Новые правила обработки персональных данных. Что делать бизнесу?

За последние полгода закон о персональных данных превратился в настоящий квест для предпринимателей. То штрафы увеличили, то обязали присылать новые уведомления в Роскомнадзор, то ввели отдельные формы согласий.

Ясно одно: надзор усилился, а привычные практики - типа хранить личные данные клиента в гугл-таблице или добавлять согласие внизу договора - теперь прямой путь к проблемам.

Меня зовут Яна, я CEO маркетингового агентства Daniker Consult. Я знаю, что у большинства предпринимателей руки и так не доходят до маркетинга и операционки, а тут ещё и юристы пугают миллионами штрафов.

Давайте спокойно разберёмся: что изменилось в 2025 году, чего ждать с 1 сентября и как бизнесу работать безопасно, не теряя клиентов и не нарываясь на проблемы.

Что уже изменилось в мае 2025 года

Во-первых, компании обязаны уведомлять Роскомнадзор о сборе и хранении данных до начала работы с ними, а не по факту. Раньше можно было сначала собирать телефоны и e-mail, а потом подавать уведомление. Теперь нет - только заранее.

Во-вторых, штрафы выросли в разы. За отсутствие регистрации грозит:

В-третьих, Роскомнадзор нужно уведомлять о любых изменениях. Сменили юридический адрес, добавили новый тип данных для обработки, подключили новый сервис - всё это требует обновления сведений.

В-четвёртых, данные клиентов должны храниться только в России. Если вы хотите использовать зарубежные сервисы, например Google Analytics, то обязаны запросить разрешение у РКН. Да, даже подключение метрик теперь под контролем.

В-пятых, при утечке информации у вас будет всего 24 часа, чтобы уведомить Роскомнадзор и описать, какие меры предприняты.

И это только майские поправки. Теперь посмотрим, что ждёт бизнес с сентября.

Изменения по персональным данным с 1 сентября 2025 года

С осени вступают в силу новые правила, которые окончательно переворачивают практику работы с клиентскими данными.

Больше никаких галочек внизу договора. Согласие на обработку данных клиента теперь оформляется отдельным документом - на бумаге или в электронном виде.

Причём запрещено не только прятать согласие внутри других бумаг, но и объединять разные виды согласий в одном документе!

То есть раньше можно было подписать с клиентом одну форму, где одновременно стояло согласие на обработку данных, рассылку и распространение. Теперь так нельзя. Каждое согласие оформляется отдельно.

В документе должны быть:

С 1 сентября все компании, работающие с персональными данными, обязаны передавать обезличенную информацию в федеральную государственную информационную систему (ГИС).

У Минцифры теперь есть право требовать у бизнеса и ведомств обезличенные данные - например, статистику по пользователям, регионам, возрастным группам. Эти данные попадут в закрытую систему, но сам факт их обязательной передачи - новая реальность.

Правда, компания должна состоять в реестре операторов ПД, не быть под контролем иностранцев и не иметь связей с экстремизмом.

Если после 1 сентября у вас неправильно оформлено согласие, это уже отдельный штраф по ч. 2 ст. 13.11 КоАП:

А если речь идёт об утечках или грубых нарушениях, сумма может доходить до 15 миллионов!

Что делать бизнесу

Советую со всей серьёзностью пройтись по чек-листу:

У многих компаний персональные данные размазаны по разным местам: CRM, Excel-таблицы у менеджеров, формы обратной связи на сайте, визитки, собранные на выставках. Добавьте сюда рекламные квизы, чат-боты и регистрацию через соцсети - получится солянка, где часть данных собирается без уведомления Роскомнадзора и без согласия клиента.

Нужно пройтись по всем каналам сбора данных, проверить, есть ли согласие, и сопоставить это с требованиями закона.

Напоминаю, что каждое согласие оформляется отдельным документом. Это означает, что если вы ведёте продвижение бизнеса через рассылки, должны быть два отдельных согласия:

А если вы, допустим, планируете публиковать кейсы клиентов (например, с их фотографиями) - то нужно ещё и третье согласие, на распространение.

Как это повлияет на маркетинг и продвижение

Во-первых, если вы ведёте клиентские группы в WhatsApp* или Telegram, теперь нужно уведомлять людей, зачем собираете их телефоны и как будете использовать данные. Простое добавление «по умолчанию» может привести к жалобе и штрафу.

Во-вторых, база телефонов и e-mail теперь должна быть подтверждена согласием клиента. Если человек не дал разрешение, такие контакты использовать нельзя. Иначе это уже не база данных клиентов, а список, за который можно получить штраф.

В-третьих, при продвижении бизнеса через рассылки и рекламу важно учитывать: согласие на обработку и согласие на рекламную рассылку - это два разных документа. Хотите отправлять клиенту промоакции? Подготовьте отдельную форму.

Возможно, это и выглядит как бюрократический ад, но на самом деле всё не так страшно. Если системно подойти к вопросу, провести аудит и перестроить процессы, то бизнес будет спокойно работать и дальше.

Посмотрите на новшества с другой стороны: вы открыто говорите, зачем берёте данные и как их храните, а это повышает доверие.

Если хотите разобраться, как адаптировать вашу стратегию под новые правила и не потерять клиентов, приглашаю на бесплатную экспертную сессию. Переходите в мой телеграм-канал Честно про маркетинг - там мы обсуждаем реальные кейсы и готовим бизнес к любым изменениям рынка.

*принадлежит Meta — организации, деятельность которой признана экстремистской и запрещена на территории РФ.