Загружаем 1ОПД
Подготавливаем страницу…
К содержанию
Руководство по 152-ФЗ
152-ФЗ для бизнеса: полный чек-лист
Компания, которая собирает имена, телефоны и email клиентов или работников, отвечает как оператор персональных данных. Ниже перечислено, что 152-ФЗ требует от оператора: документы, согласия, уведомление в Роскомнадзор и порядок работы с обращениями субъектов.
Кого касается 152-ФЗ
Требования 152-ФЗ распространяются на организацию или индивидуального предпринимателя, которые собирают, хранят или иным образом обрабатывают персональные данные граждан России. Это практически весь бизнес: интернет-магазины, сервисы, агентства, HR-отделы, медицинские клиники, образовательные платформы.
- Сайты с формами заявок
- CRM-системы
- Email-рассылки
- Мобильные приложения
- HR и кадровый учёт
- Медицина и образование
- Интернет-магазины
- SaaS-платформы
- B2B-сервисы
Чек-лист оператора: 8 шагов
Определение статуса оператора
Форма с полями «имя» и «email», CRM, веб-аналитика, рассылки, база клиентов: при любом из этих условий компания определяет цели обработки и отвечает как оператор персональных данных.
Уведомление в Роскомнадзор
Оператор уведомляет Роскомнадзор до начала обработки и попадает в реестр операторов персональных данных. Уведомление подают через портал Роскомнадзора или Госуслуги.
Комплект документов оператора
Политика обработки персональных данных, приказ о назначении ответственного за организацию обработки, положение об обработке персональных данных, договоры поручения обработки с подрядчиками.
Согласия под формами сбора данных
Под каждой формой оператор размещает отдельное согласие: конкретная цель, ссылка на политику, текст в действующей редакции. Галочку ставит субъект, предустановить её нельзя.
Cookie-баннер и категории
Если сайт запускает веб-аналитику (Яндекс Метрика, GA) или маркетинговые cookies, оператор показывает баннер с выбором категорий и отказом от необязательных.
Меры защиты персональных данных
Технические и организационные меры: HTTPS, разграничение доступа, журналирование, перечень допущенных работников, ознакомление работников с регламентом под роспись.
Порядок работы с обращениями субъектов
Субъект вправе получить сведения об обработке, потребовать уточнения или уничтожения персональных данных. Оператор ведёт учёт обращений и отвечает в срок, установленный ст. 20 152-ФЗ.
Уведомление об инциденте
При неправомерной передаче персональных данных оператор уведомляет Роскомнадзор в течение 24 часов, а результаты внутреннего расследования направляет в течение 72 часов.
Штрафы за нарушения 152-ФЗ
- Уведомление Роскомнадзора не подано
- 100 000 – 300 000 ₽ч. 10 ст. 13.11 КоАП
- Обработка без законного основания
- 150 000 – 300 000 ₽ч. 1 ст. 13.11 КоАП
- Утечка персональных данных
- до 500 млн ₽оборотные, с 30.05.2025
С 30 мая 2025 года действуют оборотные штрафы за утечку персональных данных (ФЗ-420 от 30.11.2024): при повторном нарушении от 1 до 3% годовой выручки либо от 20 до 500 млн рублей. Подробнее о штрафах
Что из этого закрывает 1ОПД
Уведомление РКН Подготовим и подадим уведомление в Роскомнадзор, актуализируем сведения при изменении обработки.Пакет документов Политика обработки персональных данных, согласия, приказы и регламенты: комплект под процессы вашей организации.Аудит сайта Проверим формы, cookie, веб-аналитику, согласия и документы. Опишем расхождения и порядок их устранения.Ответ на запрос РКН Получен запрос или предписание Роскомнадзора: подготовим ответ по каждому пункту в установленный срок.Оператор ПДн и реестр Кто считается оператором, как проверить компанию в реестре Роскомнадзора и какие обязанности это влечёт.Политика обработки ПДн Обязательный документ для сайта по ст. 18.1: собираем под вашу реальную обработку, а не по шаблону.Согласие на обработку Что должно быть в согласии и какие ошибки делают формы на сайтах. Образец под вашу форму.Утечка персональных данных Обязанности оператора при утечке, сроки уведомления Роскомнадзора и ответственность с 2025 года.ПДн сотрудников Как работодателю обрабатывать данные сотрудников по 152-ФЗ и главе 14 ТК: документы и согласия.Модель угроз ИСПДн Когда оператору нужна модель угроз безопасности и как определить уровень защищённости системы.
Частые вопросы
Все ли компании обязаны соблюдать 152-ФЗ?
Да. Компания, которая собирает хотя бы имя и email клиента или работника, является оператором персональных данных и обязана соблюдать 152-ФЗ. Под действие закона попадают ИП, ООО, НКО и государственные структуры.
Нужно ли уведомлять РКН, если у меня небольшой сайт?
Зависит от того, какие данные оператор обрабатывает и с какой целью. Компании с формами обратной связи, CRM и веб-аналитикой в большинстве случаев обязаны подать уведомление. Исключения есть, но они узкие.
Что будет, если не выполнить требования 152-ФЗ?
Суммы зависят от состава: от 30 000 до 500 000 000 рублей. С 30 мая 2025 года действуют оборотные штрафы за утечку данных: от 1 до 3% годовой выручки. Роскомнадзор проводит плановые и внеплановые контрольные мероприятия.
С чего начать соответствие 152-ФЗ?
С экспресс-аудита: какие данные оператор собирает, подано ли уведомление в Роскомнадзор, как оформлены согласия и политика обработки персональных данных. 1ОПД проводит такой аудит за 24 часа.
Сколько стоит приведение в соответствие с 152-ФЗ?
Зависит от масштаба обработки: состава процессов, числа форм на сайте, наличия подрядчиков и работников. Точную сумму называем после разбора. Консультация бесплатна.
Как 1ОПД помогает с 152-ФЗ?
1ОПД ведёт обязанности оператора в одном контуре: уведомление в Роскомнадзор, пакет документов, аудит сайта, учёт согласий, cookie-баннер, отслеживание изменений законодательства и сопровождение по договору.
Начните с проверки своего сайта
Проверка занимает около минуты и показывает, что видно снаружи: формы, cookies, ссылки на документы. Дальше можно вести работу в платформе или обсудить юридическое сопровождение.
Проверить сайт