В течение 2025 года были внесены изменения в законодательство, регулирующее обработку персональных данных. Все эти корректировки преследуют цель ужесточить надзор за организациями, владеющими информацией о персональные данные россиян: работников, клиентов, заказчиков, поставщиков и т.д.
В конце мая 2025 года ввели новые штрафы предусмотрены санкции в случае нарушения конфиденциальности данных и непредставления информации об инициализации обработки персональных сведений.
С 1 июля 2025 года вступили в силу изменения, ужесточившие требования к хранению баз данных на территории Российской Федерации. В настоящее время штраф за размещение за границей баз данных, содержащих персональные данные, составляет от 1 до 6 млн рублей (часть 8 статьи 13.11 Кодекса об административных правонарушениях).
С первого сентября, двадцать пятого года, начали действовать новые требования к процедуре получения разрешения от пользователей на использование их личной информации. Эти правила распространяются на все организации, взаимодействующие с персональными данными – начиная от небольших компаний и заканчивая крупными корпорациями.
Согласие на обработку персональных данных
Раньше компании в основном использовали различные методы для получения подтверждения от клиентов (заказчиков и т.п.) относительно обработки персональных данных ограничивались включением соответствующего пункта в договор или пользовательское соглашение.
Начиная с 1 сентября 2025 года, согласие не должно включаться в договор или иное соглашение. Согласие на обработку персональных данных теперь требуется оформлять в виде самостоятельного бумажного или электронного документа, содержащего все сведения, установленные законом. В отношении веб-сайтов, простого подтверждения согласия посредством «галочки» уже будет недостаточно.
Ранее выданные разрешения по-прежнему остаются в силе, и повторно оформлять их не требуется.
Виды согласий
Законодательство предусматривает две формы выражения согласия на обработку персональных данных:
- Согласие с запретом на разглашение сведений.
- Разрешение, предусматривающее возможность передачи персональных данных.
Согласно первому варианту, оператор-организация имеет право собирать, хранить, использовать и передавать персональные данные, однако это разрешено лишь определенному числу лиц, установленным законом. Именно такую модель используют большинство компаний.
Альтернативный вариант включает в себя более детальное согласие собственника на использование его персональных данных. Он позволяет осуществлять публичное распространение информации, например, размещать ее в сети интернет на официальном сайте, в социальных сетях и других подобных ресурсах. Этот вариант требует более сложного оформления. Владелец персональных данных сам решает, какие сведения о нем будут доступны широкой публике.
За ненадлежащее оформление согласия на обработку персональных данных предусмотрен штраф
В соответствии с частью 2 статьи 13.11 Кодекса Российской Федерации об административных правонарушениях предусмотрена ответственность в виде штрафов за неимение законных оснований для обработки персональных данных:
- для обычных граждан — в размере от 10 тыс. до 15 тыс. рублей;
- для руководителей организаций — от 100 тыс. до 300 тыс. рублей;
- для компаний — от 300 тыс. до 700 тыс. рублей.
Как Роскомнадзор определяет организации, допускающие нарушения в обработке персональных данных, и какие штрафы предусмотрены для них
Обезличивание персональных данных
Процесс обезличивания предполагает преобразование данных таким способом, чтобы без привлечения дополнительных ресурсов установить личность субъекта было принципиально невозможно.
С 1 сентября 2025 года вступили в силу новые стандарты обработки информации с целью сохранения конфиденциальности.
Государственные органы имеют право запрашивать обезличенные данные для их включения в Единую информационную платформу национальной системы управления информацией. Передача биометрических данных и другой чувствительной информации при этом недопустима.
Какие изменения необходимо внести в обработку персональных данных к 1 сентября 2025 года
- Необходимо установить, зарегистрирован ли оператор персональных данных в соответствующем реестре. В случае отсутствия регистрации следует подать уведомление. Ошибки в уведомлении об обработке персональных данных в РКН
- Осуществить проверку договоров и пользовательских соглашений с целью исключения положений о согласии на обработку персональной информации.
- Создать и запустить в действие обновленную форму индивидуального разрешения на использование персональных данных.
- В случае возникновения потребности в обновлении документа по обработке личных сведений.
- Создать самостоятельный регламент, посвященный конфиденциальности информации, который должен содержать сведения о применяемых способах удаления идентифицирующих признаков и принципах хранения фрагментов данных.
- Необходимо провести оценку организации мер по защите персональных данных. Следует стремиться к снижению вероятности утечек.
- Актуализировать формы на сайтах компании.