Новый закон о хранении персональных данных: штрафы за хранение данных взорвут бюджет

С 30 мая 2025 года в России вступает в силу изменение Федерального закона № 152-ФЗ, ужесточающее ответственность за сбор, хранение и обработку персональных данных. Любая организация, будь то крупная корпорация, малое предприятие, фрилансер или самозанятый, обязана зарегистрировать свои операции с информацией о клиентах в реестре операторов Роскомнадзора и оперативно сообщать об инцидентах в течение 24 часов. Размер штрафов за неподачу или искажение сведений вырастет с нынешних 3–5 тыс. ₽ до 100–300 тыс. ₽, а при повторных нарушениях — до 500 тыс. ₽. Для должностных лиц предусмотрены санкции до 100 тыс. ₽, для самозанятых — до 15 тыс. ₽. Нарушение порядка уведомления об утечках грозит штрафом от 1 млн до 20 млн ₽ или оборотными мерами до 3 % годовой выручки. Эти изменения уже сейчас затрагивают сотни тысяч сайтов, сервисов и мобильных приложений по всей стране.

Кому грозят максимальные санкции

По закону № 152-ФЗ ответственность налагается на всех операторов персональных данных:

• Юридические лица и ИП с любым числом сотрудников.
• Самозанятые и фрилансеры, хранящие контакты в смартфонах, Excel или облачных хранилищах.
• Владельцы сайтов и сервисов, собирающие cookie-файлы и аналитические метки.

Персональные данные включают ФИО, телефон, адрес, дату рождения, паспортные сведения и любую информацию, позволяющую идентифицировать человека.

Что нужно сделать до 30 мая 2025 года

1. Проверить реестр операторов на сайте Роскомнадзора (https://rkn.gov.ru/).
2. Подать первичное уведомление об обработке персональных данных или обновить существующее.
3. Внедрить на сайте политику обработки данных и форму согласия пользователей.
4. Перенести хранение и обработку на российские серверы, заменить иностранные сервисы локальными аналогами.
5. Настроить процедуру уведомления об утечках в течение 24 часов и внутреннее расследование — в течение 72 часов.

Как минимизировать риски утечек

• Ограничить доступ сотрудников к данным по принципу «необходимого минимума».
• Внедрить двухфакторную аутентификацию и шифрование базы данных.
• Обучить персонал основам цифровой гигиены и антифишинговым практикам.
• Использовать современные антивирусные решения и системы контроля доступа.
• Разработать внутренние регламенты и журналы учёта реальных процессов обработки.

Итоги

С учётом рекордных штрафов до 20 млн ₽ и оборотных санкций до 3 % годовой выручки бизнесу и самозанятым необходимо незамедлительно проверить регистрацию в РКН, обновить политику конфиденциальности и отработать сценарии обработки и утечек персональных данных. По данным Роскомнадзора (https://rkn.gov.ru/), несвоевременное обновление сведений является основанием для предписаний и штрафных мер.