Закон 152-ФЗ простыми словами: что он требует от бизнеса

Закон о персональных данных 152-ФЗ действует в России с 2006 года, но подавляющее большинство владельцев сайтов и небольших компаний открывают его текст только после письма из Роскомнадзора или жалобы клиента. В этой статье - 152 фз простыми словами: кого закон касается, какие шесть требований обязательны для любого бизнеса с формой на сайте или базой клиентов, и что грозит за их невыполнение в 2026 году.

Если формулировать закон о персональных данных кратко, суть сводится к нескольким пунктам. Есть форма обратной связи на сайте, база в CRM, таблица с телефонами клиентов в Excel или список сотрудников в отделе кадров - компания уже оператор персональных данных. Закон распространяется на нее так же, как на банк или медицинскую клинику: разница только в объеме документов и мер защиты. Дальше - по порядку: что требует 152 фз от типичного бизнеса, с чего начать и куда смотреть в первую очередь, если из перечисленного пока не сделано ничего. Отдельно стоит держать в уме, что закон регулярно меняется: только за 2024 и 2025 год в него внесли поправки об оборотных штрафах, уголовной ответственности и форме согласия, и то, что было достаточным пять лет назад, сегодня может не соответствовать текущим требованиям.

Кто такой оператор персональных данных - и почему это, скорее всего, вы

Закон определяет оператора широко: это любое лицо, которое самостоятельно или совместно с другими организует обработку персональных данных и определяет ее цели. Форма заявки на сайте, кассовая программа с именами покупателей, папка с резюме соискателей - все это делает компанию оператором вне зависимости от отрасли и оборота. Интернет-магазин с одним менеджером подпадает под закон так же, как крупная розничная сеть - разница только в масштабе процессов, а не в самом факте применения закона. Клиника с картотекой пациентов, школа с электронным журналом, риелторское агентство с базой контактов покупателей - везде работает одна и та же логика: есть данные конкретных людей, значит есть обязанности оператора, независимо от того, называет ли себя компания IT-бизнесом или нет. Подробно о признаках, по которым определяют статус оператора, и о немногих исключениях разобрано в материале о том, кто является оператором персональных данных.

На практике из-под этого определения выпадают единицы. Даже самозанятый мастер, который ведет таблицу с телефонами клиентов в заметках на телефоне, формально подпадает под требования закона - просто в сокращенном объеме, без части документов, обязательных для компаний с большим штатом. Полностью выйти из-под действия 152-ФЗ можно только если вообще не собирать и не хранить данные людей, а для действующего бизнеса это скорее теоретическая возможность, чем реальный вариант. На консультациях владельцы бизнеса нередко спрашивают, распространяется ли закон на компанию без сайта - да, распространяется: обработка данных сотрудников в отделе кадров или клиентов по телефону подчиняется тем же правилам, что и данные, собранные через веб-форму.

Структура закона: что лежит в каждой части

152-ФЗ - это не единый список требований, а несколько смысловых блоков, и держать в голове их логику полезно: тогда понятно, где искать ответ на конкретный вопрос, а не читать документ целиком в поисках нужной строки.

Закон открывается общими положениями - определениями терминов вроде персональных данных, оператора, обработки, субъекта, и описанием сферы действия. Дальше идет блок про принципы и условия обработки: когда данные можно собирать вообще, а когда для этого нужно отдельное основание. Отдельный блок посвящен правам субъекта - человек вправе узнать, какие данные о нем хранятся, потребовать их уточнения или уничтожения. Следующий блок описывает обязанности оператора - именно здесь закреплены требования к согласию, к локализации баз, к мерам защиты. Ближе к концу закон переходит к контролю и надзору - полномочиям Роскомнадзора, и к ответственности за нарушения, включая отсылки к КоАП и Уголовному кодексу. Текст закона в открытом доступе объемный и написан канцелярским языком, поэтому для практических задач удобнее не искать нужный пункт вручную, а сразу переходить к разбору конкретной темы - согласия, штрафов или проверок.

