Персональные данные: что обязан бизнес
Даже сайт с формой обратной связи делает вас оператором. Что нужно оформить и чем грозит отсутствие.
Если вы собираете имя, телефон, почту, адрес — вы оператор персональных данных. Это касается и сайта с формой заявки, и таблицы с клиентами, и базы сотрудников.
Что нужно оформить
1. Уведомление в Роскомнадзор о намерении обрабатывать персональные данные — подаётся до начала обработки, через сайт РКН, бесплатно. 2. Политика обработки персональных данных — публикуется на сайте в открытом доступе. Обязательное требование, а не рекомендация. 3. Согласие субъекта на обработку. Для рассылок и передачи третьим лицам — отдельное согласие, галочка не должна стоять по умолчанию. 4. Внутренние документы: приказ о назначении ответственного, перечень обрабатываемых данных, порядок доступа, журнал учёта.
Хранение в россии
Базы данных, содержащие персональные данные граждан России, должны находиться на серверах на территории РФ. Это касается и CRM, и хостинга, и почтовых рассылок. Обработка в зарубежных сервисах после первичной записи в российскую базу допускается, но сама первичная запись должна быть здесь.
Сроки хранения
Данные хранятся не дольше, чем нужно для цели обработки. Достигли цели — уничтожьте и составьте акт. «Пусть лежит на всякий случай» — нарушение.
Утечка
О факте утечки нужно уведомить Роскомнадзор в течение 24 часов, а о результатах внутреннего расследования — в течение 72 часов.
Штрафы
Штрафы за нарушения в этой сфере существенно выросли и считаются отдельно по каждому составу: отсутствие политики, обработка без согласия, невыполнение требования о локализации, неуведомление об утечке. За повторные нарушения и за утечки крупных объёмов предусмотрены оборотные штрафы.
Права человека
Субъект вправе потребовать сведения об обработке, уточнения, блокирования или уничтожения данных, а также отозвать согласие. Ответить нужно в установленный срок, а при отзыве — прекратить обработку.
Что сделать
- Подайте уведомление в Роскомнадзор до начала обработки
- Опубликуйте политику обработки на сайте по видимой ссылке
- Проверьте формы: галочка согласия не должна быть проставлена заранее
- Убедитесь, что первичная запись данных россиян происходит на серверах в РФ
- Назначьте ответственного и заведите перечень данных и порядок доступа
Частые ошибки
- Считать, что маленькому бизнесу это не нужно: обязанность не зависит от размера
- Собирать данные «на будущее» без цели и срока
- Хранить клиентскую базу в зарубежном сервисе без российской первичной базы
- Молчать об утечке: сроки уведомления считаются часами
Нормы
ФЗ-152 от 27.07.2006 · ч. 5 ст. 18 ФЗ-152 — локализация · ст. 13.11 КоАП РФ
Материал сверен с законодательством 2026-08-25. Нормы меняются — перед решением сверьтесь с действующей редакцией. Это справка, а не юридическая консультация.