Что изменилось в 152-ФЗ к 2026 году: хронология поправок

Закон 152-ФЗ о персональных данных за 2024-2025 годы изменился сильнее, чем за все годы после его принятия в 2006-м. Если в компании в последний раз внимательно читали закон году в 2020-м, часть выполняемых требований уже устарела, а часть новых требований, скорее всего, никто не заметил и не выполняет. В этой статье разбор, какие именно изменения 152 фз 2026 года реально касаются сайтов, форм согласия и внутренних документов компании, а что можно пока отложить и не переделывать в спешке.

Основных поправок две, и обе широко обсуждались в деловых СМИ: федеральный закон 420-ФЗ про оборотные штрафы и уголовную ответственность и федеральный закон 156-ФЗ про отдельный документ согласия. Кроме них за последние два года накопилось еще несколько менее заметных изменений, которые тоже стоит знать компании, если она собирает персональные данные через сайт, CRM-систему или бумажные анкеты в офисе. Это и есть новое в законе о персональных данных, с которым имеет смысл свериться перед следующей проверкой или перед запуском новой формы на сайте.

Зачем понадобилось столько поправок за два года

В 2022-2023 годах через утечки прошли данные десятков миллионов человек - от служб доставки и интернет-магазинов до банков и государственных сервисов. Списки клиентов с телефонами, адресами и историей заказов регулярно оказывались в открытом доступе или продавались в специализированных чатах. Штрафы того времени компании закладывали в бюджет как рядовой операционный риск: дешевле заплатить несколько десятков тысяч рублей по итогам проверки, чем наводить порядок в базах данных и переписывать формы на сайте.

Законодатель отреагировал ростом штрафов, а следом - отдельной уголовной статьей за незаконный оборот персональных данных. Параллельно поправили и правила получения согласия: слишком много компаний прятали его внутри длинных пользовательских соглашений, которые пользователи не читают и фактически не подписывают осознанно, просто нажимая единственную кнопку под формой.

Результат - минимум два закона, которые нужно знать каждому, кто отвечает за сайт компании, CRM-систему или документооборот с персональными данными сотрудников и клиентов. Дальше - что именно они меняют, с какой даты и что из этого требует действий уже сейчас, а не когда-нибудь потом.

Хронология поправок 2024-2026: таблица

Разбираться в поправках 152-ФЗ проще по датам, и здесь важно различать два момента: когда закон приняли и подписали, и когда конкретная норма реально начала действовать и применяться на практике. Это не всегда одна и та же дата, а разрыв между ними - это время, которое законодатель дал бизнесу на подготовку. Из всех поправок 2024-2026 годов только эти две прямо повлияли на то, что должно быть написано на сайте и в документах компании - остальные изменения носят более общий характер и разобраны отдельно ниже.

Дата принятия	Закон	Что изменилось	Когда вступило в силу
30.11.2024	Федеральный закон 420-ФЗ	Оборотные штрафы для операторов персональных данных за повторные нарушения и новая статья 272.1 УК РФ за незаконный оборот данных	30.05.2025
24.06.2025	Федеральный закон 156-ФЗ	Согласие на обработку персональных данных оформляется отдельным документом, а не частью оферты или пользовательского соглашения	01.09.2025

Разрыв между принятием закона и вступлением в силу конкретной нормы - это не техническая деталь, а рабочее время для подготовки. Бизнесу дали около полугода на 420-ФЗ и примерно два месяца на 156-ФЗ. К 2026 году оба срока прошли, и обе нормы применяются в полном объеме, в том числе при плановых и внеплановых проверках Роскомнадзора.

420-ФЗ: оборотные штрафы и статья 272.1 УК

Как считают оборотный штраф

До 420-ФЗ максимальный штраф юридическому лицу за утечку персональных данных по статье 13.11 КоАП редко превышал несколько сотен тысяч рублей. Для компании с оборотом в сотни миллионов рублей это была не проблема, требующая решения, а строка в бюджете, которую проще заложить заранее, чем разбираться с причиной утечки - слабой защитой базы, широким доступом сотрудников или отсутствием контроля подрядчиков.

420-ФЗ ввел принципиально другой механизм - оборотный штраф. Его размер привязан не к фиксированной сумме, а к выручке компании за предыдущий год. За повторное нарушение, которое привело к утечке персональных данных, штраф составляет от 1 до 3 процентов выручки, но не менее 15 и не более 500 миллионов рублей. Норма касается именно повторного нарушения: то есть штраф резко вырастает у компании, которая уже попадалась на проверке или после жалобы, но не устранила причину утечки.