Для бизнеса практический смысл имеют в первую очередь два блока: обязанности оператора и ответственность за их невыполнение. Один говорит, что делать, второй - что будет, если не делать.

Шесть требований 152-ФЗ, которые касаются любого бизнеса

Если убрать юридические формулировки, что требует 152 фз от типичной компании сводится к шести практическим пунктам. Ни один из них не привязан к размеру бизнеса - требования одинаковы для интернет-магазина с одним менеджером и для сети клиник с филиалами в нескольких городах.

Это укороченный список, у каждого пункта есть нюансы и исключения, которые редко умещаются в одну строку таблицы. Полный перечень обязанностей оператора с конкретными сроками и формулировками из закона собран отдельно, в материале про обязанности оператора персональных данных - туда стоит заглянуть, если нужен не обзор, а рабочий список для проверки конкретной компании.

Что касается сроков: уведомление в Роскомнадзор рекомендуется подавать до начала обработки, а не постфактум, потому что при проверке отсутствие уведомления читается как отдельное самостоятельное нарушение, даже если остальные документы в порядке. Часть исключений из этого правила касается обработки данных только своих работников по трудовому договору - но это тоже нужно подтвердить документально, а не предполагать по умолчанию.

Документы, которые обязаны быть в компании

На практике минимальный пакет документов выглядит так: политика обработки персональных данных, размещенная на сайте отдельной страницей, форма согласия для случаев, когда без него не обойтись, приказ о назначении ответственного за организацию обработки, и, если в штате больше нескольких человек, положение о защите персональных данных внутри компании. Для организаций с информационными системами персональных данных к списку добавляется модель угроз и акт классификации уровня защищенности - это уже не бумага для сайта, а внутренний технический документ.

Комплект отличается по отраслям. Кадровому агентству нужны формы согласия соискателей и порядок работы с резюме после отказа. Интернет-магазину - согласие на маркетинговые рассылки отдельно от согласия на обработку заказа и cookie-баннер, который не блокирует сайт намертво, но и не работает для галочки. Медицинской клинике - отдельное согласие на обработку данных о здоровье, которые закон относит к специальной категории с более строгими условиями. Школе или детскому саду - согласия от родителей, а не от самого ребенка, и отдельный порядок для электронного дневника, если он есть. Отдельная сложность - подрядчики и фрилансеры, которым компания передает данные для работы: дизайнер с доступом к базе клиентов или бухгалтер на аутсорсе тоже должны попадать в документы как лица, обрабатывающие персональные данные по поручению оператора, а не оставаться вне поля зрения.

Универсального шаблона на все случаи не существует, и копирование чужой политики с другого сайта - частая причина, по которой документ не выдерживает даже поверхностной проверки: в тексте остаются чужие названия сервисов, чужие цели обработки и пункты, которые к конкретной компании не имеют отношения.

Что будет за невыполнение: штрафы и уголовная ответственность в 2026 году

До 2025 года штрафы за нарушения 152-ФЗ были фиксированными и настолько небольшими, что часть компаний закладывала их в бюджет как неизбежные издержки, а не как повод что-то менять. Ситуация изменилась с принятием 420-ФЗ от 30 ноября 2024 года: закон ввел оборотные штрафы за утечку персональных данных и новую статью 272.1 в Уголовном кодексе, обе нормы применяются с 30 мая 2025 года.

Оборотный штраф считается не в фиксированной сумме, а в процентах от годовой выручки компании на территории России, и при повторном нарушении растет кратно относительно первого. Подробный расчет по разным сценариям и суммы, которые уже платят реальные компании после утечек, разобраны в материале про оборотные штрафы по 152-ФЗ в 2026 году. Уголовная ответственность по статье 272.1 УК грозит за незаконные действия с данными в крупном размере или с использованием служебного положения - формулировка жестче обычного административного нарушения и касается не только внешних злоумышленников, но и сотрудников компании, которые слили базу конкуренту или продали ее третьим лицам.

