За последние полтора года регулирование персональных данных в России претерпело кардинальные изменения. Штрафы выросли в разы, требования ужесточились, а контроль стал автоматизированным. Разберём хронологию изменений и их практические последствия для бизнеса.
Хронология ключевых изменений
30 мая 2025 года — вступили в силу поправки, кратно увеличившие санкции за нарушения в сфере персональных данных. Штрафы за утечки достигают 500 млн рублей, за повторные утечки — оборотный штраф от 1% до 3% выручки, но не менее 20 млн рублей.
1 июля 2025 года — усилены требования к локализации персональных данных. Обработка и хранение ПДн граждан РФ с использованием зарубежных баз данных не допускается. Штрафы за нарушение требований локализации достигают 18 млн рублей.
1 сентября 2025 года — согласие на обработку персональных данных стало отдельным документом. Его нельзя «вшивать» в текст договора, пользовательского соглашения или анкеты.
26 июля 2026 года — принят Федеральный закон № 265-ФЗ, изменивший подход к формированию перечня иностранных государств, обеспечивающих адекватную защиту прав субъектов ПДн.
Что изменилось для бизнеса
Во-первых, контроль стал автоматизированным. Роскомнадзор запустил Автоматизированную систему мониторинга прав субъектов персональных данных (АС МПДн) на базе ИИ, которая сканирует сайты в зонах .ru, .рф, .su круглосуточно.
Во-вторых, штрафы стали чувствительными. Если раньше нарушение обходилось в десятки тысяч рублей, теперь речь идёт о миллионах. За отсутствие уведомления в РКН — от 100 000 до 300 000 рублей. За обработку без согласия — до 700 000 рублей. За повторную утечку — оборотный штраф.
В-третьих, ответственность стала персональной. Должностные лица несут личную ответственность, даже если нарушение совершил сотрудник.
Что делать бизнесу в октябре
Проведите аудит документов: политика обработки ПДн, согласия, уведомление в РКН. Проверьте сайт на наличие обязательных элементов: политика, активные чекбоксы согласий, уведомление об использовании cookie. Убедитесь, что все подрядчики, имеющие доступ к персональным данным, имеют поручение на обработку.
