Что и как скорректировать в работе с персональными данными к 1 сентября 2025 года

В 2025 году было принято несколько поправок к закону «О персональных данных». Все они направлены на усиление контроля в отношении бизнеса, имеющего в своем распоряжении персональные данные россиян: работников, клиентов, заказчиков, поставщиков и т.д.

В конце мая 2025 года ввели новые штрафы за утечку сведений и неподачу уведомлений о начале обработки персональных данных.

С 1 июля 2025 года вступили в силу поправки, ужесточившие требования к локализации баз данных на территории РФ. Сейчас штраф за размещение за рубежом баз данных с персональной информацией составить от 1 до 6 млн рублей (ч. 8 ст. 13.11 КоАП РФ).

С 1 сентября 2025 года вступили изменения, касающиеся оформления согласия на обработку персданных клиентов. Они касаются всех, кто работает с персональными данными, — от микропредприятий до крупного бизнеса.

Форма согласий на обработку персональных данных

Ранее большинство компаний для фиксации согласия клиентов (заказчиков и т.д.) на обработку персональных данных ограничивались включением соответствующего пункта в договор или пользовательское соглашение.

С 1 сентября 2025 года согласие не может быть частью договора или иного соглашения. Согласие на обработку персональных данных должно быть оформлено в виде отдельного бумажного или электронного документа и содержать всю информацию, предусмотренную законом. Что касается сайтов, теперь простой «галочки» о согласии на обработку всех персданным недостаточно.

При этом, ранее полученные согласия остаются действительными, их переоформлять его не нужно.

Виды согласий

Для согласия на обработку персональных данных законом предусмотрены две формы:

1. Согласие с запретом на разглашение сведений.
2. Согласие, которое включает в себя возможность распространения персональных данных.

Первый вариант позволяет оператору-организации собирать, хранить, использовать, передавать персональные данные, но только ограниченному числу лиц, предусмотренному законодательством. Большинство организаций работают именно с такой формой.

Второй вариант представляет собой расширенное согласие владельца на обработку его личной информации. Он дает право публично распространять персданные, например, публиковать в интернете на официальном сайте, в социальных сетях и т.п. Этот вариант сложнее в оформлении. Владелец персданных должен самостоятельно выбирать, какие именно сведения о нем могут стать общедоступными.

Штраф за неправильно оформленное согласие на обработку персональных данных

Штрафы за отсутствие согласия на обработку персональных данных предусмотрены ч. 2 ст. 13.11 КоАП РФ:

• для обычных граждан — в размере от 10 тыс. до 15 тыс. рублей;
• для руководителей организаций — от 100 тыс. до 300 тыс. рублей;
• для компаний — от 300 тыс. до 700 тыс. рублей.

Как Роскомнадзор выявляет нарушителей в работе с персданными, и кого может оштрафовать

Обезличивание персональных данных

Обезличивание означает, что сведения должны быть представлены так, что без дополнительной информации идентифицировать владельца невозможно.

С 1 сентября 2025 года введены в силу обновленные требования к обезличиванию данных.

Такую обезличенную информацию вправе запрашивать госструктуры для их загрузки в Единую информационную платформу национальной системы управления данными (ГИС). Включать в передаваемые наборы биометрические или специальные категории данных запрещено.

Что скорректировать в работе с персданными к 1 сентября 2025 года

1. Проверить, включены ли в реестр операторов персданных. Если нет – подать уведомление. Ошибки в уведомлении об обработке персональных данных в РКН
2. Проверить договоры и пользовательские соглашения, убрать из текстов согласие на обработку персональных данных.
3. Разработать и внедрить новую форму отдельного согласия на обработку персональных данных.
4. При необходимости актуализировать Политику обработки персональных данных.
5. Разработать отдельное конфиденциальное Положение об обезличивании сведений, указав в нем: какой метод обезличивания применяется, как хранятся отдельные части массива данных.
6. Проверить, как организована защита персональных данных. Минимизировать риски утечек.
7. Актуализировать формы на сайтах компании.

Подпишись на рассылку