В современном бизнесе правильное хранение персональных данных — это не просто формальность, а жесткое требование законодательства. Ошибки в документах по персональным данным, утечки или их отсутствие могут обойтись компании в миллионы рублей. С каждым годом Роскомнадзор все строже контролирует коммерческий сектор.
В этой статье эксперты юридической компании «ОВВИ» подробно разберут, как организовать защиту персональных данных, какие документы необходимо оформить и как пройти все этапы цифровой безопасности бизнеса без рисков.
💡 Важно для предпринимателей:
Перед тем как приступать к оформлению документов по персональным данным, рекомендуем изучить базовые риски бизнеса при работе с персональными данными, особенности работы самозанятых и правила трансграничной передачи данных через мессенджеры и метрики. Об этом мы подробно рассказали в нашей вводной статье: «Обязательные правила хранения персональных данных: что нужно знать бизнесу сегодня».
Кто обязан отчитываться перед Роскомнадзором?
По закону № 152-ФЗ «О персональных данных», оператором признается каждый, кто собирает, обрабатывает или хранит хотя бы минимальные сведения о людях (ФИО, номер телефона, email, паспортные данные или адрес). Это относится к:
- Юридическим лицам (ООО, АО и др.);
- Индивидуальным предпринимателям (ИП);
- Самозанятым гражданам и физлицам.
Если у вас есть наемные сотрудники, база клиентов в Excel, CRM-система или обычная форма обратной связи на сайте — вы автоматически обязаны соблюдать правила обработки персональных данных и нести ответственность за хранение персональных данных.
ШАГ 1. Подаем уведомление в Роскомнадзор
До того как начать собирать любые сведения о клиентах или сотрудниках, необходимо направить официальное уведомление в Роскомнадзор об обработке персональных данных.
Полезный совет от экспертов компании «ОВВИ»: Проверить, числится ли ваша организация в официальном реестре ведомства, можно в любой момент по ИНН на официальном портале Роскомнадзора. Если вас там нет, штраф — лишь вопрос времени.
Как направить уведомление оператора персональных данных?
Законодательство предусматривает три основных способа:
- Онлайн через Госуслуги (требуется подтвержденная учетная запись организации или ИП).
- Электронно на сайте Роскомнадзора (с использованием усиленной квалифицированной электронной подписи — УКЭП).
- На бумажном носителе — заполнить форму на портале ведомства, распечатать, подписать и отправить почтой в региональное отделение РКН.
Разбираем сложные вопросы заполнения уведомления
При самостоятельной подготовке документов у бизнеса часто возникают трудности. Отвечаем на четыре самых популярных вопроса, с которыми регулярно сталкивается наша юридическая консультация:
- Как правильно выбрать цели обработки? Не нужно копировать общие фразы из интернета. Цель должна четко отражать реальность. Спросите себя: «Зачем я собираю эти данные?». Например: «для заключения договоров купли-продажи», «для организации кадрового учета» или «для отправки писем службы поддержки». Найдите подходящий пункт в форме Роскомнадзора. Если точного совпадения нет, выбирайте строку «иные» и формулируйте цель самостоятельно.
- Кого назначить ответственным за защиту персональных данных? Вы можете назначить любого штатного сотрудника (например, системного администратора, кадровика или юриста). Если в компании оформлен только один человек (директор или сам ИП), то он единственный и выполняет эту роль. Но помните: в компании обязательно должен быть издан внутренний приказ о назначении ответственного за персональные данные.
- Как определить местонахождение центра обработки данных (ЦОД)? Здесь критически важна локализация персональных данных. Закон строго запрещает первично собирать и хранить данные россиян на зарубежных серверах. Если вы храните данные на офисном ПК (без облака) — указывайте адрес нахождения этого компьютера. Используете облако или сторонний хостинг? Вы обязаны указать адрес фактического расположения серверов провайдера (убедитесь, что дата-центр находится в РФ).
- Юридический нюанс: грамотно проверяйте договоры с IT-подрядчиками. В них должна быть четко прописана граница между «хранением» и «поручением обработки (передачей)» данных. Специалисты «ОВВИ» помогут составить или скорректировать такие договоры.
- В каких случаях фотографии — это биометрия? Обычные художественные фотографии на сайте, снимки в личных делах или изображения на пропусках без автоматизированного распознавания не являются биометрическими данными. Фотография становится биометрией только тогда, когда вы используете технические средства для идентификации личности на её основе (например, системы FaceID на входе в офис или биометрические терминалы учета рабочего времени).
ШАГ 2. Разрабатываем ЛНА по защите персональных данных
Разработка локально-нормативных актов (ЛНА) — это не добровольное право, а прямая обязанность каждого оператора. Инспекторы Роскомнадзора при проверке первым делом запрашивают пакет внутренних регламентов.
Если документов нет или они бездумно скачаны из интернета, это расценивается как грубое нарушение. Наша юридическая помощь заключается в подготовке индивидуального пакета ЛНА, адаптированного под ваш бизнес.
Базовый пакет документов, который должен быть у каждого:
- Политика обработки персональных данных — главный публичный документ, определяющий правила работы со сведениями.
- Положение об обработке и защите ПДн — внутренний регламент компании для сотрудников.
- Приказ о назначении ответственного лица и его должностная инструкция.
- Перечень работников, осуществляющих обработку ПДн (кто именно в компании имеет доступ к базам).
