Персональные данные физического лица: что это и как используются
Обновлено:
В статье рассматривается понятие персональных данных физического лица, их классификация по категориям и порядок обработки согласно ФЗ‑152 «О персональных данных». Описаны новые требования 2026 года, включая локализацию баз, автоматический контроль Роскомнадзора и размеры штрафов за нарушения.
Ускорьте работу сотрудников склада при помощи мобильной автоматизации. Навсегда устраните ошибки при приёмке, отгрузке, инвентаризации и перемещении товара.
Узнать больше
Мобильность, точность и скорость пересчёта товара в торговом зале и на складе, позволят вам не потерять дни продаж во время проведения инвентаризации и при приёмке товара.
Узнать больше
Обязательная маркировка товаров — это возможность для каждой организации на 100% исключить приёмку на свой склад контрафактного товара и отследить цепочку поставок от производителя.
Узнать больше
Скорость, точность приёмки и отгрузки товаров на складе — краеугольный камень в E-commerce бизнесе. Начни использовать современные, более эффективные мобильные инструменты.
Узнать больше
Повысьте точность учёта имущества организации, уровень контроля сохранности и перемещения каждой единицы. Мобильный учёт снизит вероятность краж и естественных потерь.
Узнать больше
Повысьте эффективность деятельности производственного предприятия за счёт внедрения мобильной автоматизации для учёта товарно-материальных ценностей.
Узнать больше
Что такое персональные данные и их классификация
Правовое определение и нормативная база
Персональные данные (ПДн) — это любая информация, позволяющая прямо или косвенно установить личность конкретного физического лица, которое выступает субъектом данных. Основным нормативным актом, регулирующим обработку ПДн в России, является Федеральный закон № 152‑ФЗ «О персональных данных», действующий с 2006 года и актуализированный в 2026 году. Закон определяет права субъектов, обязанности операторов и требования к защите информации.
Классификация персональных данных
Для практического применения закон делит ПДн на четыре группы:
- Общие (базовые) – ФИО, паспортные данные, дата и место рождения, контактные сведения (телефон, e‑mail, почтовый адрес), государственные идентификаторы (ИНН, СНИЛС, ОГРН).
- Специальные (чувствительные) – сведения о состоянии здоровья, расовой или национальной принадлежности, политических, религиозных и философских взглядах, а также информация о судимостях.
- Биометрические – отпечатки пальцев, сканы радужки, изображения лица (фото/видео) для распознавания, голосовые слепки, ДНК‑данные.
- Иные – данные о заработной плате, трудовом стаже, социальном статусе, файлы cookie, IP‑адрес, геолокация, сведения об имуществе.
Каждая категория требует своего уровня защиты и соблюдения специфических процедур обработки.
Принцип «связки» и его практическое значение
Отдельный признак, не привязанный к имени или другому идентифицирующему элементу, обычно не считается персональными данными. Закон вводит принцип «связки»: когда такой признак объединяется с идентифицирующим элементом, полученный набор данных подпадает под действие ФЗ‑152.
Примеры формирования персональных данных:
- номер телефона + ФИО → полностью идентифицируемый контакт;
- e‑mail + ИНН → уникальная комбинация, позволяющая установить личность владельца;
- номер автомобиля + ФИО владельца → связь транспортного средства с конкретным лицом;
- геолокация + ID пользователя в системе → позволяет отследить перемещения конкретного субъекта.
Эти примеры показывают, как даже казалось бы нейтральные данные могут стать персональными при их комбинировании, что влечёт за собой обязательства по их защите.
Обработка персональных данных: этапы, права субъектов и новые требования 2026 года
Этапы обработки персональных данных
Обработка — любое действие, совершаемое с персональными данными (ПДн): сбор, запись, систематизация, хранение, использование, передача, уничтожение. В практике большинства организаций процесс делится на пять последовательных этапов.
- Сбор и запись – получение данных через анкеты, формы регистрации, трудоустройство и т.п.
- Систематизация и хранение – размещение сведений в защищённых информационных системах; с 2026 г. обязательна локализация баз данных на территории РФ.
- Использование в заявленных целях – пример: банки используют ПДн для кредитных проверок, интернет‑магазины – для организации доставки, работодатели – для расчёта заработной платы.
