Как изменился закон о защите персональных данных

Какой закон защищает персональные данные

Защита персональных данных в 2025 году регулируется Федеральным законом «О персональных данных». Его основная цель — защитить личную информацию человека.

Он регламентирует, как правильно хранить, передавать и распространять персональные данные. А также определяет права владельца личной информации и обязанности оператора, который их собирает. Закон не перечисляет, что относится к персональным данным, но дает определение.

Персональные данные — это любая информация, которая прямо или косвенно относится к физическому лицу.

Постановление Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» определяет несколько категорий личной информации:

1. Общедоступная информация. К ней относятся данные, которые попали в открытые источники с согласия человека. Это может быть ФИО, год и место рождения, адрес, номер телефона, профессия. В законе указано, что к открытым источникам относятся, например, справочники и адресные книги.
2. Специальная информация. В эту категорию включено все, что касается расовой и национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни. Обработка этой информации допускается только в том случае, если субъект подписал согласие, если есть угроза жизни и в некоторых других случаях.
3. Биометрические данные. Они включают в себя все, что характеризует физиологические и биологические особенности человека. Например, отпечатки пальцев, голос, черты лица. Оператор, который обрабатывает персональные данные, не вправе отказать в предоставлении услуги, если человек не хочет передавать свои биометрические данные.
4. Иная информация. Сюда относится все, что не входит в первые три пункта. Например, фотографии, уровень дохода, социальные сети.

ФЗ «О персональных данных» должны соблюдать все государственные учреждения, юридические лица и самозанятые. Поэтому компаниям и частным лицам важно знать об изменениях в законе о персональных данных в 2025 году.

Как изменился закон

В мае 2025 года закон о персональных данных ужесточился. Значительно увеличились размеры штрафов для физических и юридических лиц, появились новые административные наказания за массовые утечки и отсутствие уведомлений об обработке персональных данных. Изменения коснулись и передачи информации в Роскомнадзор. Разберем подробнее правила работы с личной информацией и основные изменения в обработке персональных данных.

Кто должен проходить регистрацию в РКН

По закону, любой оператор, который обрабатывает персональные данные, должен зарегистрироваться в реестре Роскомнадзора. Размер клиентской базы не имеет значения — закон относится и к самозанятым, и к юридическим лицам. Важно пройти регистрацию, если к вам относится хотя бы один пункт:

• имеете базу клиентов;
• собираете данные через сайт;
• работаете с персональными данными;
• держите в штате сотрудников.

Согласно изменениям в законе о персональных данных, человек или компания могут получить штраф, если не уведомят Роскомнадзор о том, что собираются работать с личной информацией:

• для физлиц — от 5 до 10 тысяч рублей;
• для юрлиц — от 100 до 300 тысяч рублей.

Как подавать уведомление об обработке персональных данных

Чтобы проверить, включена ли ваша компания в реестр Роскомнадзора, можно ввести ИНН фирмы на сайте службы. Если регистрация подтверждена — все в порядке. А если нет, то стоит в ближайшее время подать уведомление. В форме нужно указать название организации, ее адрес, юридические данные, объяснить, какие именно персональные данные вы собираете и для чего. А также указать способы обработки, условия их хранения, оставить контакт ответственного лица и сведения о людях, которые имеют доступ к персональным данным.

Подать заявление можно тремя способами:

1. В печатном виде. Распечатайте и заполните форму, а потом отнесите ее в ближайшее отделение Роскомнадзора.
2. Через «Госуслуги». Пройдите авторизацию на сайте и направьте электронное уведомление. Если вы подаете уведомление за организацию, то ваша учетная запись должна быть привязана к этой компании на портале «Госуслуг».
3. Через сайт Роскомнадзора. На портале потребуется подписать документ электронной подписью. Для этого понадобится плагин КриптоПро ЭЦП Browser plug-in.

Подписывать документы онлайн можно и в вашей компании. Для этого в Битрикс24 есть КЭДО — кадровый электронный документооборот. Все происходит через приложение «Госключ» от Минцифры РФ. Быстро, просто, законно.

Где можно хранить данные

По закону оператор сам определяет, как хранить собранные персональные данные. Они могут быть как в бумажном, так и в электронном виде. Однако есть важное правило: нужно хранить данные только до тех пор, пока они используются. А после их необходимо уничтожить — например, пропустить бумажные версии через шредер, а электронные данные безвозвратно удалить.

Закон о персональных данных за май 2025 года ужесточил ответственность за нарушение в обработке личной информации. Штрафы за утечку данных теперь составляют:

• для физлиц — от 100 до 200 тысяч рублей;
• для должностных лиц — от 200 до 400 тысяч рублей;
• для юрлиц — от 3 до 5 млн рублей.

