Словарь · Право и договоры
Что такое 152-ФЗ о персональных данных
Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»
152-ФЗ — федеральный закон «О персональных данных». Он обязывает компании и ИП, которые собирают данные клиентов или сотрудников, уведомить Роскомнадзор, получать согласия, опубликовать политику обработки данных и защищать базы. За нарушения — штрафы по ст. 13.11 КоАП РФ.
Простыми словами
Если вы храните имена, телефоны или e-mail клиентов — в CRM, таблице или форме на сайте, — вы оператор персональных данных. Закон требует сообщить об этом государству, спрашивать у людей разрешение и беречь их данные.
Что нужно сделать
- Уведомить Роскомнадзор до начала обработки (ч. 1 ст. 22). Без уведомления можно, только если данные обрабатываются исключительно без средств автоматизации (п. 8 ч. 2 ст. 22). Форма уведомления утверждена приказом РКН от 28.10.2022 № 180, подать его можно через портал pd.rkn.gov.ru. Об изменениях сведений сообщают не позднее 15-го числа следующего месяца, о прекращении обработки — в течение 10 рабочих дней (ч. 7 ст. 22).
- Опубликовать на сайте политику обработки персональных данных (ч. 2 ст. 18.1).
- Брать согласие отдельным документом: с 1 сентября 2025 г. согласие оформляют отдельно от других документов, которые подписывает человек (ч. 1 ст. 9 в ред. закона № 156-ФЗ). Галочка внутри оферты больше не подходит.
- Хранить базы с данными граждан РФ в России (ч. 5 ст. 18).
- При утечке уведомить РКН в течение 24 часов, а о результатах внутреннего расследования — в течение 72 часов (ч. 3.1 ст. 21).
Штрафы (ст. 13.11 КоАП РФ, в ред. закона от 30.11.2024 № 420-ФЗ)
| Нарушение | ИП | Организация |
|---|---|---|
| Нет уведомления о начале обработки (ч. 10) | 100–300 тыс. ₽ | 100–300 тыс. ₽ |
| Обработка без нужного письменного согласия (ч. 2) | 100–300 тыс. ₽ | 300–700 тыс. ₽ |
| Не сообщили в РКН об утечке (ч. 11) | 1–3 млн ₽ | 1–3 млн ₽ |
| Утечка данных 1–10 тыс. человек (ч. 12) | 3–5 млн ₽ | 3–5 млн ₽ |
| Повторная утечка (ч. 15) | 1–3% выручки, от 20 до 500 млн ₽ | 1–3% выручки, от 20 до 500 млн ₽ |
По частям 1.1 и 8–18 ИП отвечают как организации (примечание 1 к ст. 13.11), по остальным — как должностные лица.
Частые ошибки
- Уведомление подано давно, а цели и сервисы обработки с тех пор изменились.
- Согласие «зашито» в текст оферты или политики.
- Нет плана действий на случай утечки, и 24 часа уходят на поиски ответственного.
Юрист Михаил в Omnex Office готовит политику обработки ПДн и отдельное согласие, а раз в квартал проходит с вами чек-лист по 152-ФЗ.
Пример
ИП ведёт онлайн-школу: заявки приходят через форму на сайте (имя, телефон, e-mail) и попадают в CRM.
- Обработка автоматизированная, значит, до запуска формы нужно уведомить Роскомнадзор. Без уведомления — штраф 100–300 тыс. ₽ (ИП отвечает как организация).
- На сайте — политика обработки ПДн, под формой — отдельное согласие, а не строчка в оферте.
- Из CRM утекли контакты 2 500 учеников. ИП сообщает в РКН об инциденте в течение 24 часов и о результатах расследования — в течение 72 часов. За саму утечку от 1 до 10 тыс. человек штраф составит 3–5 млн ₽ (ч. 12 ст. 13.11 КоАП РФ), а если не сообщить — ещё 1–3 млн ₽ по ч. 11.
Полезные ссылки
Связанные термины
- Маркировка рекламы (erid, ОРД)Маркировка рекламы — правила для рекламы в интернете: пометка «реклама», сведения о рекламодателе и идентификатор erid, который присваивает оператор рекламных данных (ОРД). Сведения о рекламе через ОРД передают в Роскомнадзор — в единый реестр интернет-рекламы (ЕРИР).
- Договор ГПХДоговор ГПХ (гражданско-правового характера) — договор подряда или услуг с физлицом, ИП или самозанятым, где платят за результат, а не за работу по графику. Трудовое право к нему не применяется, но с выплат обычному физлицу удерживают НДФЛ и платят взносы.
- Претензионный порядокПретензионный порядок — обязательная попытка решить спор до суда: кредитор направляет должнику письменную претензию и ждёт ответа. В денежных спорах между бизнесом в арбитражный суд по общему правилу можно идти через 30 календарных дней после отправки претензии (ч. 5 ст. 4 АПК РФ).
- НеустойкаНеустойка — денежная сумма, которую должник платит кредитору за неисполнение или просрочку обязательства: разовый штраф или пени за каждый день. Её устанавливает договор или закон, а доказывать убытки для её взыскания не нужно (ст. 330 ГК РФ).
Источники
Цифры, сроки и ссылки на законы сверены с официальными текстами 30.09.2026. Законы меняются — перед важным решением проверьте актуальную редакцию.
- 1.Федеральный закон от 27.07.2006 № 152-ФЗ, ст. 22 — уведомление об обработке персональных данных
- 2.Федеральный закон № 152-ФЗ, ст. 9 — согласие оформляется отдельно от иных документов (в ред. закона от 24.06.2025 № 156-ФЗ, с 01.09.2025)
- 3.Федеральный закон № 152-ФЗ, ст. 21 — уведомление РКН об утечке за 24 и 72 часа
- 4.КоАП РФ, ст. 13.11 — штрафы за нарушения в области персональных данных
- 5.Приказ Роскомнадзора от 28.10.2022 № 180 — формы уведомлений об обработке персональных данных
Материал носит справочный характер и не заменяет консультацию бухгалтера или юриста по вашей ситуации. Как мы готовим и проверяем материалы