Персональные данные и бизнес в 2025–2026: штрафы до 500 млн, новые требования и как защититься
2025 год: персональные данные стали опасной зоной для бизнеса
Ещё три года назад большинство предпринимателей воспринимали законодательство о персональных данных как формальность. Разместили галочку на сайте, добавили пункт в договор — и всё. Но с середины 2025 года правила игры изменились радикально. Сфера персональных данных бизнеса превратилась в рекордсмена по штрафам: компании платят десятки миллионов рублей, а потолок санкций достиг 500 миллионов. И это не страшилка из интернета — это реальность, с которой уже столкнулись сотни предпринимателей по всей стране.
Кого это касается? Абсолютно всех. Юридических лиц, индивидуальных предпринимателей, самозанятых, онлайн-сервисов. Если у вас есть сайт с формой обратной связи, CRM-система, чат-бот, HR-платформа или просто клиентская база в Excel — поздравляем, вы обрабатываете персональные данные и обязаны соблюдать требования обновлённого ФЗ-152 «О персональных данных». Не соблюдаете? Тогда давайте разберёмся, чем именно вы рискуете.
Реестр Роскомнадзора: первая и самая дорогая ошибка
Один из главных сюрпризов для бизнеса в 2025 году — требование обязательной регистрации в реестре операторов персональных данных Роскомнадзора. Многие об этом просто не знали. А незнание закона, как известно, от ответственности не освобождает.
Логика простая: любая организация или предприниматель, которые собирают, хранят или используют персональные данные (имена, телефоны, email, адреса, cookies), обязаны подать уведомление об операторе и быть внесены в реестр. Отсутствие регистрации — это уже не административный штраф в несколько тысяч рублей, а санкции до 500 миллионов рублей. Для малого бизнеса это буквально конец деятельности.
Проверка проводится Роскомнадзором планово и внепланово. При этом проверяющие давно научились находить нарушителей не только по жалобам, но и с помощью автоматизированного мониторинга сайтов. Так что надеяться на то, что «до нас не доберутся», — стратегия с очень плохим соотношением риска и выгоды.
Где хранить данные — и где нельзя
Следующий болезненный пункт — хранение персональных данных. Российское законодательство давно установило принцип локализации: данные о российских гражданах должны храниться на серверах в России. Но многие компании продолжали пользоваться удобными зарубежными облачными сервисами — Google Drive, Dropbox, зарубежные CRM и HR-системы.
С 2025 года это стало прямым нарушением закона. Хранение данных в зарубежных облачных сервисах запрещено. Это касается не только крупных корпораций, но и небольших компаний, которые держат клиентские таблицы в Google Sheets или переписку с персональными данными в зарубежных мессенджерах. Если ваши данные уходят за рубеж — это нарушение, даже если вы об этом не думали.
С 1 января 2026 года требования ужесточаются ещё сильнее: интернет-сервисы обязаны хранить данные о действиях пользователей не один год, как раньше, а три года. Готовьтесь к тому, что инфраструктура хранения потребует пересмотра — и чем раньше начать, тем дешевле это обойдётся.
Согласие на обработку данных: галочка больше не работает
Один из самых распространённых мифов — «мы написали в договоре, что клиент соглашается на обработку персональных данных, и этого достаточно». Нет. Не достаточно. С точки зрения закона согласие на обработку персональных данных — это отдельный документ. Не пункт в пользовательском соглашении, не мелкий шрифт под кнопкой «Оформить заказ», а самостоятельный акт с чётко прописанными целями обработки, перечнем данных и сроками.
Кроме того, у пользователя должна быть реальная возможность это согласие отозвать — и ваша система должна технически это обеспечить. Многие сайты до сих пор не имеют нормальной политики конфиденциальности, а форма согласия сделана так, что юридически ничтожна. При проверке Роскомнадзора это выявляется в первую очередь.
Утечка данных: у вас 24 часа
Отдельного внимания заслуживает ситуация с утечкой персональных данных. Если данные ваших клиентов или сотрудников оказались в открытом доступе — из-за взлома, халатности, технического сбоя или действий инсайдера — закон устанавливает жёсткий регламент.
