Важные изменения вокруг 152-ФЗ и работе с персональными данными в 2025 году

В этой статье мы разберем новые изменения от 2025 года, касающиеся документов по 152ФЗ, наиболее частые ошибки в работе с ними и персональными данными

Уведомления в Роскомнадзор

Уведомление о намерении обрабатывать персональные данные

Что такое Персональные данные — читайте в нашей статье 152-ФЗ «О персональных данных» — просто о главном

Любое лицо (юр.лицо, ИП, физ.лицо, гос.орган или муниципалитет), которое осуществляет обработку персональных данных, признается оператором (оператор ПДн) и обязано подать Уведомление о намерении обрабатывать персональные данные до начала их обработки (ч. 1 ст. 22 152-ФЗ «О персональных данных»).

Для каждого оператора ПДн сейчас стоит задача подать Уведомление и закрыть этот вопрос! Оператор может не подавать уведомление, если обрабатывает ПДн:

• включенные в государственные информационные системы, созданные в целях защиты безопасности государства и общественного порядка;
• исключительно неавтоматизированным способом;
• в случаях, предусмотренных законодательством РФ о транспортной безопасности, в целях обеспечения устойчивого и безопасного функционирования транспортного комплекса, защиты интересов личности, общества и государства в сфере транспортного комплекса от актов незаконного вмешательства.

Как направить Заявление о намерении обрабатывать персональные данные?

Уведомление направляется в территориальный орган Роскомнадзора на электронном или бумажном носителе, или с использованием средств аутентификации ЕСИА

https://pd.rkn.gov.ru/operators-registry/notification/form/

Требования:

• указывать полные, достоверные и исчерпывающие сведения;
• актуализировать уведомление при изменении деятельности (ч. 7 ст. 22 152-ФЗ).

Подсказки:

• 30 мая 2025 года — это не срок подачи Уведомления;
• Дата начала обработки — Дата регистрации ЕГРЮЛ/ЕГРИП;
• Условия прекращения обработки — Ликвидация организации.

Типовые ошибки в уведомлении о намерении осуществлять обработку персональных данных

• Отражение не всех целей обработки персональных данных.
• Отсутствие сведений об обработке ПДн пользователей сайта (в т.ч. через метрики).
• Неопределение по каждой цели: категорий ПДн, категорий субъектов, правовых оснований, перечня действий и способов обработки.
• Указание «распространения» или «обезличивания» ПДн при фактическом их отсутствии.
• «Неактуальная» информация о трансграничной передаче ПДн (да/нет).
• Указание не всех обязательных сведений (например, адреса ЦОДа).
• Ошибочная квалификация фото- и видеоизображений как биометрии, если фактически обработка не подпадает под ч.1 ст.11 152-ФЗ.

Если ранее не подали Уведомление о намерении осуществлять обработку персональных данных: будет ли ответственность?

Задача состоит в исполнении требований. Ответственность будет наступать для тех организаций, которые не подали уведомлений.

Отсутствие Уведомления выявляется в ходе проверок по поступившей жалобе или в ходе проверок сайтов операторов.

Что может стать причиной предписания/штрафа?

• Вы не подали Уведомление;
• Вы отправили Уведомление, но РКН его отклонил;
• Если РКН не принял уведомление и вернул, то обязанность по подаче уведомления не считается исполненной и оператора могут привлечь к административной ответственности за неподачу.

Уведомление об утечке персональных данных

При возникновении инцидентов, связанных с конфиденциальностью, в частности, при их утечке и попадании в открытый доступ или к третьим лицам подать Уведомление можно только через портал Роскомнадзора!

https://pd.rkn.gov.ru/incidents/form/

В каком случае необходимо подать уведомление?

• Несанкционированное копирование базы данных (в том числе сотрудниками)
• База доступна в открытом доступе в интернете
• Доступ к базе получили третьи лица

Ваши действия при обнаружении (или получении сообщения) инцидента утечки данных

• подайте Уведомление, у вас есть на это 24 часа
• в течение 72 часов проводите расследование
• минимизируете последствия и предоставляете отчет о принятых мерах

Даже если утечка не подтвердилась, необходимо подготовить отчет о принятых мерах и проведенном расследовании и подать отчет в Роскомнадзор!!! (о чем Операторы ПДн нередко забывают).

