Требования 152-ФЗ для бизнеса: уведомление Роскомнадзора,…

Короткий ответ

152-ФЗ требует от бизнеса с клиентскими и кадровыми базами: подать уведомление в Роскомнадзор, обеспечить локализацию первичного сбора ПДн в РФ и утвердить локальные акты — политику обработки, согласия, договоры с обработчиками. Важно для МСБ: даже CRM и 1С-зарплата — уже обработка данных. За нарушения ждут штрафы и предписания (актуальные суммы уточняйте в блоге). Готовые решения — в услугах Lawgen.

Что изменилось

Главные изменения в 152-ФЗ «О персональных данных» за последние годы связаны с точечными поправками в статьи 6 и 10 закона — в первую очередь о снованиях обработки и передачи данны

Кого касается новое регулирование

Кого касается 152-ФЗ: разбираем по ролям в цепочке продаж

Оператор персональных данных — тот, кто самостоятельно или совместно с другими организует обработку ПДн, определяет цели обработки и состав данных. Значит, статус зависит не от названия в договоре, а от того, кто реально решает, зачем и как обрабатывать базу клиентов и кадровые сведения.

Оператор платформы — обрабатывает данные покупателей и партнёров, чаще всего именно он определяет цели и несёт основной блок обязанностей.

Партнёр, подключённый к платформе, может быть как оператором своей базы, так и лишь обработчиком — здесь всё упирается в формулировки соглашения.

Продавец почти всегда оператор по своим клиентам, если самостоятельно собирает контакты для рассылок, доставки или гарантии.

Исполнитель услуги (сервис, подрядчик, клиника) — оператор, если получает данные клиента для своих целей: записи на приём, замера, оформления заказа.

Владелец пункта выдачи обрабатывает данные получателей посылок. Вопрос для проверки: закрывает ли соглашение с маркетплейсом обязанность уведомлять Роскомнадзор или он выступает лишь обработчиком — единого ответа без текста договора быть не может.

С чего начать аудит: услуги Lawgen и договорная работа; отраслевые особенности — строительство, медицина. Условия — в тарифах.

Какие документы и процессы проверить

Какие документы и процессы проверить

Оферта и политика конфиденциальности. В оферте должна быть ссылка на согласие на обработку персональных данных: без неё сбор ФИО, телефона и адреса клиента формально не обеспечен правовым основанием. Проверьте, что в тексте указан оператор, цели обработки, срок и порядок отзыва согласия. Шаблоны — в разделе договоры.

Договоры с контрагентами. Если логистика или колл-центр привлекаются со стороны, нужен договор с поручением на обработку: подрядчик становится обработчиком и обязуется соблюдать конфиденциальность. Отдельно проверьте кадровые документы — приказы, локальный положения, журналы ознакомления.

Карточка товара и формы сбора данных. Каждая форма подписки, обратного звонка, оформления заказа — это точка сбора. Убедитесь, что чекбокс согласия не предустановлен, а текст не перегружен лишними целями.

Условия изменения комиссий и тарифов. Уведомление об изменении условий часто рассылается по базе клиентов — это обработка, и она должна попадать под заявленные цели. Проверьте текущие тарифы и порядок уведомления.

Претензии и обращения субъектов. На запрос «удалите мои данные» по закону отводится срок — зафиксируйте регламент ответа и храните доказательства: сканы согласий, логи доступа, переписку.

Комплексную проверку документов можно заказать у Lawgen: о компании — о нас, вопросы — в контактах. Другие разборы — в блоге.

Риски для договоров и претензий

Споры чаще всего возникают не из-за «плохого закона», а из-за размытых условий: непонятный объём работ, сроки, порядок приёмки, объём обработки персональных данных у оператора. Особенно это касается компаний, которые работают с клиентскими базами и кадровыми данными: контрагент может передать вам данные, не оформив согласия и не предусмотрев условия обработки в договоре.

Что фиксировать: содержание переписки и все этапы согласования; фактические даты поставки, выполнения работ, приёмки; подписанные акты, замечания к ним и сроки их направления; подтверждения уведомлений (например, уведомление Роскомнадзора у оператора персональных данных). Сохраняйте оригиналы и копии, отмечайте расхождения между договором и фактом.

Вопросы контрагенту стоит задать письменно: как именно он обеспечивает безопасность переданных данных, где хранятся базы (локализация по 152-ФЗ), подавал ли уведомление в РКН, какие локальные акты по обработке ПДн приняты, кто несёт ответственность за утечки.

Итог дела зависит от доказательств и обстоятельств — Lawgen оценивает перспективы и риски, но не обещает судебный результат. Свяжитесь с нами: контакты, тарифы, услуги, другие статьи — блог Lawgen.

Чек-лист на ближайшие 30 дней

Чек-лист на ближайшие 30 дней

1. Составьте полный перечень баз данных: клиентские карточки, кадровые дела, CRM, мессенджеры, облачные сервисы — где хранится, кто имеет доступ.

Типичные ошибки и FAQ

Типичные ошибки и FAQ

1. Уведомление в Роскомнадзор не подано. Согласие сотрудника или клиента не заменяет уведомление: это разные процедуры. Если компания обрабатывает данные сама (CRM, кадры, сайт), уведомление подаётся отдельно.

2. Согласие «на всё сразу». Без цели, срока и перечня действий документ легко оспорить. Проверьте формулировки — шаблон есть в блоге Lawgen.

3. Нет локальных актов. Политика обработки, приказ о допуске, журналы — их отсутствие фиксируют при проверке. Подробнее — договоры и документы.

4. База «улетела» в зарубежный облак. Требование о локализации (ч. 5 ст. 18 152-ФЗ) обязывает при сборе данных обеспечивать их запись и хранение в РФ. Проверьте, где физически лежат данные CRM.

Нужно ли ИП подавать уведомление?

Да, если обрабатываете данные вне личных или семейных нужд. Исключения узкие — стоит проверить ваш случай.

Кадровые данные — это тоже попадает под 152-ФЗ?

Да. Сведения о сотрудниках обрабатываются наравне с клиентскими.

Что проверяют чаще всего?

Уведомление, локальные акты, согласия и локализацию базы.

Сколько грозит штрафов?

Санкции — по ст. 13.11 КоАП РФ; суммы периодически меняются, уточняйте актуальные. Обсудите аудит — тарифы, контакты.

Что делать дальше

Что делать дальше. Прежде чем менять процессы, полезно понять, какие именно нормы 152-ФЗ применимы к вашей ситуации и где возникают реальные риски. Первичный анализ помогает определить, нужно ли уведомление Роскомнадзора, какие локальные акты отсутствуют и как выстроить локализацию баз данных. Отдельно стоит проверить договоры с операторами, подрядчиками и кадровые документы — на практике претензии возникают именно из-за неточных формулировок о порядке обработки и передачи данных. Подобрать источники и подготовить документы под задачу компании можно в разделе услуги Lawgen, а с договорной работой — в договорных услугах. Подходящий формат сотрудничества и объём поддержки описаны на странице тарифов. Подробнее о принципах и экспертизе команды читайте в разделе о нас, а вопросы можно задать напрямую через контакты. Другие разборы по юридическим темам публикуются в нашем блоге.