- Передача третьим лицам – допускается только при наличии явного согласия субъекта; предустановленные галочки в пользовательском интерфейсе считаются недопустимыми.
- Уничтожение – производится после достижения цели обработки или после отзыва согласия, в соответствии с установленными сроками и методами.
Права субъектов персональных данных
Граждане обладают рядом гарантированных прав, которые оператор обязан соблюдать.
- Отзыв согласия в любой момент. Оператор обязан немедленно прекратить обработку и уничтожить соответствующие данные.
- Право доступа к сведениям, а также к информации о целях и способах их использования.
- Право требовать исправления неточных, неполных или устаревших данных.
Эти права реализуются через запросы в службу защиты данных организации, а также через обращения в Роскомнадзор при необходимости.
Новые требования 2026 года
С 2026 г. в России вступили в силу несколько ключевых нормативных изменений, которые существенно меняют практику обработки ПДн.
- Регистрация начала обработки в Роскомнадзоре обязательна даже для простых e‑mail‑рассылок. Оператор обязан подать уведомление о начале обработки до её фактического старта.
- Круглосуточный аудит ИИ‑системой «АС МПДн». Автоматический мониторинг выявляет отсутствие политики конфиденциальности, использование предустановленных галочек и скрытый сбор данных через иностранные трекеры. Результаты аудита становятся основанием для штрафных санкций.
- Жёсткая локализация данных. Первичная запись персональных данных должна происходить на российских серверах. Применение зарубежных CRM‑систем без обязательного дублирования данных в РФ влечёт штраф от 1 млн до 6 млн рублей.
- Трансграничный трансфер регулируется поправкой № 265‑ФЗ. Передача ПДн за пределы России допускается только при подтверждённом адекватном уровне защиты в принимающей стране; в противном случае передача блокируется.
- Согласие иностранных сотрудников. С 1 сентября 2026 г. для работников, не являющихся гражданами РФ, требуется отдельное согласие, фиксируемое в уведомлениях МВД в соответствии с Приказом № 290.
Соблюдение этих требований требует пересмотра внутренних регламентов, внедрения новых технических решений и постоянного контроля за соответствием процессам обработки персональных данных.
Практика для бизнеса: согласие, политика конфиденциальности, штрафы и контроль
Согласие: как оформить правильно
Согласие должно быть конкретным, информированным и однозначным.
- Электронный вариант – обычный чек‑бокс без предустановленной галочки. Текст рядом с чек‑боксом обязан содержать активные ссылки на Политику конфиденциальности, чтобы пользователь мог сразу ознакомиться с условиями.
- Письменный вариант (обязательно при обработке специальных и биометрических данных) – в документе указываются: ФИО, паспортные данные, цель обработки, перечень собираемых сведений, срок действия согласия и порядок его отзыва. Подпись должна быть оригинальной.
Все согласия необходимо логировать: фиксировать дату, время, IP‑адрес пользователя и идентификатор формы. Такая запись служит доказательной базой в случае проверки.
Политика конфиденциальности: доступность и размещение
Политика конфиденциальности обязана быть легко доступна: ссылка должна находиться в футере сайта и одновременно рядом с каждой формой сбора персональных данных. Это позволяет пользователю в любой момент ознакомиться с правилами обработки и условиями отзыва согласия.
Технические и организационные меры защиты
Защита персональных данных требует комплексного подхода.
| Категория | Примеры мер |
|---|---|
| Программные | антивирус, межсетевой экран (фаервол), системы предотвращения утечек (DLP), шифрование данных в покое и при передаче |
| Аппаратные | защита от DDoS‑атак, модули доверенной загрузки (Trusted Boot) |
| Организационные | назначение ответственного за ПДн, регулярное обучение персонала, проведение внутренних аудитов и тестов на проникновение |
Назначенный ответственный контролирует соблюдение всех процедур, а периодические аудиты позволяют своевременно выявлять и устранять уязвимости.