Отдельно с 1 сентября 2025 года действует требование 156-ФЗ от 24 июня 2025 года: согласие на обработку персональных данных должно оформляться отдельным документом, а не абзацем внутри пользовательского соглашения или публичной оферты. Для сайтов это означает отдельную форму или чек-бокс, который человек ставит осознанно, а не автоматическую галочку под кнопкой оформить заказ, объединяющую сразу несколько разных согласий в одном клике. На практике это требование чаще всего нарушают старые лендинги, которые не обновляли с момента запуска: форма отправляет заявку через один общий чек-бокс под текстом, который никто из посетителей полностью не читает.

На практике оборотный штраф ощутимо меняет расчет рисков для среднего бизнеса. Раньше нарушение можно было пересидеть, заплатив фиксированную сумму и продолжив работать по-старому. Теперь для компании с выручкой в десятки миллионов рублей штраф исчисляется в процентах от нее, и повторная утечка обходится в разы дороже первой - это тот случай, когда исправить документы один раз дешевле, чем объяснять инспектору, почему их не было.

IP-адрес, куки и другие данные, которые недооценивают

Ошибка, с которой сталкивается почти каждая компания на первой консультации - слишком узкое понимание того, что вообще считается персональными данными. Закон не ограничивает список фамилией, телефоном и паспортными реквизитами: любая информация, которая относится к определенному или определяемому физическому лицу, подпадает под действие 152-ФЗ, и этот список гораздо шире, чем кажется на первый взгляд. Дата рождения, должность, номер автомобиля, домашний адрес доставки - каждый из этих признаков по отдельности выглядит безобидно, но в связке с остальными данными клиента складывается в полноценное досье, которое закон защищает целиком, а не по частям.

Один из самых спорных примеров - IP-адрес. Формально закон не называет IP-адрес персональными данными напрямую, но позиция Роскомнадзора и судебная практика последних лет склоняются к тому, что в сочетании с другими метками - файлами cookie, идентификатором рекламной сети, отпечатком браузера - IP-адрес позволяет идентифицировать конкретного человека, а значит, требует того же обращения, что и остальные данные. Разбор аргументов обеих сторон и практических выводов для владельцев сайтов - в отдельном материале про IP-адрес как персональные данные.

К той же категории недооцененных данных относятся фотографии сотрудников на странице команда, геолокация из формы доставки, история покупок, которая сама по себе не называет имени, но однозначно связана с конкретным клиентом внутри CRM. Правило простое: если данные можно связать с человеком, пусть и не напрямую, а через сопоставление с другими записями, закон их защищает так же, как имя и телефон. Для маркетинга это работает не абстрактно. Интернет-магазин, который передает базу email-адресов в рекламный кабинет для настройки look-alike аудитории, фактически передает персональные данные третьей стороне, даже если сам считает, что просто загрузил список в сервис. Если в согласии клиента не было пункта про передачу данных рекламным платформам, такая загрузка формально выходит за рамки того, на что человек соглашался.

Особые случаи: соискатели и общедоступные источники

Два случая вызывают больше всего вопросов у бизнеса, потому что интуитивно кажутся исключением из общих правил.

Первый - резюме соискателей. Компания получает персональные данные человека, который не является ни клиентом, ни сотрудником, часто без подписанного согласия - просто откликом на вакансию через сайт или агрегатор. Закон не делает для этой ситуации отдельного упрощенного режима: резюме нужно хранить с той же осторожностью, что и данные клиентов, а после отказа кандидату - соблюдать порядок и сроки уничтожения, а не оставлять папку с откликами на сервере кадровика бессрочно, на случай если вакансия откроется снова. Отдельная ловушка - базы резюме, купленные или полученные от кадровых агентств: даже если агентство утверждает, что получило согласие соискателей, ответственность за законность дальнейшей обработки все равно ложится на компанию, которая эти данные использует.

Второй случай - данные, которые человек сам разместил в открытом доступе: в соцсетях, в каталоге компании, на личном сайте. Многие компании считают, что раз информация публична, ее можно свободно собирать и использовать для рассылок или холодных продаж. Закон это не подтверждает: общедоступные источники персональных данных - отдельная правовая категория со своими условиями, и не любая информация, найденная в открытом доступе, автоматически попадает под нее. Разница между действительно общедоступными данными и данными, которые просто нашлись через поиск, разобрана в материале про общедоступные источники персональных данных.

