Дата публикации:

Содержание

1. Основные законодательные акты
2. Кому и какие данные относятся
3. Обязанности операторов персональных данных
4. Трансграничная передача данных
5. Процедуры и практические рекомендации
6. Ответственность за нарушение
7. Часто задаваемые вопросы

Основные законодательные акты

В России регулирование персональных данных (далее – ПДН) осуществляется рядом федеральных законов и подзаконных актов․ Для иностранных граждан важны следующие документы:

• Федеральный закон № 152‑ФЗ «О персональных данных» (вступил в силу )․ Определяет понятие ПДН, порядок их сбора, хранения, обработки и передачу․
• Федеральный закон № 59‑ФЗ «О порядке выезда из Российской Федерации» – содержит требования к обработке данных мигрантов, в т․ч․ их биометрических․
• Приказ ФНС России от № ММ‑12‑2024 – расширил список категорий иностранных граждан, которым необходимо проходить обязательную регистрацию ПДН в налоговых органах․
• Постановление Правительства РФ № 1239 от «О порядке обработки и защиты персональных данных иностранных граждан» – уточняет требования к кросс‑бордерной передаче данных․
• Нормативные акты Роскомнадзора (приказы, рекомендации) – регламентируют технические и организационные меры защиты․

Кому и какие данные относятся

Согласно актуализированному перечню (приказ ФНС России от ), к обязательной обработке ПДН подлежат следующие категории иностранных граждан:

1. Работники иностранных компаний, привлекаемые к выполнению проектов в России․
2. Иностранные студенты и преподаватели, обучающиеся в аккредитованных вузах․
3. Беженцы и лица, получившие временную защиту․
4. Члены семей иностранных граждан, имеющих вид на жительство․
5. Иностранные инвесторы, владеющие долями в российских компаниях․
6. Туристы, находящиеся в России более 30 дней (для целей контроля миграционного режима)․

Для этих групп собираются следующие виды данных:

• ФИО, дата и место рождения;
• Гражданство, паспортные данные, виза, вид на жительство;
• Биометрические данные (отпечатки пальцев, фотография);
• Контактные сведения (адрес проживания, телефон, e‑mail);
• Трудовая и учебная информация (место работы/учебы, должность, уровень квалификации);
• Финансовые сведения (банковские счета, налоговые идентификационные номера)․

Обязанности операторов персональных данных

Оператор – юридическое или физическое лицо, которое самостоятельно или совместно с другими определяет цели и способы обработки ПДН․ Для иностранных граждан обязательства оператора усиливаются:

Регистрация в реестре операторов

Оператор обязан зарегистрировать свои действия по обработке ПДН иностранных граждан в реестре, веденном Роскомнадзором․ Регистрация включает:

• Перечень категорий субъектов данных;
• Список обрабатываемых персональных данных;
• Цели и правовые основания обработки․

Получение согласия

Согласие должно быть получено в письменной форме (или электронно‑подписанным документом) и содержать:

• Конкретные цели обработки;
• Сроки хранения данных;
• Информацию о передаче данных третьим лицам (в т․ч․ за пределы РФ)․

Обеспечение безопасности

Оператор обязан реализовать технические и организационные меры защиты, включая:

• Шифрование данных при передаче и хранении;
• Контроль доступа (многофакторная аутентификация);
• Регулярный аудит уязвимостей и тестирование на проникновение;
• Назначение ответственного за мероприятия по защите ПДН․

Уведомление о нарушениях

В случае утечки или иного инцидента, оператор обязан в течение 72 часов уведомить Роскомнадзор и субъектов данных․

Трансграничная передача данных

Трансграничные операции с ПДН иностранных граждан регулируются Постановлением Правительства РФ № 1239‑2025․ Ключевые положения:

• Передача данных за пределы РФ допускается только при наличии согласия субъекта данных и документально подтверждённого обеспечения адекватного уровня защиты в стране‑получателе․
• Для стран, не входящих в список «страны с адекватным уровнем защиты», требуется заключить договор о передаче персональных данных (DPA) с обязательством соблюдения российских требований․
• Все такие договоры подлежат регистрации в Роскомнадзоре․
• Исключения: передача в рамках международных договоров (например, соглашения о взаимной правовой помощи) и в случае обязательного предоставления данных судебным и правоохранительным органам․

