Персональные данные-2025: что обязан сделать бизнес для их защиты

С 1 июля в России меняются правила обращения с персональными данными. Согласно обновленному Федеральному закону РФ №152 «О персональных данных» (152-ФЗ), компании должны хранить наши ПД только на серверах, которые находятся в России.

Руководитель направления юридических услуг группы компаний DV Consulting Даниил Царьков рассказывает, что именно нужно учесть для безопасной работы в новых условиях.

Рядовые интернет-пользователи могут и не заметить изменений напрямую, но косвенно они коснутся всех — и бизнеса в первую очередь. Чтобы не нарушить закон и избежать штрафов, придется серьезно подготовиться.

Новый закон запрещает собирать и хранить личные данные (имя, адрес, телефон и т.п.) на серверах за пределами России. Это касается первичного сбора и фиксации информации, в том числе через интернет.

Закон транслирует, что персональные данные должны оставаться в России — компании больше не могут просто так отправлять их за границу. Расширяется и круг ответственных — вовлеченных в процесс третьих лиц, собирающих и обрабатывающих данные (добавляются так называемые «обработчики» ПД, например, различные веб-сервисы, предоставляющие услуги облачного хранения данных, HR-сервисы и т.д.).

Теперь не только компания-оператор, но и те, кто делает это по её поручению, несет за сохранность ПД ту же ответственность.

Что конкретно запрещено?

Нельзя напрямую собирать персональные данные в иностранные базы. То есть нельзя, чтобы ваша информация сразу «улетала» на сервер за границей — она должна храниться в России, где ее конфиденциальность проще контролировать.

Исключения есть, но их очень мало и они касаются особых случаев, когда, например, нужно выполнить требования международного договора. Использовать иностранные сервисы для трансграничной передачи (например, для рассылки писем) в некоторых случаях можно, но нужно тщательно проверять, как они работают с данными.

Под трансграничной передачей подразумевается передача ПД любому лицу (физическому лицу, коммерческой организации, органу власти и т.д.), находящемуся на территории иностранного государства. На практике это означает, что если оператор ПД загружает их в сервис, база данных которого не локализована в РФ, то такое действие является трансграничной передачей данных.

Можно ли отправлять ПД за рубеж после того, как они уже собраны в России? Да, но с ограничениями.

Чтобы отправить персональные данные за границу, компания обязана:

По прогнозам DV Consulting, новые правила помогут:

Очевидно, что соблюдение всех этих правил потребует от компаний больших затрат: цены на услуги по защите данных в ближайшем будущем вырастут в среднем на треть.

Чтобы избежать утечек персональных данных и штрафов, необходимо серьезно отнестись к новым требованиям закона.

- разработайте план действий на случай, если произойдет утечка данных (например, кто-то взломает вашу систему);

- подготовьте форму, чтобы в течение 24 часов успеть проинформировать Роскомнадзор о ЧП.

7. Проверьте договоры с иностранными компаниями. Добавьте в них пункты об обязанности защищать ПД россиян по российским законам и сообщать об инцидентах, связанных с утечками, в течение 24 часов.

8. Определитесь со способом локализации ПД. Это целиком зависит от специфики вашего бизнеса и технических возможностей.

Итак, новый закон требует, чтобы персональные данные хранились в России. Что делать бизнесу?

Есть три основных способа.

Все базы данных переносим на серверы, которые находятся в России.

Плюсы:

Минусы:

Отделяем ПД россиян от остальной информации и переносим в Россию только их.

Плюсы:

Минусы:

Используем иностранные сервисы (например, для рассылки), телекоммуникационные платформы (например, Zoom) при условии, что они не собирают ПД напрямую, а только принимают копию из российской базы данных.

Эксперты DV Consulting полагают, что для мелкого и среднего бизнеса наиболее целесообразным вариантом будет частичный перенос баз данных в дата-центры, локализованные в РФ, с последующей полной миграцией. Но для высокорисковых отраслей предпочтителен все же полный перенос баз данных в Россию.

Если честно, ничего хорошего в случае утечки персональных данных нарушителей не ждет.

С 30 мая 2025 года появились оборотные штрафы за утечки конфиденциальной информации — их размеры привязаны к доходу компании за определенный период. Организациям и ИП, нарушившим закон, грозит штраф от 3 до 15 млн рублей — в зависимости от количества пострадавших граждан. Штрафные санкции за повторные нарушения привязаны к размеру годовой выручки — минимум 3% от нее (но не менее 20 млн рублей). «Потолок» достигает 500 млн рублей.

А с декабря 2024 года действует и уголовная ответственность за незаконное обращение с ПД — в частности, за утечку конфиденциальной информации за рубеж предусмотрено лишение свободы сроком до 8 лет.

Помимо этого, компании обеспечена блокировка сайта или приложения и отток клиентов. Во всяком случае, маркетплейсы, пережившие блокировки в 2024 году, сообщали о 5-15% оттоке пользователей.

По данным DV Consulting, степень готовности отечественного бизнеса к нововведениям в среднем колеблется в пределах 57%. Ближе остальных к полному соответствию требованиям закона находятся крупные игроки рынка — 80%. В отстающих — малый бизнес и digital-агентства (35%). Им гораздо сложнее найти немалые средства на обновление инфраструктуры и приобретение компетенций в области шифрования трафика.

Новые правила защиты персональных данных в России требуют от компаний больших усилий. Чтобы все сделать правильно и сэкономить время, лучше обратиться к специалистам за внешним аудитом. Расценивайте это как инвестицию в вашу репутацию и будущее бизнеса.

👉 Чтобы узнать больше об услугах DV Consulting, стоит посетить сайт компании.