Новые требования к персональным данным в 2026

Роскомнадзор всерьёз взялся за операторов персональных данных. К середине 2026 года правила игры изменились настолько, что игнорировать их означает одно: готовиться к финансовым потерям. Суммы там такие, что проще один раз нанять юриста и закрыть вопрос, чем годами разгребать последствия визита проверяющих.

Главные изменения в законе о персональных данных в 2026 году

Многие поправки к 152-ФЗ вступили в силу ещё в течение 2025-го. Но именно сейчас, в 2026-м, началась их реальная правоприменительная практика. Инспекторы наработали методички, алгоритмы проверок отточены, автоматизированные системы мониторинга запущены.

• Согласие стало отдельным документом

С сентября 2025-го запрещено прятать согласие на обработку внутри пользовательского соглашения, оферты или анкеты. Это должен быть самостоятельный файл или форма с конкретными целями, перечнем собираемых сведений, сроками хранения и способом отзыва. Всё, что было получено до этой даты, продолжает действовать, но только до тех пор, пока не потребуется обновить данные.

• Реестр операторов расширен до предела

Теперь уведомлять Роскомнадзор обязан любой, кто собирает хоть что-то, относящееся к физлицам. Даже если это просто Excel-файл с именами и телефонами заказчиков. Раньше малый бизнес часто выпадал из поля зрения регулятора. Теперь — нет.

• Локализация баз данных стала жёстким требованием

Серверы, на которых хранятся записи, систематизируются и накапливаются сведения о гражданах РФ, должны физически находиться внутри страны. Google Drive, Dropbox, Notion, зарубежные CRM — всё это прямой путь к нарушению. Штраф за передачу или хранение на внешних ресурсах — вопрос времени.

• Биометрия и специальные категории под особым контролем.

Сбор отпечатков, голосовых слепков, фотографий лица, а также сведений о здоровье, национальности, политических взглядах — всё это требует отдельного письменного согласия и многоуровневой защиты. Игнорирование этих правил чревато самыми крупными санкциями.

• Трансграничная передача — только с подтверждением.

Если данные уходят за рубеж, оператор обязан доказать, что принимающая сторона обеспечивает адекватный уровень их защиты. Государства, не входящие в перечень РКН, требуют дополнительных гарантий от получателя информации.

Что нужно проверить в согласии на обработку персональных данных

Шаблонное согласие, скачанное пять лет назад с первого попавшегося сайта, в 2026 году не пройдёт даже поверхностную проверку. Инспекторы научились смотреть на формулировки прицельно. Вот список пунктов, которые должны быть в документе обязательно.

• Чётко прописанные цели обработки. Размытые фразы вроде «для исполнения договора» больше не катят. Нужно конкретно: «для доставки заказа по указанному адресу», «для начисления бонусов по программе лояльности».
• Полный перечень собираемых сведений. Имя, телефон, email, адрес, паспортные реквизиты — всё должно быть перечислено. Указание «и другие необходимые данные» считается нарушением принципа минимизации.
• Срок хранения. Бессрочное хранение — красная тряпка для проверяющего. Указывайте реальный срок, после которого информация уничтожается или обезличивается.
• Порядок отзыва. Человек должен понимать, куда ему обратиться, чтобы отозвать согласие, и в какой срок его требование будет выполнено.
• Сведения об операторе. Полное наименование компании, ИНН, адрес, контакты ответственного лица — всё это должно быть прямо в тексте документа.
• Подтверждение факта получения. Простая галочка «Я согласен» без логирования IP-адреса и времени клика уже недостаточна. Система должна фиксировать, кто, когда и в каком объёме дал разрешение на обработку.

Отдельная история — cookies и прочие трекеры на сайте. Формально они тоже собирают персональные данные. Для них требуется отдельное уведомление и возможность отказа. Баннер с одной кнопкой «Принять» без альтернативы — нарушение.

Уведомление Роскомнадзора: кому необходимо подать или обновить сведения

Многие операторы до сих пор уверены: раз уведомление подавалось несколько лет назад и данные не менялись, повторно ничего отправлять не нужно. Это опасное заблуждение.

РКН обновил форму уведомления и требования к его содержанию. Если в старой версии не были указаны, скажем, используемые информационные системы или категории обрабатываемых сведений, документ считается неактуальным. Штраф за отсутствие корректного уведомления стартует от 100 000 рублей.

Кого касается в первую очередь:

• Компании, которые сменили CRM или биллинговую систему.
• Бизнес, начавший собирать новые типы данных (например, подключивший систему лояльности с историей покупок).
• Организации, запустившие мобильное приложение или личный кабинет с авторизацией.
• Все, кто до сих пор не подавал уведомление, полагая, что их деятельность подпадает под исключения.

Исключения из обязанности уведомлять действительно есть. Но они настолько узкие, что большинство бизнесов в них не помещается. Например, обработка исключительно в целях пропускного режима — да. А вот обработка кадровых данных сотрудников — уже нет.