Штрафы 2026 г. и автоматический контроль
Нарушения требований к согласиям, политике конфиденциальности и локализации данных в 2026 году регулируются КоАП ст. 13.11. Основные размеры штрафов:
| Вид нарушения | Штраф (юридическое лицо) |
|---|---|
| Обработка без согласия | 300 000 – 700 000 руб.; повторное – до 1,5 млн руб. |
| Отсутствие политики конфиденциальности | 30 000 – 60 000 руб. |
| Нарушение локализации данных | 1 – 6 млн руб.; повторное – 6 – 18 млн руб. |
| Утечка 1 000‑10 000 субъектов | 3 – 5 млн руб. |
| Утечка 10 000‑100 000 субъектов | 5 – 10 млн руб. |
| Утечка более 100 000 субъектов | 10 – 15 млн руб. |
| Утечка биометрических/специальных категорий данных | до 20 млн руб. |
| Повторная утечка (оборотный штраф) | 1‑3 % годовой выручки (минимум 20 млн, максимум 500 млн руб.) |
Контроль за соблюдением требований может осуществляться автоматически. Система АС МПДн генерирует внеплановые проверки и налагает штрафы без участия человека, что исключает возможность пропуска нарушений.
Примеры практических решений
Продукты компании Клеверенс – «Склад 15» и «УТМ «Маркировка»» – позволяют автоматизировать процесс сбора согласий, вести реестр локализованных баз данных и проводить аудит безопасности в режиме реального времени. Их внедрение снижает риск административных штрафов и упрощает подготовку к проверкам.
Перспективы, рекомендации и шаги к соответствию в 2026‑2027 годах
Краткосрочные шаги (2026)
Для того чтобы к концу 2026 года компания полностью соответствовала требованиям 152‑ФЗ, необходимо выполнить ряд практических действий.
- Аудит текущих баз данных. Проверить, что все персональные данные находятся на российских серверах. Если часть информации хранится в зарубежных облаках, её следует либо мигрировать, либо оформить соответствующее согласие на трансграничную передачу.
- Обновление форм согласия. Удалить предустановленные галочки, обеспечить явный выбор пользователя. Для биометрических и «специальных» категорий данных требуется отдельный документ‑согласие, в котором чётко указаны цели обработки и сроки хранения.
- Публикация политики конфиденциальности. Текст политики должен быть доступен на каждой странице, где происходит сбор данных (например, внизу каждой формы). Это упрощает проверку соответствия и повышает прозрачность для пользователей.
- Регистрация начала обработки в Роскомнадзоре. Делается через электронный портал или сервис «Госуслуги». Регистрация фиксирует дату начала обработки и тип собираемых данных.
- Внедрение журнала логирования. Необходимо вести журнал согласий и событий уничтожения данных, сохранять его минимум три года. Журнал позволяет быстро отследить, какие согласия отозваны и когда были удалены персональные сведения.
Эти меры формируют базовый уровень защиты и позволяют избежать административных штрафов уже в текущем году.
Среднесрочные меры (2027)
К 2027 году законодательство вводит более автоматизированные инструменты управления согласиями и требования к ИТ‑инфраструктуре.
- Единая платформа согласий в «Госуслугах». Планируется автоматический отзыв согласий в один клик. Организациям следует подготовить интеграцию своих систем с этой платформой, протестировать сценарии отзыва и восстановления согласий.
- Трёхуровневая система ФСТЭК. Требуется реализовать динамическое моделирование угроз, сегментацию сети и контроль доступа на уровне приложений, баз данных и инфраструктуры. Пример: выделить отдельный VLAN для обработки биометрических данных и ограничить к нему доступ только авторизованным сервисам.
- Миграция данных из иностранных облаков. С учётом реестра ЦОД, опубликованного Минцифрой и действующего с 1 марта 2026 г., следует выбрать отечественный центр, соответствующий требованиям по уровню защиты и сертификации. План миграции должен включать этапы резервного копирования, валидации целостности и окончательного переключения на новый хостинг.
Эти шаги позволяют не только выполнить требования закона, но и подготовить ИТ‑ландшафт к дальнейшему ужесточению контроля.
Рекомендации по минимизации рисков
- Принцип минимизации данных. Собирать только те сведения, которые действительно необходимы для конкретной бизнес‑цели. Например, для рассылки новостей достаточно адреса электронной почты, а не полного профиля пользователя.
- Регулярные тесты на проникновение. Проводить внешние и внутренние пентесты минимум раз в полугодие, учитывая новые требования к ИИ‑мониторингу уязвимостей. Результаты тестов фиксировать в системе управления инцидентами.
