2025 год стал переломным для российского рынка защиты персональных данных. Число проверок Роскомнадзора выросло, первые оборотные штрафы превратились из теоретической угрозы в реальные расходы компаний, а резонансные утечки данных миллионов россиян заставили регулятора ускорить законотворческую работу. Операторы персональных данных — а это фактически любая организация, работающая с клиентами, сотрудниками или контрагентами, — оказались в ситуации, когда цена ошибки кратно возросла. Разбираемся, что именно поменялось, где бизнес ошибается чаще всего и что ждёт отрасль дальше.
Как менялся 152-ФЗ: ключевые поправки последних лет
Федеральный закон «О персональных данных» существует с 2006 года, однако реальные зубы он приобрёл значительно позже. Долгое время санкции за нарушения были настолько незначительными, что воспринимались как операционные издержки: максимальный административный штраф для юридических лиц до 2022 года редко превышал 100 тысяч рублей. Это порождало устойчивую культуру формального соответствия — когда политика обработки персональных данных публиковалась на сайте для галочки, а реальные процессы могли не иметь с ней ничего общего.
Поправки, вступившие в силу в 2022–2023 годах, изменили ситуацию принципиально. Во-первых, была введена обязанность операторов уведомлять Роскомнадзор об утечке в течение 24 часов с момента обнаружения инцидента, а в течение 72 часов — предоставить расширенную информацию о его масштабах и принятых мерах. Во-вторых, появилось требование об обязательном уведомлении при намерении осуществить трансграничную передачу данных — регулятор получил право запрещать такую передачу, если страна-получатель не обеспечивает адекватный уровень защиты. В-третьих, существенно ужесточились санкции: статья 13.11 КоАП была дополнена новыми составами с максимальными штрафами до 500 тысяч рублей для юридических лиц по отдельным нарушениям.
Однако главным изменением стало введение оборотных штрафов за утечки. Закон, вступивший в силу в мае 2024 года, установил ответственность в размере от 0,1% до 3% годовой выручки компании-нарушителя за повторные инциденты с утечкой персональных данных — при этом минимальный порог составил 15 миллионов рублей, максимальный — 500 миллионов. Для крупного ритейла, банков или телекома это уже не операционная неприятность, а угроза финансовой устойчивости.
Что изменилось на практике в 2025–2026 году
Переход от слов к делу оказался болезненным. По данным самого Роскомнадзора, количество поступивших уведомлений об утечках в 2024 году исчислялось тысячами — при том что годом ранее их были единицы. Это объясняется не столько резким ростом числа инцидентов, сколько тем, что операторы наконец начали выполнять обязанность по уведомлению: теперь за её игнорирование грозит отдельный и весомый штраф.
Роскомнадзор при этом последовательно ужесточает практику правоприменения. Ведомство публично заявляло о намерении добиться первых судебных решений по оборотным штрафам и в 2025 году эти намерения начали реализовываться. Знаковые дела затронули компании из сектора электронной коммерции и телекоммуникаций — именно те отрасли, где базы персональных данных наиболее объёмны и чаще всего становятся мишенью атак.
Отдельного внимания заслуживает тема локализации данных. Требование хранить персональные данные российских граждан на серверах, физически расположенных на территории России, существует с 2015 года — именно из-за его нарушения был заблокирован LinkedIn. Однако интерпретация этого требования по-прежнему вызывает споры. В 2025 году регулятор уточнил позицию применительно к облачным сервисам: сам факт использования зарубежного облака не является автоматическим нарушением, однако первичный сбор и хранение данных должны происходить именно в российской инфраструктуре, и лишь после этого допускается репликация за рубеж в технических целях. Для компаний, исторически строивших архитектуру вокруг AWS, Azure или GCP, это означает серьёзные инфраструктурные изменения.
Параллельно набирает силу практика внеплановых проверок по следам публичных утечек. Если информация о компрометации базы данных попадает в открытый доступ или в Telegram-каналы, которые мониторит регулятор, это автоматически становится основанием для проверки — даже если оператор не подавал уведомление. Фактически Роскомнадзор создал параллельный канал обнаружения нарушений, основанный на разведке по открытым источникам.
Где операторы чаще всего нарушают требования
Анализ материалов проверок и судебной практики позволяет выделить несколько устойчивых паттернов нарушений, которые повторяются из дела в дело.
- Первый и самый распространённый — проблемы с согласиями на обработку. Многие компании по-прежнему используют предзаполненные чекбоксы, «продолжение использования сайта означает согласие» или единые громоздкие согласия, которые охватывают десятки различных целей обработки. Суды и регулятор всё жёстче квалифицируют такие практики как получение согласия ненадлежащим образом. Согласие должно быть конкретным, информированным, однозначным и — применительно к ряду целей — отдельным.
- Вторая зона риска — трансграничная передача данных. Поправки 2022 года создали разрешительный порядок для передачи данных в страны, не входящие в перечень государств с адекватным уровнем защиты, однако значительная часть операторов продолжает передавать данные зарубежным контрагентам, сервисам аналитики или рекламным платформам без надлежащего оформления. CRM-системы, email-маркетинговые платформы, облачные хранилища — всё это потенциально является каналами трансграничной передачи, которые требуют юридического оформления.