Пример: у интернет-магазина с годовой выручкой 200 миллионов рублей повторная утечка - скажем, слитая в сеть база клиентов с телефонами и адресами доставки - может обернуться штрафом от 2 до 6 миллионов рублей. Это уже сумма, которую сложно списать на текущие расходы и невозможно закрыть из резервного фонда без последствий для остального бизнеса. Для небольшой клиники с выручкой 30-40 миллионов рублей минимальная планка в 15 миллионов означает, что даже формально небольшая утечка при повторном нарушении обойдется в половину годовой выручки.

Кому грозит уголовная ответственность

Статья 272.1 УК РФ новая, до 420-ФЗ ее в кодексе не было. Она вводит уголовную ответственность за незаконные сбор, хранение, использование, распространение или передачу персональных данных, если это привело к тяжким последствиям или совершено из корыстных побуждений. Юридические лица по Уголовному кодексу не отвечают - отвечает конкретный человек: директор, администратор базы данных, сотрудник отдела продаж, который вынес клиентскую базу за пределы компании при увольнении.

Наказание - от штрафа до лишения свободы, конкретный срок зависит от отягчающих обстоятельств: масштаба утечки, использования служебного положения, наличия сговора между несколькими сотрудниками. Для бизнеса это значит, что вопрос кто лично отвечает, если базу сольют, перестал быть чисто теоретическим и переместился из зоны репутационных рисков в зону уголовного права. Раньше платила компания как юридическое лицо, теперь потенциально еще и конкретный человек, который допустил утечку, недосмотрел или организовал ее сам.

Похожая логика касается и менее очевидных ролей. Кадровик, который ведет базу резюме соискателей в личной почте или на флешке, формально оказывается тем самым сотрудником с бесконтрольным доступом к персональным данным - именно такие случаи чаще всего всплывают при разборе утечек. Самозанятый, который хранит контакты клиентов в мессенджере на личном телефоне, рискует меньше по масштабу ущерба, но по существу статьи 272.1 УК формально попадает в ту же категорию: значение имеет факт незаконного использования данных, а не размер компании или количество записей в базе.

Подробнее о том, как эта статья применяется на практике и в каких случаях по ней уже возбуждали дела, рассказано в разборе уголовной ответственности за утечку персональных данных.

А как на конкретных примерах считают оборотный штраф и что грозит компании при повторном нарушении, разобрано в статье про новые штрафы Роскомнадзора с 30 мая 2025.

156-ФЗ: согласие отдельным документом

Что было раньше

До сентября 2025 года многие сайты закрывали вопрос согласия одной галочкой под кнопкой отправки формы: я согласен с политикой обработки персональных данных и условиями пользовательского соглашения одновременно. Согласие растворялось внутри других документов, субъект его отдельно не видел, не читал и фактически не подтверждал - была только одна общая отметка на все сразу, включая правила сайта, условия доставки и согласие на рассылку. Проверить сайт задним числом несложно: если рядом с чекбоксом согласия стоит фраза вроде я принимаю условия использования сайта без отдельного упоминания персональных данных, это старая схема, которая после 156-ФЗ формально не работает.

Что изменилось и что делать на сайте

156-ФЗ поправил статью 9 закона: согласие на обработку персональных данных нельзя больше объединять с офертой, пользовательским соглашением или другими документами в одном действии пользователя. Оно должно существовать как отдельный документ или отдельная форма, которую субъект подписывает или отмечает осознанно, а не заодно с десятком других условий одним кликом.

На практике для сайта это означает три конкретные вещи: отдельный чекбокс именно для согласия на обработку персональных данных, отдельный текст или страница, куда ведет ссылка рядом с этим чекбоксом, и формулировка, которая не смешана с правилами возврата товара, условиями подписки на рассылку или другими договорными условиями оферты.

Пример: у школы с онлайн-записью на курсы раньше было одно окно я согласен с условиями при регистрации ребенка на занятие. После поправки нужны два самостоятельных согласия: отдельно на обработку персональных данных ребенка и родителя, отдельно на условия оказания образовательных услуг. Похожая история у клиник с онлайн-записью на прием, у салонов красоты с формой брони и у интернет-магазинов, где согласие раньше пряталось внутри условий оформления заказа рядом с полем адреса доставки.

