Краткий обзор ФЗ №152‑ФЗ: что нужно знать неюристу

Практически любой бизнес обрабатывает персональные данные (ПДн): например, многие самозанятые собирают ФИО и номера телефонов заказчиков, ИП и организации трудоустраивают сотрудников и реализуют товары или услуги для физических лиц.

Чтобы не получить крупный штраф или предписание Роскомнадзора, нужно соблюдать ФЗ №152‑ФЗ. Мы расскажем, как все правильно организовать, что обязан сделать оператор и за что его могут оштрафовать.

Какие данные относятся к персональным данным

Что еще относится к персональным данным по ФЗ №152‑ФЗ:

1. Биометрия: отпечатки пальцев, изображение лица, радужная оболочка глаз, голос, ДНК и иные характеристики, позволяющие установить личность человека (ст.11 ФЗ №152‑ФЗ).
2. Спецкатегории ПДн: сведения о состоянии здоровья, диагнозах, вероисповедании, расе, политических взглядах и другая информация, перечисленная в ст.10 Федерального закона №152‑ФЗ.

Если вы просто услышите ФИО Пилипенко Николай Геннадьевич, вряд ли поймете, о ком именно идет речь. А вот “Пилипенко Николай Геннадьевич, инженер завода “Лимкорм”” — это ПДн. По такой информации уже можно определить, кому именно она принадлежит.

Какие бывают цели обработки по ФЗ №152‑ФЗ

Следующий важный момент, который необходимо знать неюристам — цели, для которых запрашиваются ПДн. На это есть несколько причин:

Вы можете запрашивать только те сведения, которые нужны для реализации целей обработки. Сбор избыточной информации — нарушение (ч.5 ст.5 ФЗ №152‑ФЗ).

Цели всегда указываются в уведомлении при регистрации в реестре операторов. Также они должны быть в Политике, согласии и ряде других документов.

Рассмотрим несколько примеров, какие могут быть цели:

1. Продвижение товаров, работ или услуг на рынке.
2. Подбор сотрудников на вакантную должность оператора.
3. Обеспечение пропускного режима на предприятии.
4. Организация добровольного медицинского страхования.
5. Исполнение судебных актов.
6. Ведение бухучета и кадровой документации.

Пример, как можно: компания ищет сотрудника на вакантную должность товароведа. Она может собирать данные соискателей только в целях подбора персонала. А вот делать это для того, чтобы потом направлять маркетинговые предложения — нет: за это могут оштрафовать на сумму до 300 000 рублей (ч.1 ст.13.11 КоАП РФ).

Когда нужно согласие по ФЗ №152‑ФЗ

В статье 6 ФЗ №152‑ФЗ четко указано, что с ПДн можно работать только с согласия физлица — субъекта. Документ не требуется, если данные обрабатываются для:

1. Реализации целей, предусмотренных законами РФ.
2. Участия субъекта в судебном процессе.
3. Исполнения судебного акта, распоряжения должностного лица.
4. Выполнения условий договора, стороной которого выступает сам субъект.
5. Оформления договора по инициативе самого субъекта.
6. Защиты здоровья и жизни субъекта, защиты законных интересов оператора.
7. Статистических целей (требуется обезличивание).
8. Деятельности журналиста, при этом не должны нарушаться права субъекта.
9. Если законом предусмотрено раскрытие или обнародование данных.

Примеры, когда согласие не нужно.

Пример №1. Человека госпитализируют без сознания после аварии. Врачам необходимо обработать его медицинские данные, чтобы оказать помощь. Получить согласие не удастся, но обработка правомерна — она направлена ​​на защиту жизни и здоровья.

Пример №2. Работодатель оформляет трудовой договор с новым сотрудником. Для этого нужны данные паспорта, СНИЛС и другие документы. Согласие работника на обработку этих ПДн не требуется, так как данные используются для исполнения трудового законодательства и обязанностей по трудовому договору. А вот для рассмотрения анкеты соискателя согласие нужно, если работодатель запрашивает ее самостоятельно, а не получает в отклике на вакансию.

Что входит в обязанности оператора

Ключевые обязанности перечислены в ст.18 ФЗ №152‑ФЗ.

Определите цели и состав данных. В компании должны быть Положение и другие документы, в которых четко сформулировано, зачем ей нужны ПДн. Она имеет право собирать только ту информацию, которая необходима для достижения поставленных целей.

Обеспечьте актуальность и достоверность данных. Если сведения устарели или неточны, оператор должен их обновить или удалить.

Принимайте меры по защите информации. Речь идет о технических и организационных мерах: антивирусная защита, ограничение доступа к базам данных, назначение ответственного, и т.д.

Предоставьте субъектам доступ к их данным. По запросу гражданина оператор обязан сообщить, где они хранятся, в каких целях используются. Также организация должна своевременно вносить изменения или удалять ПДн.

Соблюдайте ограничения по хранению. Данные следует хранить не дольше, чем этого требуют заявленные цели. После их достижения сведения необходимо уничтожить или обезличить, если законами не предусмотрено иное.

Последние изменения в ФЗ №152‑ФЗ в 2025 году

Самое новое в ФЗ №152 “О персональных данных” — с 01 сентября 2025 года согласие на обработку ПДн должно составляться только отдельно от остальных документов. Раньше его можно было включать в договоры и другие документы, теперь так делать нельзя.

Также поправками в ФЗ №152‑ФЗ предусмотрены другие изменения:

1. Запрет на использование иностранных сервисов при сборе ПДн с 01 июля 2025 года. Сначала сведения должны быть локализованы в РФ, а потом, после согласования с РКН, их можно передавать за границу.
2. Передача обезличенных данных по ФЗ №152‑ФЗ. С 01 сентября 2025 года операторы обязаны предоставлять их в ГИС по запросу Минцифры.

Самое масштабное изменение произошло 30 мая 2025 года, но оно касается ответственности за нарушения ФЗ №152‑ФЗ. Поправки внесены в ст.13.11 КоАП РФ.

Полезные советы ИП и организациям

Чтобы избежать серьезных штрафов и работать с ПДн спокойно на законных основаниях, следуйте простым рекомендациям.

Обновите документы. Убедитесь, что у вас есть Политика обработки ПДн в открытом доступе, а также оформлены другие локальные акты.

Разработайте актуальные шаблоны согласий. У вас должны быть образцы и бланки согласий на обработку, распространение, передачу ПДн.

Назначьте ответственного за обработку ПДн. Он должен быть в каждой организации (ст.22.1 ФЗ №152‑ФЗ). Этот сотрудник организует процессы обработки, ведет учет инцидентов и взаимодействует с РКН.

Правильно оформляйте передачу личных сведений третьим лицам. Если вы передаете ПДн подрядчикам (например, бухгалтерии или колл‑центру), заключайте договоры, где четко прописаны обязанности сторон и меры защиты.

Обеспечьте техническую безопасность. Минимум — антивирус, ограничение доступа к паролям и регистрация сотрудников. В некоторых случаях может понадобиться шифрование и двухфакторная аутентификация.

Соблюдайте сроки хранения. Не храните данные “на всякий случай”. Как только цель достигнута, сведения уничтожаются или обезличиваются, если их не нужно хранить еще несколько лет по закону.

Локализуйте данные на территории РФ. Собирать их можно только с помощью ПО и сервисов, которые есть в реестре Минцифры.