- Третья проблема — несоответствие реальных процессов обработки задекларированным. Политика конфиденциальности описывает одни цели и сроки хранения, а фактически данные используются иначе и хранятся дольше. При проверке это несоответствие выявляется достаточно легко — и квалифицируется как обработка персональных данных в целях, не совместимых с заявленными.
Четвёртая болезненная точка — технические меры защиты. 152-ФЗ требует применения технических и организационных мер, соответствующих уровню защищённости обрабатываемых данных. На практике это означает необходимость шифрования, контроля доступа, логирования и регулярной оценки защищённости. Многие небольшие и средние компании ограничиваются минимальными мерами, которые становятся очевидно недостаточными в момент инцидента.
Что ждёт операторов дальше: законодательная повестка
Законодательная активность в сфере персональных данных не снижается. В Государственной думе и профессиональном сообществе обсуждается ряд инициатив, которые могут кардинально изменить ландшафт регулирования уже в 2026–2027 годах.
Наиболее резонансная из них — введение уголовной ответственности за умышленную утечку персональных данных или их незаконный оборот. Соответствующие поправки в Уголовный кодекс неоднократно обсуждались и в 2025 году приобрели более конкретные очертания. Речь идёт о персональной ответственности должностных лиц — руководителей, директоров по безопасности, администраторов баз данных — в случае доказанного умысла или грубой халатности при обращении с данными граждан. Для ИБ-отрасли это означает принципиальное изменение ответственности: из сугубо корпоративной она становится личной.
Параллельно прорабатываются требования к обязательной сертификации систем хранения и обработки персональных данных для отдельных категорий операторов. Если эта инициатива будет реализована, компании из финансового, медицинского и телекоммуникационного секторов могут столкнуться с необходимостью проходить процедуру оценки соответствия для своих баз данных и CRM-систем — по аналогии с тем, как уже работает регулирование в сфере КИИ.
Ещё одно направление — развитие института права на забвение и ужесточение требований к удалению данных. Операторы уже сейчас обязаны удалять или блокировать персональные данные по запросу субъекта, однако на практике этот механизм работает неравномерно: часть компаний выстроила прозрачные процедуры, другие игнорируют запросы или реагируют с задержками. Регулятор сигнализирует о намерении усилить надзор именно в этой части.
Отдельный трек — регулирование использования персональных данных для обучения систем искусственного интеллекта. По мере того как всё больше российских компаний внедряют ИИ-решения, возникает вопрос: на каком правовом основании и в каком объёме допустимо использовать клиентские данные для дообучения моделей? Чёткого ответа в действующем законодательстве пока нет, но регуляторная дискуссия уже началась.
Что делать операторам прямо сейчас: практические шаги
В условиях растущего регуляторного давления компаниям важно перейти от реактивной к проактивной модели соответствия. Несколько ключевых направлений, которые следует приоритизировать.
- Провести комплексный аудит обработки персональных данных — не формальный просмотр документов, а реальный инвентарь: какие данные собираются, где хранятся, кто имеет доступ, с какими третьими сторонами передаются и на каком основании. Результатом должна стать актуальная карта потоков данных, которая и станет основой для оценки рисков.
- Привести в порядок юридическую базу: проверить, охватывают ли действующие согласия все фактические цели обработки, соответствуют ли политики конфиденциальности реальным процессам, корректно ли оформлена трансграничная передача. Особого внимания требуют договоры с подрядчиками и сервисами, которым передаются данные: по закону оператор несёт ответственность за действия своих операторов-поручителей.
- Выстроить технические меры защиты соразмерно уровню риска. Это не означает необходимости немедленно сертифицировать всё подряд — но базовые меры (шифрование чувствительных данных, разграничение доступа по принципу минимальных привилегий, логирование операций с персональными данными, регулярное резервное копирование) должны быть реализованы.
- Настроить процедуру реагирования на инциденты с соблюдением 24-часового срока уведомления РКН. Это требует не только технических инструментов обнаружения инцидентов, но и чёткого внутреннего регламента: кто принимает решение об уведомлении, кто готовит содержание, кто подаёт. Без такого регламента в момент реального инцидента компания рискует пропустить срок просто из-за организационного хаоса.
Наконец, стоит рассмотреть превентивное взаимодействие с Роскомнадзором. Ведомство практикует консультации для операторов по вопросам трактовки требований, и своевременное обращение за разъяснениями — особенно по спорным вопросам вроде трансграничной передачи или использования биометрии — позволяет снизить риск будущих претензий.
Выводы
152-ФЗ превратился из декларативного документа в реально работающий инструмент с ощутимыми финансовыми последствиями. Оборотные штрафы, уголовная ответственность в горизонте планирования и ужесточение правоприменения делают вопрос соответствия требованиям закона стратегическим, а не операционным. Компании, которые рассматривают защиту персональных данных как статью расходов, а не как элемент корпоративного управления, рискуют столкнуться с последствиями, которые окажутся значительно дороже любых инвестиций в compliance. Регуляторная волна только набирает высоту.