Как должен выглядеть такой документ и какой текст в нем обязателен, разобрано в статье согласие на обработку персональных данных: образец 2026.

На практике проще всего свести риск ошибки к минимуму, если форма согласия физически отделена от формы заказа или заявки: отдельный блок текста, отдельный чекбокс, ссылка на отдельную страницу политики. Тогда не нужно каждый раз пересматривать всю оферту целиком, если меняется только текст согласия, и наоборот.

Как поправки связаны с согласием на распространение данных

Отдельно от 156-ФЗ, но в том же смысловом поле работает статья 10.1 закона - согласие на распространение персональных данных. Оно нужно, когда компания не просто обрабатывает данные внутри себя, а делает их доступными неограниченному кругу лиц: публикует отзывы с полным именем автора, размещает фотографии сотрудников на странице команды, показывает список участников открытого мероприятия или вебинара.

Поправки 152 фз 2026 года не отменили это требование, а скорее усилили общий тренд последних лет: согласие должно быть конкретным, отдельным и понятным субъекту, а не одной строкой мелким шрифтом внизу страницы. Компаниям, которые публикуют пользовательский контент - отзывы, комментарии, кейсы с именами клиентов, стоит проверить, есть ли у них отдельное согласие именно на распространение, а не только общее согласие на обработку данных внутри компании.

Разница между этими двумя видами согласия и когда нужно какое, разобрана в статье согласие на распространение персональных данных по статье 10.1.

Что в законе осталось прежним, несмотря на поправки

Оба новых закона - это надстройка над базовыми обязанностями оператора персональных данных, которые не менялись с более ранних редакций 152-ФЗ. Компания по-прежнему обязана иметь политику обработки персональных данных, доступную на сайте, публиковать сведения о целях обработки, отвечать на запросы субъектов в установленный срок и уведомлять Роскомнадзор о начале обработки данных, если для этого нет законных оснований для освобождения от уведомления.

Права субъекта персональных данных - на доступ к своим данным, на уточнение, на удаление, на отзыв согласия в любой момент - работают так же, как и до поправок 2024-2025 годов. Изменились не сами права, а цена их нарушения: раньше жалоба субъекта в РКН оборачивалась в худшем случае штрафом в несколько десятков тысяч рублей, теперь при повторном нарушении - оборотным штрафом, который для среднего бизнеса исчисляется миллионами рублей.

Не изменился и общий принцип: обрабатывать можно только те данные, которые действительно нужны для конкретной цели, и хранить их не дольше, чем эта цель существует. Компания, которая годами копит анкеты давно ушедших клиентов без определенной цели, рискует не из-за новых законов, а из-за старого требования, которое просто стали проверять внимательнее на фоне общего ужесточения практики.

Это стоит держать в голове, чтобы не тратить время на переделку того, что и так работало правильно. Если политика обработки данных на сайте написана корректно, согласие оформлено по всем правилам, а сроки ответа на обращения соблюдаются, большая часть новых норм компанию не касается напрямую - разве что растет цена ошибки, если она все же случится. Проверить это стоит на реальном сайте, а не по памяти о том, что когда-то все сделали правильно.

Другие изменения, на которые обращают меньше внимания

Кроме двух главных законов, за 2024-2025 годы прошло несколько поправок и уточнений практики помельче, которые заметны не всем, но тоже влияют на повседневную работу с данными:

• Порядок работы с обращениями субъектов персональных данных - запросами на уточнение, удаление или блокирование данных - стали проверять активнее: регулятор смотрит не только на факт ответа, но и на соблюдение сроков, установленных законом, а также на то, зафиксирован ли сам факт обращения внутри компании - без письменного учета доказать своевременный ответ будет нечем.
• Внимание к трансграничной передаче данных выросло: список стран, куда можно передавать данные без дополнительного уведомления РКН, периодически пересматривается, и компаниям, которые используют зарубежные сервисы для рассылок, аналитики или CRM, стоит время от времени сверяться с актуальным перечнем. Отдельный вопрос - резервные копии баз данных: если бэкап физически хранится на зарубежном сервере, это тоже трансграничная передача, даже если компания об этом не задумывалась.
• Инспекторы РКН на проверках стали больше внимания уделять именно оформлению согласия, а не только наличию политики конфиденциальности на сайте: раньше на это смотрели формально, теперь читают текст согласия, проверяют расположение чекбокса и то, не смешано ли согласие с другими условиями, а нередко просят показать форму вживую прямо во время проверки.
• Отдельно ужесточилась практика по специальным категориям данных - о здоровье, биометрии, судимости: формальное согласие общего вида на такие данные регулятор все чаще не принимает и требует отдельного документа под конкретную категорию. Это особенно заметно у клиник, кадровых служб и организаций, которые используют биометрию для контроля доступа в офис.

