Персональные данные: что обязан бизнес

Даже сайт с формой обратной связи делает вас оператором. Что нужно оформить и чем грозит отсутствие.

Если вы собираете имя, телефон, почту, адрес — вы оператор персональных данных. Это касается и сайта с формой заявки, и таблицы с клиентами, и базы сотрудников.

Что нужно оформить

1. Уведомление в Роскомнадзор о намерении обрабатывать персональные данные — подаётся до начала обработки, через сайт РКН, бесплатно. 2. Политика обработки персональных данных — публикуется на сайте в открытом доступе. Обязательное требование, а не рекомендация. 3. Согласие субъекта на обработку. Для рассылок и передачи третьим лицам — отдельное согласие, галочка не должна стоять по умолчанию. 4. Внутренние документы: приказ о назначении ответственного, правила обработки и рассмотрения запросов, перечень обрабатываемых данных и лиц с доступом. Два документа спрашивают при проверке одними из первых, и именно их обычно нет: акт оценки вреда субъектам (приказ Роскомнадзора № 178) и акт определения уровня защищённости данных (постановление Правительства № 1119). Документы хранятся у вас и показываются по запросу — в Роскомнадзор их не отправляют.

Хранение в россии

Базы данных, содержащие персональные данные граждан России, должны находиться на серверах на территории РФ. Это касается и CRM, и хостинга, и почтовых рассылок. Обработка в зарубежных сервисах после первичной записи в российскую базу допускается, но сама первичная запись должна быть здесь.

Зарубежный сервис — это трансграничная передача

Зарубежная CRM, рассылка, облако или нейросеть, куда уходят данные клиентов, — это трансграничная передача. О ней нужно отдельно уведомить Роскомнадзор ДО начала передачи (ст. 12 152-ФЗ); это не то же уведомление, что об обработке, и одно другое не заменяет. Дальше решает страна. Если государство входит в перечень стран с адекватной защитой (приказ Роскомнадзора № 128) — передавать можно сразу после направления уведомления. Если не входит — только после рассмотрения уведомления. США, например, в перечне нет, поэтому многие популярные сервисы попадают в сложный порядок. Самая частая ошибка — подключить зарубежный сервис и не заметить, что уведомление вообще требовалось.

Сроки хранения

Данные хранятся не дольше, чем нужно для цели обработки. Достигли цели — уничтожьте и составьте акт. «Пусть лежит на всякий случай» — нарушение.

Утечка

О факте утечки нужно уведомить Роскомнадзор в течение 24 часов, а о результатах внутреннего расследования — в течение 72 часов.

Штрафы

Штрафы за нарушения в этой сфере существенно выросли и считаются отдельно по каждому составу: отсутствие политики, обработка без согласия, невыполнение требования о локализации, неуведомление об утечке. За повторные нарушения и за утечки крупных объёмов предусмотрены оборотные штрафы.

Права человека

Субъект вправе потребовать сведения об обработке, уточнения, блокирования или уничтожения данных, а также отозвать согласие. Ответить на запрос нужно в течение 10 рабочих дней; продлить срок можно не более чем на 5 рабочих дней, направив мотивированное уведомление с причиной (ст. 20 152-ФЗ). При отзыве согласия — прекратить обработку. Срок в 30 дней действовал до сентября 2022 года и во многих политиках до сих пор не исправлен.

Материал сверен с законодательством 2026-08-25. Нормы меняются — перед решением сверьтесь с действующей редакцией. Это справка, а не юридическая консультация.