Установление факта распространения (предоставления) в сети «Интернет» баз данных (их части), содержащих персональные данные, является основанием проведения контрольного (надзорного) мероприятия в отношении оператора

Согласие на обработку персональных данных

С 1 сентября 2025 года вступили в силу новые формулировки в 152-ФЗ.

"Согласие на обработку персональных данных должно быть оформлено отдельно от иных информации и (или) документов, которые подтверждает и (или) подписывает субъект персональных данных."

Нельзя включать согласия в договоры, положения, правила, оферты и прочие документы.

Примеры нарушений

• Трудовой договор, и в трудовой договор включаете согласия о размещении фотографий сотрудников на сайте!
• Заключаете договор с клиентом (физ. лицо) и в договоре берете согласие на рассылку
• Храните согласие более 3 лет с момента достижения целей обработки данных
• Присутствуют Формулировки в Согласии вроде «Я согласен на обработку ПДн» или присутствует ссылка только на политику конфиденциальности.
• «Бессрочный» срок обработки, отсутствие целей, избыточный сбор данных.
• Подмена согласия заявкой (например, на участие в программе).
• В случаях, установленных законом, согласие должно быть в письменной форме (например, при передаче данных работников по ст. 88 ТК РФ).

Кем может быть дано согласие

• Родители или законные представители (Полномочия представителя проверяются оператором);
• Наследники;
• Третьи лица, при условии предоставления оператору оснований, указанных в п. 2-11 ч. 1 ст. 6, ч. 2 ст. 10, ч. 2 ст. 11 ФЗ-152
• Непосредственно субъект персональных данных

Согласие в свободной форме

Согласие может быть оформлено в свободной форме, но должно включать в себя:

• ФИО субъекта персональных данных (при оформлении на бумажном носителе).
• Сведения об операторе (официальное наименование/ФИО ИП, реквизиты).
• Цель обработки ПДн — законная, однозначная, конкретная.
• Перечень обрабатываемых ПДн, Перечень действий с ПДн.
• Сведения о лицах, которым будут переданы ПДн (в случае передачи).
• Срок действия согласия.
• Ссылка на документ Политика.

В установленных законом случаях, дается только письменное согласие (или подписанное ЭП):

• Согласие на обработку специальных категорий ПДн.
• Согласие на обработку биометрических ПДн.
• Согласие на использование автоматизированных методов обработки ПДн для принятия юридически значимых решений, оказывающих влияние на правовое положение субъекта.
• Согласие на размещение ПДн в открытых источниках.
• Согласие на получение ПДн из внешних источников.
• Согласие на передачу ПДн сотрудников для их обработки.

Согласие в письменной форме

Согласие в письменной форме (ч. 4 ст. 9 152-ФЗ) должно содержать:

• ФИО, адрес субъекта персональных данных (представителя субъекта персональных данных), номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе, реквизиты доверенности или иного документа, подтверждающего полномочия этого представителя (при получении согласия от представителя субъекта персональных данных).
• Наименование или ФИО и адрес оператора, получающего согласие субъекта ПДн.
• Цель обработки персональных данных (ОДНА).
• Перечень персональных данных, на обработку которых дается согласие субъекта ПДн.
• Наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку ПДн по поручению оператора, если обработка будет поручена такому лицу.
• Перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки ПДн.
• Срок, в течение которого действует согласие субъекта персональных данных, а так же способ его отзыва, если иное не установлено федеральным законом.
• Подпись субъекта персональных данных.

Распространение на ресурсах, не являющиеся справочниками и адресными книгами
Например, Вы хотите разместить фото и ФИО своих специалистов на сайте.
В таком случае также необходимо Согласие на обработку персональных данных, разрешенных субъектом — Приказ РКН от 24.02.2021 №18.
Следует указать ограничения на распространение ПДн:
«ПДн опубликованы на сайте при наличии правовых оснований в соответствии с ч. 1 ст. 6 и ст. 10.1 152-ФЗ. Субъектами установлены условия и запреты на обработку неограниченным кругом лиц опубликованных персональных данных.»