Какие штрафы грозят за нарушение требований

Цифры выросли кратно. Если раньше за отсутствие политики обработки можно было отделаться предупреждением, то теперь это полноценный финансовый удар.

• Отсутствие согласия или его некорректное оформление — до 150 000 рублей на юрлицо.
• Неподача уведомления в РКН — от 100 000 рублей.
• Хранение данных россиян за пределами РФ — до 500 000 рублей.
• Утечка, повлёкшая компрометацию сведений, — штрафы, привязанные к выручке, плюс уголовная ответственность для должностных лиц в особо тяжёлых случаях.
• Отсутствие назначенного ответственного за организацию обработки — до 100 000 рублей.
• Использование несертифицированного ПО для работы с ПДн (с 1 июля 2026) — отдельный состав, по которому практика только формируется, но суммы обещают быть ощутимыми.

Роскомнадзор запустил автоматизированные системы сканирования. Они проверяют сайты на наличие политики конфиденциальности, анализируют IP-адреса серверов, выявляют использование зарубежных облачных сервисов. Человеческий фактор минимизирован: алгоритм фиксирует отклонение, формирует протокол, и дальше уже запускается процедура привлечения к ответственности. Оспорить такое сложнее, чем результаты ручной проверки.

Чек-лист: что проверить компании в 2026 году

Ниже — практический список того, что стоит сделать в первую очередь. Не к концу квартала. Не после налоговой отчётности. Сейчас.

• Актуализировать политику обработки и разместить её на сайте в открытом доступе. Документ должен отражать реальное положение дел, а не абстрактные формулировки из интернета.
• Проверить все формы сбора данных на предмет отдельного согласия. Убрать «вшитые» в договоры и оферты пункты. Если форма одна, а целей несколько — для каждой должно быть своё поле с галочкой.
• Подать или обновить уведомление в реестр операторов РКН. Указать актуальный перечень информационных систем, категории субъектов и цели.
• Проверить, где физически находятся серверы или облачные хранилища, используемые бизнесом. Если хоть что-то расположено за пределами РФ — начать миграцию.
• Назначить ответственного за организацию обработки и зафиксировать это приказом. Им может быть штатный сотрудник или привлечённый специалист на аутсорсе.
• Провести инструктаж для персонала. Сотрудники должны понимать, какие сведения они собирают, где хранят и кому имеют право передавать.
• Проверить наличие сертификатов ФСТЭК или ФСБ на используемое ПО для обработки, особенно если речь о CRM, медицинских или бухгалтерских системах.
• Настроить логирование операций. Любое действие с персональными данными — от создания записи до её удаления — должно фиксироваться в журнале с отметкой времени и указанием конкретного сотрудника.
• Подготовить план реагирования на инциденты. Утечка — не гипотетический сценарий. Чёткий алгоритм действий сэкономит драгоценные часы на первичное реагирование, когда счёт идёт на минуты.

Откладывать это на потом себе дороже. РКН методично обходит сектор за сектором, и списки на проверку формируются не вручную — их генерирует система на основе анализа десятков параметров. Один из них — давность последнего обновления сведений в реестре операторов.

Часто задаваемые вопросы

Кто считается оператором персональных данных?

Любое юридическое или физическое лицо, которое организует или осуществляет сбор, запись, систематизацию, накопление, хранение, уточнение, использование, передачу, обезличивание, блокирование или удаление любых сведений, относящихся к идентифицированному или идентифицируемому физлицу. Компания, ИП, самозанятый, некоммерческая организация — статус значения не имеет.

Нужно ли подавать уведомление в Роскомнадзор, если оно уже подавалось ранее?

Если с момента подачи изменился хотя бы один параметр: адрес, перечень обрабатываемых сведений, цели, используемые системы — уведомление необходимо обновить. Штраф за неактуальные сведения приравнивается к штрафу за их отсутствие.

Обязательно ли получать согласие на использование cookies?

Да, файлы cookie, позволяющие идентифицировать пользователя или отслеживать его поведение, считаются персональными данными. Для их использования требуется информирование посетителя и предоставление ему возможности отказаться от сбора такой информации.

Какие персональные данные собирает сайт?

Как минимум — IP-адрес, геолокацию, данные об устройстве, историю просмотров, файлы cookie. Если на сайте есть форма обратной связи, личный кабинет или корзина — добавляются имя, телефон, email, адрес доставки. Весь этот набор подпадает под регулирование 152-ФЗ.

Кто отвечает за утечку персональных данных?

Ответственность несёт оператор — то есть та компания или лицо, которое организовало обработку. Если утечка произошла по вине подрядчика (например, хостинг-провайдера), оператор всё равно отвечает перед субъектами и регулятором, а затем может взыскивать ущерб с виновного в регрессном порядке.

Можно ли обрабатывать персональные данные без согласия?

В строго ограниченных случаях, предусмотренных законом: исполнение договора, реализация правосудия, выполнение функций госорганов. Все остальные ситуации требуют явно выраженного и задокументированного разрешения субъекта.