Частые ошибки малого и среднего бизнеса

На проверках и в переписке с клиентами чаще всего всплывают одни и те же промахи, и почти все они устраняются без глобальной перестройки бизнеса.

• Политика обработки скопирована с чужого сайта и упоминает данные, которые компания не собирает, или наоборот - не упоминает то, что собирает на самом деле, вплоть до данных банковских карт при оплате на сайте.
• Форма согласия объединена с пользовательским соглашением в один текст, хотя с сентября 2025 года это отдельный документ, и старый вариант формально уже не соответствует закону.
• Сайт продолжает использовать зарубежную аналитику или CRM без проверки, где физически хранятся первичные данные клиентов.
• Уведомление в Роскомнадзор не подавалось никогда, потому что компания маленькая - размер бизнеса не освобождает от обязанности, если основания для исключения формально нет.
• Резюме отказанных кандидатов и старые заявки с сайта годами лежат в почте без установленного срока хранения и без причины, по которой их до сих пор не удалили.
• Ответственный за обработку персональных данных назначен только на бумаге приказом и не знает, что делать при обращении субъекта или запросе Роскомнадзора.
• Сайт собирает данные через несколько разных форм - заявку, подписку на рассылку, форму обратного звонка - но политика описывает только одну из них, а остальные формально работают без правового основания.
• Компания использует единый шаблон согласия для всех форм, хотя цели обработки различаются: согласие на обработку заказа и согласие на рекламную рассылку - это разные основания, и объединять их в одну галочку закон не позволяет.

Каждая из этих ошибок по отдельности редко приводит к серьезным последствиям сама по себе. Проблема в том, что при проверке или после жалобы инспектор обычно находит не одну, а сразу несколько, и штраф считается по совокупности нарушений, а не по самому заметному из них. Привести в порядок сразу все шесть пунктов из требований выше обычно быстрее и дешевле, чем закрывать их по одному после каждого нового замечания.

Что делать: порядок действий на ближайший месяц

Проверить реальное состояние дел проще, чем кажется, если двигаться по порядку, а не хвататься за все документы сразу.

1. Определить, какие персональные данные компания собирает на самом деле - через сайт, CRM, кассу, HR-процессы. Список почти всегда оказывается длиннее, чем ожидалось на старте, и в него часто попадают данные, о которых в компании никто не задумывался как о персональных - например, фото с корпоратива на сайте или список участников вебинара.
2. Проверить, есть ли законное основание для каждого вида данных: подписанное согласие, договор с клиентом или другое основание, прямо предусмотренное законом.
3. Свести документы в один пакет: политика обработки, форма согласия отдельным документом, приказ о назначении ответственного за организацию обработки.
4. Проверить, подавалось ли уведомление в Роскомнадзор, и актуальны ли указанные в нем сведения, если подача была несколько лет назад и с тех пор изменились процессы.
5. Уточнить у хостинг-провайдера или подрядчика, где физически расположены серверы с базой данных клиентов и сотрудников.
6. Определить уровень защищенности данных и сверить его с фактически принятыми мерами - от антивируса и разграничения доступа до резервного копирования, и зафиксировать эти меры письменно, а не держать в голове у системного администратора.
7. Отдельно проверить сайт: форму заявки, cookie-баннер, ссылку на политику в футере - это первое, что видит и посетитель, и инспектор при проверке.

Если после этого списка остаются вопросы по конкретным документам или доработке сайта под требования закона, на 152fzpro.ru занимаются именно этим - готовят документы и дорабатывают сайты под 152-ФЗ, без обещаний аттестации ИСПДн, лицензий или курсов, которых у сервиса нет. Разбор конкретной ситуации обычно занимает меньше времени, чем поиск ответа по разрозненным форумам и устаревшим статьям в интернете.