обязателен для всех!
• Договоры с подрядчиками – если передаёте ПД сторонним организациям (например, бухгалтерия на аутсорсе), включайте пункт о защите ПД.

Для сайта:

• Политика конфиденциальности – должна быть доступна на каждой странице сайта.
• Уведомление о cookies – баннер или всплывающее окно при первом посещении сайта.

С 1 января действует специальная форма согласия на обработку ПДн

Шаг 3. Организуйте процесс получения согласий

• Сотрудники: подписывают бумажную форму при приёме на работу.
• Клиенты: ставят галочку на сайте или подписывают бумажную форму.
• Посетители сайта: галочка под формой заявки + политика конфиденциальности.
• Соискатели: храните резюме не дольше срока, указанного в положении.

   

  С 1 марта должны начать действовать дополнительные меры для снижения риска утечки ПДн и чрезмерной обработки сведений оператором

Шаг 4. Обеспечьте безопасность данных

• Ограничьте доступ к ПД только тем сотрудникам, кому это необходимо.
• Используйте пароли для доступа к электронным базам.
• Храните бумажные документы в закрытых шкафах.
• Регулярно обновляйте антивирусное ПО.
• Назначьте ответственного за информационную безопасность.

Шаг 5. Обучайте сотрудников

Проводите инструктажи по работе с ПД:

• как обрабатывать обращения субъектов;
• как реагировать на утечки;
• как использовать электронные системы хранения данных.

С 1 сентября вводится обязанность по передаче обезличенных сведений в ГИС

Шаг 6. Ведите учёт событий обработки ПДН

С 2025 года все операторы обязаны фиксировать:

• кто получил доступ к каким данным;
• когда были внесены изменения;
• кто передал данные третьим лицам;
• когда были удалены/уничтожены данные.

Журнал можно вести в электронном виде (Excel/Google Таблицы).

Шаг 7. Готовьтесь к проверкам Роскомнадзора

Проверки могут быть плановыми и внеплановыми:

• проверьте наличие всех документов;
• проверьте правильность оформления согласий;
• проверьте защиту электронных и бумажных архивов;
• проверьте обучение сотрудников.

С 30 мая ожидается ужесточение штрафов за утечку персональных данных

Расмотрим самые частые вопросы бухгалтеров и предпринимателей, ответына которые помогу избежать этих штрафов.  Особенно актуальными такие знания становятся при работе с объектами недвижимости, учет операций по которым требует точности и соблюдения регламентов. Автоматизировать этот процесс и минимизировать ошибки можно с помощью специализированных решений, например, в программе 1с аренда недвижимости.

Вопрос 1. Нужно ли регистрироваться в Роскомнадзоре?

Ответ. Если вы впервые начали обрабатывать персональные данные или изменили способы/цели обработки – подайте уведомление через Госуслуги (или портал РКН). Если уже подавали раньше – обновлять нужно только при изменениях.

Вопрос 2. Нужно ли получать отдельное согласие на каждую цель обработки ПДН?

Ответ. Да! Например: отдельно – для трудовых отношений; отдельно – для публикации фото; отдельно – для рассылки рекламы; отдельно – для передачи данных курьеру.

Вопрос 3. Что делать с резюме кандидатов после окончания конкурса?

Ответ. Хранить не дольше срока, указанного в согласии кандидата (обычно не более 3 лет). По запросу кандидата обязаны удалить его данные из базы.

Вопрос 4. Можно ли использовать e-mail клиентов для рассылки рекламы?

Ответ. Только при наличии отдельного письменного разрешения клиента на получение рекламы! Иначе могут признать как незаконное использование – штраф по ФЗ «О рекламе».

Вопрос 5. Надо ли уведомлять пользователей сайта о cookies?

Ответ. Да! Даже если сайт использует только стандартные аналитические куки Google/Yandex – обязаны уведомлять посетителя и получать его согласие.

Вопрос 6. Что грозит за нарушение нового закона о персональных данных (ПДН)?

Ответ. Штрафы существенно выросли. За обработку без согласия или с нарушением целей сбора – до 300 тысяч (в зависимости от категории нарушителя). За неуведомление РКН – также до 300 тысяч. За утечку данных – до 15 млн руб. (в зависимости от вида данных, их количества) или до 3% от годовой выручки при повторных случаях. За утечку данных возможна блокировка сайта или деятельности. Уголовная ответственность за распространение персональных данных (ПДН) – до 8 лет колонии (ст. 137 УК РФ).

Вопрос 7. Что из себя представляют персональные данные (ПДН) индивидуального предпринимателя?

Ответ. Персональные данные индивидуального предпринимателя (ИП) — это информация, которая прямо или косвенно относится к определённому или определяемому физическому лицу. К персональным данным ИП относятся, например ФИО, дата рождения, паспортные данные; контакты (номер телефона, электронная почта); адрес проживания или регистрации; фотографии, видеозаписи с участием человека; IP-адреса устройств, ссылки на учётные записи и т.д.

Расширение полномочий Роскомнадзора

Новый закон дал определенные полномочия для проверяющих и усложнил работу всех сфер бизнеса. Для того, чтобы качественно подготовиться к возможной проверке мыподготовили небольшой чек-лист и советы для бухгалтера/предпринимателя.

1. [ ] Определили все процессы с обработкой ПД
2. [ ] Оформили политику обработки ПД
3. [ ] Назначили ответственного
4. [ ] Получили все нужные согласия
5. [ ] Оформили договоры с подрядчиками
6. [ ] Разместили политику конфиденциальности на сайте
7. [ ] Установили баннер о cookies
8. [ ] Организовали учёт событий обработки ПД
9. [ ] Провели инструктажи для сотрудников
10. [ ] Подготовили документы для проверки Роскомнадзора

Практические советы

• Используйте шаблоны от Роскомнадзора или отраслевых ассоциаций.
• Ведите электронный реестр согласий (например, в Excel).
• Регулярно обновляйте политику обработки ПД и обучайте сотрудников новым требованиям.
• Не храните лишние данные – удаляйте устаревшие сведения по регламенту.
• При работе с кадровыми агентствами обязательно проверяйте наличие у них согласий кандидатов!

Заключение

Организация работы с персональными данными – это не только формальность, но и залог доверия ваших сотрудников и клиентов. Своевременное оформление документов и соблюдение процедур регламентированных новым законом о персональных данных защитят вашу компанию от штрафов и репутационных потерь. Ответственность за нарушение закона о персональных данных лежит не только ответственность перед государственными органами, но и перед сотрудниками вашей компании, а также ее клиентами и контрагентами.

Новый закон о персональных данных скоро вступит в силу и если вы ещё не провели аудит работы с ПДН – самое время сделать это до вступления новых требований в силу!

Готовые шаблоны обработи персональных данных вы можете найти на сайте Роскомнадзора или запросить у профильных специалистов. Для безопасного хранения и обработки персональных данных можно выбрать решение 1С Облако тарифы , которое позволяет соответствовать требованиям законодательства.

Автор: Редакция "Аренда1С"