В течение 24 часов с момента обнаружения инцидента вы обязаны уведомить Роскомнадзор о факте утечки. В течение 72 часов — предоставить расширенный отчёт с описанием обстоятельств, объёма данных, принятых мер и плана устранения последствий. Каждое нарушение этих сроков — отдельное правонарушение со своими штрафными санкциями. То есть если вы промолчали три дня, а потом всё-таки подали уведомление — вы уже совершили как минимум два нарушения.
В 2025 году несколько крупных российских компаний уже получили штрафы на десятки миллионов рублей именно за несвоевременное уведомление после утечек. Инфраструктура мониторинга работает: факты утечек фиксируются быстро, в том числе через открытые источники и телеграм-каналы.
Биометрия: особая зона риска
Если ваш бизнес работает с биометрическими данными — фотографиями лиц, голосовыми слепками, отпечатками пальцев — это отдельный и очень строгий пласт регулирования. Биометрические данные по закону относятся к специальным категориям, и требования к их обработке, хранению и защите значительно жёстче, чем к обычным персональным данным.
Использование биометрии в системах контроля доступа, кадровых приложениях, HR-сервисах — всё это требует отдельного согласия, специальной технической защиты и строго ограниченного круга лиц, имеющих доступ к таким данным. Ошибки здесь особенно дорогие — как в буквальном, так и в репутационном смысле.
Чек-лист: как защитить бизнес прямо сейчас
Хорошая новость: несмотря на всю строгость новых требований, большинство нарушений можно устранить, если действовать системно. Вот что нужно сделать в первую очередь:
- Проведите аудит персональных данных. Определите, какие данные вы собираете, где они хранятся, кто к ним имеет доступ и на каком основании. Без понимания собственного «периметра данных» невозможно выстроить защиту.
- Зарегистрируйтесь в реестре операторов Роскомнадзора. Если вы ещё не подали уведомление — сделайте это немедленно. Процедура занимает несколько рабочих дней, но промедление увеличивает риск штрафа с каждым днём.
- Обновите согласия на обработку данных. Разработайте корректные формы согласия — отдельные документы с указанием целей, состава данных и сроков обработки. Проверьте, что у пользователей есть техническая возможность отозвать согласие.
- Приведите в порядок политику конфиденциальности сайта. Она должна быть актуальной, читаемой и реально отражать то, что происходит с данными пользователей.
- Перенесите данные на российские серверы. Проверьте все используемые сервисы: CRM, HR-системы, облачные хранилища, корпоративные мессенджеры. Если данные уходят за рубеж — это нарушение.
- Выстройте процедуру реагирования на утечки. Назначьте ответственного, разработайте внутренний регламент, убедитесь, что команда знает: при инциденте у вас есть ровно 24 часа на первичное уведомление.
- Подготовьте документацию по биометрии (если применимо). Отдельные согласия, ограниченный доступ, специальные технические меры защиты — всё это должно быть задокументировано.
Юридическое сопровождение: не роскошь, а необходимость
Требования в сфере защиты персональных данных стали настолько детализированными, что самостоятельно разобраться в них без юридической подготовки — задача почти нереальная. При этом цена ошибки выросла многократно. Штраф в 500 миллионов рублей — это не абстракция, это реальный риск для компании любого масштаба.
Именно поэтому юридическое сопровождение бизнеса в вопросах персональных данных сегодня — это не дополнительная статья расходов, а способ избежать несравнимо более высоких потерь. Опытный юрист по персональным данным проведёт аудит персональных данных, выявит уязвимые места, разработает корректную документацию и выстроит процессы так, чтобы вы соответствовали требованиям закона — без паники и авральных переделок перед проверкой.
Корпоративное право сегодня всё теснее переплетается с вопросами информационной безопасности и compliance. Юрист по корпоративному праву, специализирующийся на цифровой среде, поможет не только привести текущую деятельность в соответствие с законом, но и выстроить систему, которая будет работать на опережение — до того, как на пороге появится проверяющий из Роскомнадзора.
Не ждите, пока проблема придёт сама. В сфере персональных данных промедление измеряется не временем, а деньгами — и суммами, от которых не спасут никакие апелляции.
