Обработка персональных данных в 2025 году: что важно знать владельцам сайтов и бизнеса

Оператор персональных данных — это любая организация или физическое лицо, которые обрабатывают персональные данные и определяют цели этой обработки, состав данных и операции с ними.

Проще говоря, оператором персональных данных является практически любая организация, обрабатывающая персональные данные, даже если это только данные собственных сотрудников. Сюда относятся и владельцы интернет-сайтов, собирающие информацию, по которой можно идентифицировать человека (например, интернет-магазины).

С 1 сентября 2022 года в России вступили в силу изменения в Федеральный закон от 27 июля 2006 г. № 152-ФЗ «О персональных данных». Теперь операторы, обрабатывающие персональные данные, должны уведомлять Роскомнадзор о начале или осуществлении такой обработки, если они не подпадают под исключения, перечисленные в ч. 2 ст. 22 данного закона. Нарушение этих требований может привести к серьезным штрафам.

Что считается обработкой персональных данных?

Обработкой персональных данных считается любое действие с информацией, позволяющей идентифицировать конкретного человека. В онлайн- и офлайн-среде это может включать:

Отправку форм на сайте (например, заявки на обратный звонок, регистрацию, подписку на рассылку);
Общение через мессенджеры (например, WhatsApp, Telegram, Viber);
Заполнение бумажных анкет в магазине, медицинском центре или другом учреждении;
Обработку и хранение клиентских данных в 1С, CRM или других учетных системах;
Сбор данных с помощью аналитических сервисов, таких как Яндекс.Метрика и Google Analytics.

P.S. Панели вебмастеров, например Яндекс.Вебмастер, Google Search Console - не собирают данные посетителей сайтов, это не считается обработкой ПД.

Какие штрафы грозят за нарушение требований?

Если оператор персональных данных не зарегистрируется в Роскомнадзоре как ОПП (оператор персональных данных) или нарушит требования законодательства, возможны штрафы.

С 30 мая 2025 года увеличатся штрафы за несвоевременное представление уведомлений в Роскомнадзор:

от 5000 до 10 000 рублей — для физлиц
от 30 000 до 50 000 рублей — для должностных лиц
от 100 000 до 300 000 рублей — для организаций и ИП

Кроме того, за повторные нарушения сумма штрафов может увеличиваться, а в ряде случаев деятельность компании может быть временно заблокирована.

Трансграничная передача данных: важный нюанс

Трансграничная передача персональных данных — это передача персональных данных на территорию иностранного государства - органу власти этого государства, иностранному физическому или юридическому лицу.

Если ваш сайт или бизнес использует иностранные сервисы для обработки данных (например, Google Analytics, Facebook Pixel, иностранные CRM-системы), необходимо учитывать требования к трансграничной передаче персональных данных.

Роскомнадзор не запрещает использовать Google Analytics, а лишь требует от владельцев сайтов проинформировать ведомство о его использовании.

Согласно закону, нельзя передавать ПД (т.е. использовать Google Analytics) до того, как подано уведомление. Учитывая, что Google Analytics используется всеми и повсеместно, алгоритм действий, которые необходимо предпринять, выглядит так:

Сначала владельцу сайта нужно удалить код Google Analytics со своего ресурса.
Далее на сайте РКН нужно заполнить уведомление о намерении осуществлять трансграничную передачу ПД.
Рассмотрение уведомления занимает около 10 рабочих дней. РКН может разрешить использование Google Analytics или запретить. (Если ответа нет, то скорей всего приняли без ограничений, но советуем проверить заявку по номеру / ключу. )

Использование зарубежных сервисов без соблюдения этих требований может привести к штрафам и ограничениям на работу с данными.

Как соблюдать закон и избежать проблем?

Зарегистрироваться в Роскомнадзоре как оператор персональных данных, если обработка не подпадает под исключения. Подать уведомление о намерении осуществлять трансграничную передачу ПД (если есть иностранные сервисы.)
Разработать и разместить политику обработки персональных данных на сайте (Указать какие данные собираются и для чего, дополнительно указать что данные собираются Я.Метрикой, или другими подобными сервисами, если такие используются)
Уведомить пользователей сайта, что вы собираете, используете и обрабатываете Cookie (уведомление при заходе на сайт)
Получать согласие пользователей перед обработкой их данных (Согласие на сбор Cookie (кнопка) и чекбокс в каждой форме заявки, что пользователь согласен на обработку персональных данных. )
Обеспечить защиту персональных данных, используя безопасные серверы и шифрование.

Соблюдение этих правил позволит избежать штрафов и обеспечит законную работу с персональными данными клиентов.