За повторные нарушения назначают штрафы в размере 3% от дохода компании. Они будут составлять не менее 20 и не более 500 млн рублей.

Какие есть новые штрафы

После изменений в законе о персональных данных в 2025 году увеличился размер штрафов за нарушения. Вот основные нововведения:

Штрафы за неуведомление Роскомнадзора о том, что вы собираетесь обрабатывать персональные данные:

• для физлиц — от 5 до 10 тысяч рублей;
• для должностных лиц — от 30 до 50 тысяч рублей;
• для юрлиц — от 100 до 300 тысяч рублей.

Штрафы за неуведомление Роскомнадзора об утечке персональных данных:

• для физлиц — от 50 до 100 тысяч рублей;
• для должностных лиц — от 400 до 800 тысяч рублей;
• для юрлиц — от 1 до 3 млн рублей.

Штрафы за утечку персональных данных от одной до десяти тысяч субъектов персональных данных и (или) от 10 до 100 тысяч идентификаторов — отличительных характеристик людей:

• для физлиц — от 100 до 200 тысяч рублей;
• для должностных лиц — от 200 до 400 тысяч рублей;
• для юрлиц — от 3 до 5 млн рублей.

Штрафы за утечку персональных данных от 10 до 100 тысяч субъектов персональных данных и (или) от 100 тысяч до 1 млн идентификаторов:

• для физлиц — от 200 до 300 тысяч рублей;
• для должностных лиц — от 300 до 500 тысяч рублей;
• для юрлиц — от 5 до 10 млн рублей.

Штрафы за утечку персональных данных от 100 тысяч субъектов персональных данных и (или) более 1 млн идентификаторов:

• для физлиц — от 300 до 400 тысяч рублей;
• для должностных лиц — от 400 до 600 тысяч рублей;
• для юрлиц — от 10 до 15 млн рублей.

Штрафы за неправомерную передачу данных из специальной категории — например, политические, религиозные взгляды, состояние здоровья:

• для физлиц — от 300 до 400 тысяч рублей;
• для должностных лиц — от 1 до 1,3 млн рублей;
• для юридических лиц — от 10 до 15 млн рублей.

Штрафы за неправомерную передачу биометрических данных:

• для физлиц — от 400 до 500 тысяч рублей;
• для должностных лиц — от 1,3 до 1,5 млн рублей;
• для юридических лиц — от 15 до 20 млн рублей.

Напомним, что за новые утечки персональных данных компании могут получить штрафы в размере 3% от годового дохода. Они должны составлять не менее 20 и не более 500 млн рублей. Для всех нарушений из ст. 13.11 КоАП РФ не применяется скидка 50% при ранней оплате штрафа.

Мы подготовили чек-лист о продуктивности, чтобы помочь вам не забывать о важных правилах и успевать сделать все задуманное. Он уже доступен в нашем Telegram-канале.

Как правильно работать с данными: чек-лист

Подготовили для вас небольшой чек-лист, который поможет организовать правильную работу с персональными данными.

• Определите, какие данные вы собираете. ФИО, телефон, e-mail, паспорт, адрес, IP, фото, голос — это персональные данные. Медицинские данные, биометрия, политические взгляды — это особые категории.
• Зарегистрируйтесь в Роскомнадзоре. Если вы обрабатываете персональные данные, храните их или передаете за границу — подайте уведомление в Роскомнадзор.
• Получите от клиентов и работников письменное согласие. Всегда запрашивайте явное согласие пользователя на обработку его персональных данных. Например, в бумажном виде это подпись, в онлайне — галочка под формой. Указывайте цель, срок хранения, способы обработки.
• Сообщайте, зачем и как вы обрабатываете данные. Разместите на сайте или дайте клиентам и сотрудникам ознакомиться с печатной версией политики конфиденциальности. В ней должна быть информация о целях, виде собираемых данных, о том, кто их обрабатывает и как можно отозвать согласие.
• Не передавайте данные третьим лицам без согласия. Если хотите передать персональные данные, например, в сторонние CRM, кол-центр или маркетинговое агентство — получите согласие пользователя и подпишите договор с подрядчиком.
• Храните данные безопасно. Используйте пароли, шифрование, ограничение доступа. А бумажные версии поместите в сейфы. Не храните дольше, чем нужно.
• Сообщайте о нарушениях. При утечке персональных данных вы должны уведомить об этом Роскомнадзор в течение 24 часов. Определите, чьи данные пострадали, и проинформируйте этих клиентов.

FAQ