Персональные данные: какие нарушения 152-ФЗ чаще всего обходятся…

Короткий ответ

Штрафы за нарушение 152-ФЗ — это прежде всего статья 13.11 КоАП РФ: санкции грозят за обработку без правового основания, без уведомления Роскомнадзора, без локализации баз в России

Что изменилось

Требования к обработке персональных данных ужесточались точечно: законодатель менял не только сам 152-ФЗ, но и смежные акты, закрывая пробелы, выявленные на практике.

Так, Федеральный закон от 21.07.2014 № 242-ФЗ (fz-242-2014) уточнил порядок обработки ПДн в информационно-телекоммуникационных сетях и дополнил ст. 23 правом ограничивать доступ к

Ранее закон № 363-2013 (fz-363-2013) закрепил порядок передачи ПДн заемщика и залогодателя залогодержателем — строго по правилам 152-ФЗ. А закон № 213-2010 (fz-213-2010) сузил объем данных, обрабатываемых судебными приставами, до необходимого для исполнения документов.

Базовые понятия — информация о гражданах, права субъектов — остаются в законе № 24-ФЗ «Об информации» (fz-24-1995, гл. 11).

Для бизнеса порядок проверки РКН сегодня складывается так: уведомление и локализация, затем правовые основания и поручения обработчикам. Детали — в блог Lawgen; вопросы по договорам с контрагентами — на проверка договоров и документов.

Кого касается новое регулирование

Кого касается новое регулирование

Начните с разграничения ролей: от этого зависят объём обязанностей и размер риска.

Оператор платформы. Он определяет цели и порядок обработки данных пользователей, поэтому на нём — уведомление в Роскомнадзор, локализация баз, контроль подрядчиков. Проверьте, кто именно назван оператором в политике конфиденциальности: расхождение с фактом — типовая находка при проверке.

Партнёр. Получает данные из платформы, но цели обработки определяет самостоятельно. Значит, нужны собственные основания обработки и свои меры. Что именно передаётся по договору и на каком основании — стоит проверить отдельно (проверка договоров и документов).

Продавец. Обрабатывает данные покупателя в объёме, необходимом для сделки. Лишние поля в форме заказа — прямой риск претензий субъекта и предписания.

Исполнитель услуги. Строительство и медицина часто связаны со сведениями, к которым требования строже (строительное право, медицинское право). Какие данные можно обрабатывать без отдельного согласия — вопрос, который лучше проверить заранее.

Владелец пункта выдачи. Работает с минимальным набором, но передача данных курьером или службе доставки — тоже обработка, и её нужно закрывать документами.

Роли часто смешиваются в одной сделке, поэтому спорный момент лучше зафиксировать письменно. Материалы по теме — в блоге (блог Lawgen), условия сопровождения — на тарифы Lawgen, вопросы — на контакты и реквизиты и как работает Lawgen.

Какие документы и процессы проверить

Что проверить документально, чтобы штрафы за нарушение 152-ФЗ не стали неожиданностью.

1. Оферта и договор. Убедитесь, что в тексте есть согласие на обработку персональных данных, указаны цели, состав данных, сроки и порядок отзыва. Проверьте, не спрятано ли согласие в общей ссылке на регламент: это типичная точка претензий субъектов и повод для предписания.

1. Карточка товара. Поля форм заказа должны собирать минимум данных, нужных для сделки. Лишние поля — риск обработки без правового основания. Рекомендуем проверить и мобильную версию, где объёмы сбора часто шире.

1. Условия изменения комиссий и тарифов. Если уведомления рассылаются по e-mail или SMS, зафиксируйте, на каком основании вы используете контакты. Порядок согласования изменений мо

1. Логистика. Передача данных перевозчику, складу или маркетплейсу — это поручение на обработку. Проверьте договоры с контрагентами и NDA: утечка на стороне партнёра остаётся вашей проблемой.

1. Претензии субъектов. На обращения по удалению или уточнению данных нужны регламент ответа, ответственный сотрудник и шаблоны. Практику спорных ситуаций разбираем в блоге: блог Lawgen.

1. Хранение доказательств. Сохраняйте логи согласий, версии документов с датами, акты приёма-передачи и переписку. Именно эта база спасает при проверке.

Нужен аудит документов — юридические услуги Lawgen, контакты — контакты и реквизиты, о нас — как работает Lawgen.

Риски для договоров и претензий

Споры о персональных данных обычно начинаются не с проверки, а с договора: контрагент передаёт базу клиентов «для рассылки», подрядчик привлекает субподрядчика, а в соглашении нет

Что фиксировать: редакцию договора и приложений на дату передачи данных, состав и объём переданных сведений, акты приёма-передачи, письменные уведомления об инциденте, ответы на запросы субъектов, версии форм согласий и даты их сбора.

Вопросы контрагенту до подписания: на каком правовом основании он обрабатывает данные, где находятся базы и есть ли локализация, кто имеет доступ, как устроена защита, что произойд

Чек-лист на ближайшие 30 дней

Чек-лист на ближайшие 30 дней:

1. Составьте перечень всех баз персональных данных: где хранятся, кто имеет доступ, какие категории и объёмы данных обрабатываются.

Типичные ошибки и FAQ

Ошибка 1: утечка из-за слабого доступа

Общие пароли, широкие права в CRM, подрядчики без договора поручения — и случайная рассылка или слив базы становятся инцидентом. Итог: предписание, проверка, штраф и претензии субъектов о компенсации морального вреда.

Ошибка 2: базы не локализованы

152-ФЗ требует фиксировать и хранить записи о гражданах РФ на серверах в России. Перенос в зарубежное облако без российского узла — типичная и дорогая ошибка: грозит блокировка ресурса по решению суда.

Ошибка 3: неверное уведомление Роскомнадзора

Уведомление подаётся до начала обработки, а не постфактум. Ошибки в целях, категориях данных и сроках хранения трактуются как нарушение порядка, даже если сами данные защищены.

Ошибка 4: обработка без правового основания

Согласие «на всё сразу», сбор лишних полей, cookie без основания — обработка вне закона. Рекомендуем проверить договоры и формы: проверка договоров и документов, юридические услуги Lawgen.

Кто проверяет соблюдение 152-ФЗ?

Роскомнадзор и его территориальные органы: плановые и внеплановые проверки, предписания, протоколы.

Что грозит за утечку?

Штрафы, предписание об устранении, блокировка и иски субъектов. Актуальные суммы сверяйте с КоАП РФ — они зависят от состава.

Нужно ли уведомлять регулятора?

Да, до начала обработки, за рядом исключений. Уточните применимость к вашему случаю.

С чего начать?

С аудита: реестр систем, основания, локализация. Подробности — блог Lawgen, тарифы — тарифы Lawgen, контакты — контакты и реквизиты.

Что делать дальше

Если инцидент уже случился, начните с первичного анализа: какие данные затронуты, какие у вас правовые основания обработки и какие уведомления нужны. Если риск только предвидится — проверьте договоры с подрядчиками и операторами: «слабое звено» чаще всего в условиях о передаче и защите данных. Отдельно полезен подбор судебных актов, предписаний и разъяснений по вашей ситуации — это снижает количество спорных вопросов. Смотрите услуги, разбор договоров, тарифы, о компании и свежие разборы в блоге.