- Должностные инструкции работников, допущенных к обработке конфиденциальной информации.
- Приказ об утверждении мест хранения персональных данных (конкретные компьютеры, серверы, папки в архиве).
- Соглашение о неразглашении (NDA) с персоналом.
- Шаблоны согласий на обработку персональных данных для клиентов, соискателей и сотрудников.
- Акты уничтожения информации, содержащей персональные данные.
- Договоры с третьими лицами, которым оператор поручает обработку или передает данные (CRM, облачная бухгалтерия и т.д.).
Важно: Этот список не является исчерпывающим и подлежит дополнению в каждом случае индивидуально. Юристы компании «ОВВИ» сформируют точный перечень ЛНА именно под ваши бизнес-процессы.
Где оператор обязан разместить Политику конфиденциальности?
Закон требует сделать правила обработки прозрачными:
- В офлайне: если вы принимаете клиентов в офисе или магазине, распечатанная Политика должна лежать в общедоступном месте (например, на стенде информации).
- В онлайне: если у вас есть сайт, ссылка на текст Политики должна быть размещена в легком доступе — в футере (подвале) сайта и непосредственно под каждой формой ввода данных (заявка, регистрация, обратный звонок).
Как правильно оформить согласие клиента на сайте?
Роскомнадзор кардинально ужесточил требования. По закону согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным.
- Фраза-обманка: Текст в духе «Нажимая на кнопку, вы автоматически соглашаетесь с Политикой» больше не признается законным. Пользователь должен совершить активное действие — сам поставить галочку в пустой чек-бокс. Галочки, проставленные по умолчанию, запрещены.
- Файлы Cookie (куки): Поскольку куки позволяют идентифицировать устройство и поведение пользователя, они также относятся к ПДн. Вы обязаны настроить на сайте всплывающее окно (Cookie Banner) с запросом отдельного согласия.
ШАГ 3. Внедряем фактические меры защиты персональных данных
Оформить бумаги — это лишь половина дела. Оператор обязан обеспечить реальную безопасность персональных данных на практике, исходя из типа актуальных угроз (регламентированы Постановлением Правительства РФ № 1119).
При обработке автоматизированным способом необходимы технические меры защиты персональных данных от несанкционированного доступа:
- Установка лицензионного антивирусного программного обеспечения.
- Использование сложных паролей для входа в компьютеры и рабочие программы.
- Разграничение прав доступа сотрудников.
Сроки хранения и правила уничтожения данных
Сроки хранения персональных данных должны быть точно определены и обоснованы. Не допускается установление сроков «наобум» (например, 70 или 80 лет) или формулировок вроде «бессрочно» и «исключительно до отзыва согласия субъектом», если для этого нет законных оснований (например, требований налогового или архивного законодательства).
По окончании срока хранения или при достижении цели данные должны быть безвозвратно уничтожены.
Главный риск: ответственность за уничтожение персональных данных несет непосредственно сам оператор. Даже если вы наняли стороннюю организацию для утилизации архивов и заключили с ней договор — это не снимает с вас ответственности за утечку. Вы обязаны полностью проконтролировать процесс удаления файлов или уничтожения документов и надлежащим образом оформить сопутствующие акты.
Риски бизнеса: штрафы Роскомнадзора
За последние годы штрафные санкции за нарушение закона о персональных данных выросли в несколько раз. Одним штрафом контролирующие органы, как правило, не ограничиваются.
| Вид нарушения | Штраф для граждан / самозанятых | Штраф для должностных лиц / ИП | Штраф для юридических лиц |
| Нарушение правил обработки (в т.ч. отсутствие уведомления, некорректные документы) | от 10 000 до 15 000 руб. | от 50 000 до 100 000 руб. | от 150 000 до 300 000 руб. |
| Повторное аналогичное нарушение | от 15 000 до 30 000 руб. | от 100 000 до 200 000 руб. | от 300 000 до 500 000 руб. |
| Массовые утечки баз данных клиентов | Уголовная ответственность (в отдельных случаях). | Крупные штрафы (до 1 млн+ руб.). | До 15–20 млн руб. (при повторных утечках — оборотные штрафы до 500 млн руб.). |
Нужна помощь в оформлении документов под ключ?
Не рискуйте бюджетом и репутацией вашего бизнеса. Попытка составить ЛНА самостоятельно или скачать шаблоны из интернета часто оборачивается штрафами Роскомнадзора при первой же проверке.
Юридическая компания «ОВВИ» предлагает комплексную услугу по приведению вашего бизнеса в полное соответствие с законом № 152-ФЗ:
- Проведем аудит ваших внутренних процессов и сайта.
- Разработаем индивидуальный пакет локальных актов (ЛНА) под ключ.
- Правильно заполним и подадим уведомление оператора персональных данных в Роскомнадзор.
- Настроим юридически грамотные формы согласий, Cookie-баннеры и дисклеймеры для сайта.
Запишитесь на консультацию — для получения профессиональной консультации!
Наш адрес: г. Челябинск, ул. Университетская Набережная, д. 103
Компания: Юридическая компания ОВВИ
Режим работы: Понедельник — Четверг с 9:00 до 18:00 Пятница с 09:00 до 16:45
Телефон для записи: +7 (351) 270-27-42, +7 (902) 614-62-86
Переложите решение сложных вопросов на профессионалов и верните себе спокойствие. Мы работаем, чтобы защитить ваше будущее.
