Персональные данные: базовый минимум документов для бизнеса
Шесть документов и настроек, без которых компания рискует штрафом при первой же проверке
О чём пойдёт речь
Оператор персональных данных — это почти любая компания, у которой есть сайт с формой заявки, сотрудники или клиентская база. При этом многие узнают об этом статусе только из письма Роскомнадзора.
Разберём базовый минимум: какие документы и настройки должны быть у бизнеса, чтобы обработка персональных данных была законной, а риски штрафов — управляемыми.
Кто считается оператором
Оператор — любое лицо, которое собирает, хранит или использует персональные данные (ст. 3 Закона № 152-ФЗ). Имя и телефон в форме обратной связи, данные сотрудников для кадрового учёта, клиентская база в CRM — всё это обработка персональных данных.
Отсюда простое правило: если у вас есть хотя бы один из этих процессов, вы оператор и должны выполнять требования закона.
1. Политика обработки персональных данных
Документ, который объясняет, какие данные вы собираете, зачем, как храните и кому передаёте. Политика должна быть опубликована на сайте и доступна с любой страницы, где собираются данные.
Типичная ошибка — скачанный шаблон, который не соответствует реальным процессам. Если в политике не указана передача данных в CRM или подрядчику по рассылкам, а она происходит, политика не защищает.
2. Отдельное согласие на обработку
С 1 сентября 2025 года согласие на обработку персональных данных должно оформляться отдельным документом. Его нельзя «спрятать» в пользовательском соглашении, оферте или политике.
Согласие должно быть:
- конкретным — что именно вы обрабатываете;
- информированным — для каких целей;
- сознательным — пользователь сам ставит отметку.
За обработку без надлежащего согласия организации грозит штраф до 700 тысяч рублей.
3. Согласие на рекламные рассылки
Согласие на обработку данных и согласие на получение рекламы — разные документы. Если вы планируете email-маркетинг, SMS или звонки, нужно отдельное согласие на получение рекламы.
В нём стоит указать цель («для направления рекламных материалов»), способы связи, срок действия и порядок отзыва.
4. Уведомление в Роскомнадзор
Оператор обязан подать уведомление об обработке персональных данных до её начала. В уведомлении указываются цели обработки, категории данных и субъектов, меры защиты и сроки. Роскомнадзор вносит сведения в реестр операторов в течение 30 дней.
Если вы уже обрабатываете данные, но уведомление не подали, — подайте его сейчас. Это прекращает длящееся нарушение и снижает риски.
5. Правильные отметки на сайте
- Отметка согласия не должна стоять по умолчанию.
- Согласие на обработку и согласие на рекламу — отдельные отметки.
- Рядом с формой должны быть ссылки на политику и текст согласия.
- Отправка формы без согласия должна быть невозможна, если без данных вы не можете оказать услугу.
6. Внутренние документы и меры защиты
Помимо публичных документов, оператор должен назначить ответственного за обработку данных, определить круг сотрудников с доступом и утвердить меры защиты. Особенно это важно сейчас, когда за утечки введены оборотные штрафы: для повторных нарушений они рассчитываются от выручки компании.
Быстрая самопроверка
- Есть ли на сайте актуальная политика обработки данных?
- Оформлено ли согласие отдельным документом?
- Есть ли отдельное согласие на рекламу?
- Подано ли уведомление в Роскомнадзор?
- Не стоят ли отметки согласия по умолчанию?
- Назначен ли ответственный и ограничен ли доступ к данным?
Если хотя бы на два вопроса ответ «нет», документы стоит пересобрать.
Мой вывод
Персональные данные — зона, где штраф обычно получают не за злой умысел, а за формальности: отсутствие уведомления, общую галочку или устаревшую политику. Базовый минимум документов делается за несколько дней и закрывает большинство рисков. Это дешевле любого штрафа.
Материал носит информационный характер и не заменяет юридическую консультацию. Каждая ситуация индивидуальна и требует анализа документов и обстоятельств дела.