Персональные данные: что обязан сделать оператор по 152-ФЗ (2026)

Кто такой оператор

Оператор — тот, кто сам или вместе с другими организует обработку персональных данных и решает, зачем и как их обрабатывать (ст. 3 152-ФЗ). Персональные данные — любые сведения, по которым можно определить человека: Ф. И. О., телефон, адрес почты, должность в сочетании с местом работы. Обработка — почти любое действие с ними, от сбора и хранения до удаления.

Поэтому оператором становится практически любая организация и ИП: кадровый учёт работников, договоры с клиентами-гражданами, представители контрагентов, заявки и формы на сайте, системы аналитики. Вопрос обычно не «касается ли нас 152-ФЗ», а «что из обязательного у нас уже сделано».

Что обязан сделать оператор

1. Назначить ответственного за организацию обработки (ст. 22.1). Он ведёт внутренний контроль, доводит требования до работников и организует ответы на запросы граждан — образец приказа.
2. Утвердить политику обработки и обеспечить к ней доступ (ст. 18.1). Если данные собираются через интернет, политику публикуют на сайте — образец политики, для сайта — политика конфиденциальности и cookie.
3. Получать согласия там, где они нужны, — отдельным документом. Для исполнения договора и требований закона согласие не требуется. Для рассылок, отзывов и других целей оно нужно, и с 1 сентября 2025 года оформляется отдельно от договоров, оферт и анкет — образец согласия.
4. Уведомить Роскомнадзор до начала обработки и сообщать об изменениях не позднее 15-го числа следующего месяца (ст. 22) — образец уведомления.
5. Оценить вред, который может быть причинён людям при нарушении закона, по требованиям приказа Роскомнадзора № 178 — образец акта.
6. Хранить базы с данными граждан России в России. При сборе данных записывать, хранить и обновлять их нужно с использованием баз данных на территории России (ч. 5 ст. 18).
7. Отвечать на запросы граждан в течение 10 рабочих дней; срок можно продлить ещё на 5 рабочих дней, мотивированно уведомив человека.
8. Сообщать об утечках. Роскомнадзор уведомляют в течение 24 часов с момента выявления инцидента, о результатах расследования — в течение 72 часов (ч. 3.1 ст. 21) — образец порядка реагирования.
9. Защищать данные в информационных системах. Уровень защищённости (от УЗ-1 до УЗ-4) определяется по ПП № 1119 — в зависимости от типа актуальных угроз, категорий и объёма данных. Состав мер для каждого уровня — приказ ФСТЭК № 21.

Штрафы

Ответственность — ст. 13.11 КоАП. С 30 мая 2025 года суммы заметно выросли, особенно за утечки. Для организаций:

• обработка без законного основания или не по целям — 150–300 тысяч рублей, повторно — 300–500 тысяч;
• обработка без письменного согласия, когда оно обязательно, или согласие без обязательных сведений — 300–700 тысяч, повторно — 1–1,5 млн;
• политика не опубликована, к ней нет доступа — 30–60 тысяч;
• не подано или подано с опозданием уведомление о начале обработки — 100–300 тысяч;
• нарушена локализация баз данных — 1–6 млн, повторно — 6–18 млн;
• Роскомнадзор не уведомлён об утечке — 1–3 млн;
• утечка — от 3 до 15 млн в зависимости от числа затронутых людей; специальные категории — 10–15 млн, биометрия — 15–20 млн;
• повторная утечка — оборотный штраф 1–3 % выручки, но не меньше 20 млн (для специальных категорий и биометрии — 25 млн) и не больше 500 млн рублей.

Посчитать штраф для своей ситуации — в калькуляторе штрафов.

С чего начать

1. Выпишите, чьи данные вы обрабатываете и зачем: работники, клиенты, сайт, подрядчики. Это основа политики и уведомления.
2. Издайте приказ об ответственном и утвердите политику; опубликуйте её на сайте, если он собирает данные.
3. Проверьте формы на сайте и бумажные анкеты: согласие — отдельной галочкой или отдельным бланком, не внутри договора.
4. Проверьте себя в реестре операторов Роскомнадзора и подайте уведомление или изменения.
5. Проведите оценку вреда и определите уровень защищённости информационных систем.
6. Утвердите порядок реагирования на утечку и проверьте доступ к порталу Роскомнадзора.

Если вы ещё не разобрались, какие режимы касаются организации — КИИ, персональные данные, общая ИБ, — начните со схемы «С чего начать». Готовые шаблоны всех документов — в комплекте по персональным данным.

Частые ошибки

• Политика скачана с чужого сайта. Цели, сервисы и сроки в ней не совпадают с реальной обработкой.
• Согласие — пунктом договора или заранее отмеченной галочкой. С сентября 2025 года так нельзя.
• Уведомление подано давно и не обновлялось. Новый хостинг, CRM или сайт — это изменение сведений.
• Никто не знает, что делать при утечке. 24 часа уходят на поиск ответственного и пароля от портала Роскомнадзора.

По отраслям

• В клинике и медицинском центре — данные о здоровье, врачебная тайна, запись через сайт.
• В школе, детском саду и учебном центре — данные детей, согласие родителей, фото и видео.
• В магазине и интернет-магазине — рассылки, программы лояльности, курьеры и базы в России.
• Персональные данные работников — глава 14 ТК, согласия, личные дела и сроки хранения.