эксперт рассказал о шести шагах, которые позволят избежать штрафов и других санкций в этой области

в конце этого месяца вступают в силу поправки к федеральному закону № 152-фз, которые значительно ужесточили ответственность для операторов персональных данных, конкретизировали обязанности операторов и обозначили курс на государственную работу с обезличенными данными. руководитель коммерческой горизонтали data и marketing pim solution владислав яриков рассказал sostav, что происходит, кого это затронет и что делать бизнесу, чтобы не попасть под штрафы.

кто такие операторы персональных данных и почему вы наверняка ими являетесь

словосочетание «оператор персональных данных (пдн)» на слуху уже достаточно давно, однако обычно оно ассоциировалось с крупными компаниями, обслуживающими миллионы клиентов: банки, операторы связи, it-гиганты и пр. однако последние поправки в законодательство значительно расширяют содержание этого термина. теперь, если компания собирает e-mail, номера телефонов, запускает программу лояльности, использует формы обратной связи или размещает на сайте cookie-файлы, то она является оператором пдн и обязана зарегистрироваться в соответствующем реестре роскомнадзора. за неуведомление предусмотрены штрафы, которые с 30 мая увеличиваются в несколько раз.

просто встать на учет недостаточно: необходимо также обеспечить безопасность хранения и обработки персональных данных в зависимости от уровня защищенности. роскомнадзор регулярно проверяет, насколько добросовестно операторы хранят пдн.

даже условный салон красоты без сайта, но со списком постоянных клиентов, занесенным в excel-таблицу, должен иметь политику обработки пдн и обеспечивать соответствие хранения данных требованиям законодательства. если же вы собираете персональные данные в каком-либо виде, храните их в базах и используете их для обзвонов, рассылок, рекламных кампаний, то вы тем более являетесь оператором и должны как можно скорее зарегистрироваться в реестре.

более того, использование зарубежных сервисов аналитики (вроде google analytics) может трактоваться как трансграничная передача данных, что прямо запрещено без специальных условий и создает риск привлечения к уголовной ответственности.

почему приняли поправки

каждому из нас постоянно приходится подписывать большое количество согласий на обработку персональных данных, в том числе, за своих детей. но мало кто понимает, куда уходят эти данные, насколько они защищены, у кого есть к ним доступ. вдобавок к этому новости об очередных массовых утечках персональных данных давно стали обыденностью, а максимум, что грозило допустившим утечку — незначительный штраф. например, один из крупных операторов был оштрафован за допущенную утечку на 30 тыс. рублей. после вступления в силу новых норм штраф мог бы составить до 15 млн рублей, а руководство компании понесло бы уголовную ответственность.

еще один фактор — расцвет кибермошенничества. в генпрокуратуре опубликовали данные, согласно которым в 2024 году эта разновидность составила 40% от всех преступлений в стране. очень часто в основе интернет-мошенничества лежит неправомерное использование персональных данных. телефонные мошенники, спам-звонки, манипуляции с уязвимыми категориями граждан — все это давно превратилось в системную проблему, и новое законодательство стало ответом на этот вызов.

суть поправок кратко изложена в памятке

персональные данные для ии: новый этап начинается с 1 сентября 2025 года

следующий важный этап — обезличенные данные и искусственный интеллект.

с 1 сентября 2025 года вступает в силу норма, обязывающая компании передавать обезличенные персональные данные в государственную информационную систему, предназначенную для обучения ии.

что это значит:

• формируется единый госреестр датасетов; компании обязаны передавать данные в обезличенном виде;
• обезличивание будет проходить по установленным правилам (ожидаются уточнения от минцифры);
• использование таких данных поможет обучать алгоритмы ии для задач социальной политики, здравоохранения, транспорта и прочих.

важно отметить, что эта инициатива — не про сбор новых данных, а про упорядочивание уже собранных и обеспечение их легального использования

как бизнесу подготовиться: 6 обязательных шагов

мы подготовили небольшой чек-лист с обязательными шагами, которые позволят избежать штрафов и других санкций за неправильное обращение с персональными данными

новая реальность

закон изменился. теперь обработка персональных данных это касается каждого бизнеса — от маленького ногтевого салона до огромного маркетплейса. пока непонятно, насколько жесткими будут проверки, но они точно будут. соблюдение всех требований к работе с пнд становится такой же нормой, как соблюдение требований пожарной безопасности. это новая реальность, с которой теперь придется существовать всему бизнесу.