Процедуры и практические рекомендации

Как подготовить базу данных к работе с ПДН иностранных граждан

1. Аудит текущих данных․ Выявите, какие сведения уже хранятся и являются ли они персональными данными иностранных граждан․
2. Классификация данных․ Разделите их по уровням конфиденциальности (общедоступные, ограниченного доступа, строго конфиденциальные)․
3. Обновление политики конфиденциальности․ Включите отдельный раздел, посвященный иностранным субъектам данных․
4. Внедрение механизмов получения и управления согласием․ Используйте электронные подписи и системы управления согласиями (Consent Management Platform)․
5. Техническая защита․ Настройте шифрование (AES‑256) и сегментацию сетей для изоляции данных иностранных граждан от остальных․
6. Обучение персонала․ Проведите тренинги по работе с ПДН иностранных граждан, включая правила доступа и реакцию на инциденты․

Как оформить согласие с учётом новых требований (2024‑2026)

• Сформулируйте цель обработки в простом и понятном языке (не более )․
• Укажите конкретные сроки хранения (например, «не более 5 лет после завершения проекта»)․
• Предоставьте ссылку на политику конфиденциальности и возможность отозвать согласие в любой момент․
• Обеспечьте возможность подписать документ электронно через квалифицированный сертификат (КЭП) или через сервисы ЕСИА․

<form action="/consent" method="post">
 <label>
 <input type="checkbox" name="agree" required>
 Я даю согласие на обработку моих персональных данных (ФИО, паспортные данные, биометрия) в целях
 выполнения трудового договора с ООО "Пример" и согласен(на) на их хранение в течение 5 лет․
 </label>
 <br>
 <button type="submit">Подтвердить</button>
</form>

Ответственность за нарушение

Нарушения требований закона о ПДН в отношении иностранных граждан могут повлечь:

• Штрафы для юридических лиц от 200 000 до 5 000 000 рублей (в зависимости от тяжести нарушения)․
• Административный арест деятельности оператора (в случае систематических нарушений)․
• Гражданско‑правовую ответственность – компенсацию ущерба субъекту данных (включая моральный вред)․
• Лишение лицензий и приостановка деятельности в сфере, где обработка ПДН является основной функцией․

Судебная практика (2024‑2026 гг․) показывает рост количества дел, связанных с передачей биометрических данных без согласия․ Поэтому особое внимание следует уделять пункту «Согласие на обработку биометрии»․

Часто задаваемые вопросы

Нужно ли регистрировать обработку ПДН иностранных граждан, если я являюсь микропредприятием?

Да․ Даже если количество субъектов данных невелико, закон требует регистрации всех операций, связанных с ПДН иностранных граждан, в реестре Роскомнадзора․

Можно ли использовать облачные сервисы зарубежных провайдеров для хранения ПДН?

Только при условии, что в стране‑провайдере обеспечивается адекватный уровень защиты, подтверждённый официальным решением Роскомнадзора, либо заключён договор о передаче данных с обязательством соблюдения российских требований․

Как быстро нужно реагировать на запрос субъекта данных о доступе к его ПДН?

Согласно статье 15‑1 ФЗ‑152, оператор обязан предоставить запрашиваемую информацию в течение 30 календарных дней․ При наличии обоснованных причин срок может быть продлён до 45 дней, но об этом необходимо уведомить субъекта․

Что делать, если произошла утечка биометрических данных?

Необходимо:

1. Срочно уведомить Роскомнадзор (в течение 72 часов)․
2. Сообщить пострадавшим субъектам данных о факте утечки․
3. Провести расследование, определить причины и принять меры по устранению уязвимости․
4. Документировать все действия и представить отчёт Роскомнадзору в течение 30 дней․

Какие новые категории иностранных граждан были добавлены в 2024 году?

Согласно приказу ФНС России от , к обязательной обработке ПДН теперь относятся:

• Иностранные специалисты, работающие по программам обмена (например, «Академический обмен»)․
• Беженцы, получившие статус временной защиты, и их представители․
• Иностранные инвесторы, участвующие в проектах национального приоритетного значения․

Обработка персональных данных иностранных граждан в России стала более регламентированной в последние годы․ Расширение списка категорий субъектов, ужесточение требований к согласию и кросс‑бордерной передаче данных требуют от компаний пересмотра внутренних политик, внедрения современных технических решений и постоянного мониторинга изменений законодательства․

Соблюдая перечисленные в статье рекомендации, организации смогут не только избежать штрафов, но и построить доверительные отношения с международными партнёрами и сотрудниками․

Если у вас возникли дополнительные вопросы, обратитесь к юридическому отделу или к специалисту по защите персональных данных․

Статья подготовлена на основе открытых источников, официальных нормативных актов РФ и практики применения законодательства по состоянию на 22 апреля 2026 года․