21 апреля 2026 года, 21:54 (мск)

Кратко о главном

• С 6 января 2026 г. вступили в силу обновлённые «Правила обеспечения безопасности персональных данных при их обработке в информационных системах», утверждённые приказом ФСТЭК.
• С 1 сентября 2025 г. любые организации должны получать согласие на обработку ПДн по новой форме: кратко, понятно и в электронном виде.
• С 30 мая 2025 г. жёстко наказали за игнор уведомлений в Роскомнадзор: штрафы до 300 000 ₽, повторное нарушение – до 1 млн ₽.
• В Госдуме уже обсуждают новый законопроект Минцифры, который усилит требования к операторам и введёт единый реестр инцидентов утечек.

Обновлённые правила ФСТЭК: чем отличаются от старых

Что изменилось в приказе от 12 июня 2023 года?

1. Расширен перечень угроз. Теперь в него явно включены:
   • атаки с использованием ИИ-инструментов (deepfake, LLM-фишинг);
   • векторные атаки через поставщиков (supply-chain).
2. Обязательные меры защиты. Минимальный набор:
   • 2FA для удалённого доступа;
   • обязательное шифрование данных «в покое» (AES-256);
   • ежеквартальное тестирование на проникновение (Pentest).
3. Новая отчётность. Операторы ежегодно до 1 марта сдают Форму № 1-ИБ/ПДн в ФСТЭК.

Согласие на обработку ПДн: новые правила с

Ключевые требования к форме согласия

Как оформить? Достаточно разместить на сайте виджет «Согласие на обработку ПДн», который:

• показывает пользователю краткое описание целей обработки;
• сохраняет hash-сумму IP и времени клика;
• выгружает данные в XML-файл для передачи в Роскомнадзор по API.

Уведомление в Роскомнадзор: не подал – получил штраф

Кто и когда подаёт?

Каждый оператор ПДн до начала фактической обработки должен направить уведомление через сервис pd.rkn.gov.ru.

Что включать в уведомление

• полное наименование и ИНН;
• цель и категории обрабатываемых ПДн;
• список информационных систем;
• сведения о трансграничной передаче (если есть).

Санкции с 30 мая 2025 года

Законопроект Минцифры 2026: что ещё ждёт бизнес

Главные новшества проекта

1. Единый реестр инцидентов утечек ПДн. Все компании обязаны сообщать о фактах утечки в течение 24 часов.
2. Обязательные Data Protection Impact Assessment (DPIA) при:
   • обработке биометрии;
   • массовом сканировании документов ИИ;
   • кросс-бордер передаче в «недружественные» юрисдикции.
3. Штрафы за «эйдж-дизкриминацию». Если ИИ-алгоритм в HR-системе необоснованно отсеивает кандидатов старше 45 лет – до 500 000 ₽.

Сроки: второе чтение запланировано на май–июнь 2026 г., вступление в силу – .

Чек-лист для компаний: как не получить штраф в 2026 г.

1. Проверьте уведомления в Роскомнадзоре. Убедитесь, что данные актуальны и соответствуют реальности.
2. Обновите согласия. Используйте новую форму и настройте автоматическое напоминание о продлении.
3. Проведите аудит ИТ-систем. Приведите защиту в соответствие с требованиями ФСТЭК 2026.
4. Создайте единый реестр инцидентов. Настройте 24-часовую эскалацию и связь с CERT-GIB.
5. Обучите персонал. Проведите курс «ПДн и ИИ: новые риски» для сотрудников и подрядчиков.

Что дальше? Тренды на 2026–2027

• Интеграция ИИ-регуляторов. Ожидается появление «чат-регулятора» от Минцифры, который будет автоматически проверять тексты согласий на соответствие закону.
• Налоговые льготы за «Privacy by Design». Компании, сертифицированные по ISO/IEC 27701, получат снижение налога на прибыль на 3 %.
• Обязательное страхование киберрисков. Проект уже разослан в АСВ и СберСтрахование.

2026 год стал переломным для рынка персональных данных в России. Главное правило: «Прозрачность, минимизация и скорость реакции». Компании, которые уже сейчас внедрили новые формы согласий, обновили ИТ-инфраструктуру и налаживают культуру «privacy first», получают конкурентное преимущество. Остальным остаётся только успеть до вступления нового законопроекта.

Материал подготовлен на основе официальных документов ФСТЭК, Роскомнадзора и проектов Минцифры РФ на 21 апреля 2026 года.