Каждое из этих изменений по отдельности не тянет на отдельный закон уровня 420-ФЗ, но вместе они складываются в понятную тенденцию: требования к оформлению согласий и работе с обращениями граждан ужесточаются стабильно из года в год, а не разово по случаю очередной громкой утечки в новостях.

Что из поправок требует действий прямо сейчас

Не все изменения одинаково срочные. Часть можно спланировать на квартал вперед вместе с обновлением сайта, часть стоит проверить в течение ближайшей недели - особенно если компания собирает данные посетителей через сайт каждый день и хранит их в CRM без ограничений доступа.

• Проверить, оформлено ли на сайте согласие на обработку персональных данных отдельным документом, а не частью оферты или пользовательского соглашения - это прямое требование 156-ФЗ, действующее с 1 сентября 2025 года.
• Оценить, что будет при повторной утечке: подпадает ли ситуация под признаки повторного нарушения по КоАП и какой оборотный штраф это может означать при текущей выручке компании.
• Убедиться, что доступ к базе клиентов ограничен и понятно, кто персонально отвечает за ее сохранность - с учетом того, что статья 272.1 УК касается конкретных сотрудников, а не только компании как юридического лица.
• Проверить формы и разделы сайта, где публикуются данные третьих лиц - отзывы, фотографии, списки участников: есть ли отдельное согласие на распространение, а не только на обработку.
• Свериться со сроками ответа на запросы субъектов персональных данных - об уточнении, удалении или предоставлении сведений о том, какие данные и зачем хранит компания.
• Если компания работает со специальными категориями данных - здоровьем, биометрией, судимостью соискателей, - проверить, что согласие на них оформлено отдельно от общего согласия, а не одной строкой в общей форме.

С чего начать разбор поправок на своем сайте

Не любая компания использует персональные данные одинаково, поэтому и приоритеты у всех разные. Универсального списка на все случаи не существует, и попытка выполнить сразу все пункты без разбора обычно заканчивается тем, что до сайта, где реально идут заявки, руки доходят в последнюю очередь. Интернет-магазину важнее всего форма согласия при оформлении заказа и защита базы клиентов от повторных утечек, за которые уже действует оборотный штраф. Клинике - специальные категории данных о здоровье пациентов и отдельное согласие именно на них. Кадровику - работа с резюме соискателей и персональными данными в трудовых договорах, где статья 272.1 УК касается напрямую тех, кто имеет доступ к личным делам. У самозанятого с одностраничным сайтом объем обычно меньше: чаще всего достаточно проверить форму заявки и текст согласия под ней, чтобы он не был частью общих условий оферты.

Если непонятно, с чего начинать, разумнее оттолкнуться от базовых требований закона, а не сразу от последних поправок: в статье закон 152-ФЗ простыми словами объясняется, что вообще должно быть на сайте у любой компании, которая собирает данные посетителей. Поправки 2024-2025 годов - это надстройка над этим базовым минимумом, а не замена ему: без базовой политики обработки и корректной формы согласия новые нормы о штрафах и уголовной ответственности применяются точно так же, только последствия становятся серьезнее.

Практический ориентир простой: сначала закрыть то, что дает наибольший риск при проверке или жалобе, - форму согласия и контроль доступа к базе данных, - а уже потом заниматься менее срочными пунктами вроде уточнения списка стран для трансграничной передачи или обновления локальных актов компании. Проверку стоит проводить не по памяти, а на реальном сайте: открыть форму заявки так, как это делает обычный посетитель, и посмотреть, что происходит при нажатии на чекбокс согласия - виден ли текст целиком, открывается ли он отдельным окном или страницей, не смешан ли он с другими условиями оферты.

На сайте 152fzpro.ru дорабатывают документы и формы сайтов под действующую редакцию 152-ФЗ - политику обработки, тексты согласий, формы сбора заявок - с учетом поправок, о которых шла речь выше, и без обещаний, что доработка сайта сама по себе исключит любые вопросы регулятора.