- Уведомление о факте утечки в течение 24 часов. Процедура должна включать автоматическое формирование отчёта, передачу его в Роскомнадзор и информирование затронутых субъектов данных.
- Обучение персонала. Проводить обязательные тренинги по обработке персональных данных и процедурам отзыва согласий минимум раз в год. Практические сценарии (например, отозвать согласие на обработку биометрии) помогают закрепить знания.
Соблюдение этих рекомендаций снижает вероятность административных санкций и укрепляет доверие клиентов.
Перспективы регулирования
- Автоматизированное управление согласиями. С 2027 года все компании, работающие на территории РФ, обязаны использовать портал «Госуслуги» для получения, хранения и отзыва согласий. Это устраняет ручные процессы и повышает контроль со стороны надзорных органов.
- Ужесточение трансграничного контроля. Ожидается расширение «чёрного списка» стран, в которых отсутствует адекватная защита персональных данных. Передача данных в такие юрисдикции будет невозможна без специального разрешения.
- Глобальные стандарты для экспорта. Компании, экспортирующие услуги за пределы России, должны будут соответствовать требованиям, аналогичным GDPR, включая право на забвение. Это подразумевает возможность полного удаления всех данных субъекта по его запросу и подтверждение выполнения операции в журнале.
Итог
Соблюдение требований 152‑ФЗ в 2026 году требует согласованного юридического, технического и процессного подхода. При правильной организации — локализации данных, прозрачных формах согласия, автоматическом аудите и постоянном обучении персонала — бизнес минимизирует риск штрафов и одновременно повышает уровень доверия со стороны клиентов и партнёров.
Часто задаваемые вопросы
Как правильно оформить согласие на обработку персональных данных в 2026 году?
Согласие должно быть отдельным документом (не включённым в договор), оформленным в письменной или усиленной электронной форме. Для общих данных достаточно активной галочки в чек‑боксе с ссылкой на Политику конфиденциальности; для специальных и биометрических данных требуется письменное (или электронное с ЭЦП) согласие, где указаны стороны, перечень собираемых сведений, цели обработки, срок действия и порядок отзыва.
Где обязаны храниться базы данных российских граждан?
Согласно статье 18 ФЗ‑152, персональные данные граждан РФ должны находиться на серверах, физически расположенных в России. Использование иностранных облачных сервисов допускается только после первичной локализации данных в РФ; иначе предусмотрен штраф от 1 до 6 млн рублей за каждый случай.
Какие штрафы предусмотрены за утечку биометрических или специальных данных?
За утечку биометрических или специальных категорий (медицинские карты, отпечатки пальцев, ДНК и т.п.) штраф для юридического лица может достигать 15–20 млн рублей. При повторной утечке применяется оборотный штраф — 1‑3 % от годовой выручки компании (минимум 20 млн руб., максимум 500 млн руб.).
Что делать, если произошла утечка персональных данных?
Оператор обязан в течение 24 часов уведомить Роскомнадзор о факте компрометации, зафиксировать инцидент в реестре и принять меры по локализации утечки. Затем необходимо информировать затронутых субъектов, уничтожить или обезличить утекшие сведения и подготовить отчёт о принятых мерах для проверки контролирующим органом.
Как гражданин может отозвать своё согласие и потребовать удаление данных?
Субъект имеет право в любой момент направить оператору письменное заявление (в том числе через портал Госуслуги) об отзыве согласия. Оператор обязан прекратить обработку и в течение 30 дней безвозвратно удалить персональные данные, за исключением случаев, когда их хранение требуется законом (например, бухгалтерский учёт).
Как избежать автоматических штрафов от нейросети Роскомнадзора?
Необходимо обеспечить:
- Наличие ссылки на Политику конфиденциальности на каждой странице с формой сбора данных.
- Отсутствие предустановленных галочек — пользователь должен ставить их самостоятельно.
- Полное исключение скрытого сбора данных через иностранные трекеры и скрипты без согласия.
- Регулярный аудит сайта с помощью внутренних средств или внешних консультантов, чтобы убедиться, что все требования фиксируются в системе логирования.
Соблюдение этих пунктов минимизирует риск автоматического выявления нарушений и последующего штрафа.