Согласие на обработку ПДн, разрешенных субъектом для распространения (приказ РКН от 24.02.2021 № 18) должно содержать:

• Категории и перечень ПДн, для обработки которых субъект ПДн устанавливает условия и запреты, а также перечень устанавливаемых условий и запретов (заполняется по желанию субъекта ПДн).
• Условия, при которых полученные ПДн могут передаваться оператором, осуществляющим обработку ПДн, только по его внутренней сети, обеспечивающей доступ к информации лишь для строго определенных сотрудников, либо с использованием информационно-телекоммуникационных сетей, либо без передачи полученных ПДн (заполняется по желанию субъекта ПДн).
• Срок действия согласия.
• Подпись

Договор, заключаемый с субъектом персональных данных
Договор, заключаемый с субъектом персональных данных (оферта, пользовательское соглашение, условия использования) не может ограничивать права субъекта ПДн, допускать обработку данных несовершеннолетних (если это не предусмотрено законом), а также содержать положения, где бездействие субъекта трактуется как согласие.

Что запрещено делать

• использовать бездействие как подтверждение акцепта оферты;
• передавать ПДн неопределенному кругу лиц;
• обрабатывать ПДн по договору, если они не нужны для подготовки, заключения или исполнения договора.

Ответственность оператора ПДн

Ч. 2 ст. 13.11 КоАП РФ
Обработка ПДн без согласия в письменной форме субъекта ПДн на обработку его ПДн в случаях, когда такое согласие должно быть получено в соответствии с законодательством РФ в области ПДн. Либо обработка ПДн с нарушением установленных законодательством РФ в области ПДн требований к составу сведений, включаемых в согласие в письменной форме субъекта ПДн на обработку его ПДн.

• на должностных лиц и ИП — от 100 тыс. до 300 тыс. руб.
• на юр. лиц — от 300 тыс. до 700 тыс. руб.
• Гражданин — от 10 тыс. до 15 тыс. руб.

Повторное нарушение ч.2 ст. 13.11 КоАП РФ

• на должностных лиц — от 300 тыс. до 500 тыс. руб.
• на ИП — от 500 тыс. до 1 млн. руб.
• на юр.лиц — от 1 млн. до 1,5 млн. руб.

ст. 13.11.3 КоАП РФ
Нарушение требований в области размещения биометрических ПДн.

• на должностных лиц и ИП — от 100 тыс. до 300 тыс. руб.
• на юр. лиц — от 500 тыс. до 1 млн. руб.

Как избежать ошибок и легко составить Согласие на обработку персональных данных?

Конструктор согласий в сервисе «152DOC для 1С» - позволяет разрабатывать документ Согласия под различные ситуации. Вы сможете быстро создавать Согласия для неограниченного количества Субъектов ПДн (например, когда мы передаем данные сотрудников третьим лицам и все согласия однотипные, каждый сотрудник получит свое именное Согласие).

Также сервис «152DOC для 1С» включает в себя следующее:

• Разработка всех ЛНА по требованиям 152-ФЗ (более 30 документов)
• Разработка Политики по персональным данным
• Разработка документов по Учету СКЗИ
• Конструктор Согласий (для любых ситуаций)
• Разработка Модели Угроз
• Формирование и подача Уведомления в РКН
• Проверка сайтов оператора
• Поддержка специалистов в области обработки персональных данных

За демонстрацией возможностей сервиса «152DOC для 1С» и другими Услугами в сфере информационной безопасности обращайтесь к Нам!

Телефон: 88006002432

Е-почта: info@axioma-soft.ru

Что учесть при подготовке документов по 152-ФЗ

Единство ЦЕЛЕЙ — Документы ЛНА и Уведомление должны содержать одинаковые Цели.
Согласие на обработку ПДн не может содержать Цели, отличные от этих Целей.

При формировании Согласий нужно работать с теми категориями ПДн и субъектов ПДн, которые указаны в ЛНА и Уведомлении. (можно меньше, но не больше)

Правонарушения в области обработки персональных данных

Наиболее частые ключевые составы нарушений:

• Обработка ПДн в случаях, не предусмотренных законом, либо несовместимая с целями сбора.
• Обработка ПДн без письменного согласия или с нарушением его требований.
• Отсутствие опубликованной/доступной политики в отношении обработки ПДн.
• Непредоставление субъекту ПДн информации об обработке.
• Нарушение сроков удовлетворения требований субъекта или Роскомнадзора по уточнению/удалению ПДн.
• Нарушение обязанностей по обеспечению безопасности ПДн (неправомерный доступ, уничтожение, изменение, распространение и пр.).
• Нарушение порядка обезличивания ПДн органами власти/муниципалитетами.
• Нарушение обязанностей по обеспечению систематизации, накопления, хранения и извлечения ПДн граждан РФ.