Электронная почта остаётся самым популярным, но при этом самым «проблемным» каналом передачи персональных данных (ПДн) в российских компаниях. Казалось бы, прикрепил файл, нажал «Отправить» — и всё. Однако с 2025 года любая пересылка ПДн по незащищённым каналам связи может привести к административной ответственности вплоть до 6 000 000 ₽. Ниже — подробное руководство, как не нарушить 152-ФЗ и защитить себя и свою организацию.

Почему электронная почта чаще всего становится «ловушкой»

152-ФЗ не запрещает передавать ПДн по e-mail «в принципе», но выдвигает жёсткие технические и процедурные требования. Главные риски:

• Отсутствие end-to-end шифрования. Стандартные SMTP-соединения передают письма в открытом виде.
• Нельзя гарантировать целостность. Вложения легко подменить или перехватить на маршруте.
• Ошибка адресата. Достаточно одной опечатки, чтобы конфиденциальные данные ушли «в никуда».
• Нет технических средств контроля доступа. На стороне получателя письмо может открыть кто угодно.

Какие данные нельзя просто так «скинуть» на почту

Согласно п. 10 ст. 3 152-ФЗ персональные данные — это любая информация, позволяющая прямо или косвенно идентифицировать физлицо. Это значит:

• достаточно ФИО + номер телефона или ФИО + e-mail, чтобы набор стал ПДн;
• даже корпоративный e-mail (например, a.petrov@company.ru) считается ПДн, если он привязан к конкретному сотруднику;
• один логин без контекста не считается ПДн, но стоит добавить ещё одну идентифицирующую деталь — и вы уже обрабатываете ПДн.

Как закон «видит» передачу по e-mail

По мнению судов и Роскомнадзора:

1. Обычная передача письма по SMTP — это обработка в ИСПДн.
2. Если канал не защищён (без TLS-шифрования или S/MIME-подписи) — это нарушение ст. 19 152-ФЗ.
3. Отсутствие согласия субъекта или неоформленное согласие — самостоятельное нарушение ст. 9 152-ФЗ.

Алгоритм «безопасной» отправки ПДн по почте

Шаг 1. Проверьте, действительно ли нужна почта

Если передача регулярная, лучше использовать защищённые EDI-сети (СЭД, СКЗИ «Континент», «СТРИЖ» и др.). Почта допустима только для разовых или крайне редких случаев.

Шаг 2. Получите согласие

Форма согласия должна содержать:

• перечень передаваемых ПДн (ФИО, e-mail, номер телефона и т. д.);
• цель передачи;
• категорию получателей;
• условия трансграничной передачи (если сервер за пределами РФ);
• способ защиты — «шифрование S/MIME или аналог»;

Шаг 3. Технически защитите канал

Шаг 4. Оформьте служебную записку/приказ

Укажите:

• кто именно инициирует передачу;
• наименование и адрес получателя;
• дату и время отправки;
• контрольную сумму файлов (SHA-256) до и после передачи.

Шаг 5. Зарегистрируйте факт передачи в журнале

Журнал должен быть в электронном или бумажном виде и храниться не менее 3-х лет.

Трансграничная передача: особые правила

Если почтовый сервер расположен за пределами РФ:

• в 2026 году действует законопроект № 951518-8, упрощающий процедуру, но требующий предварительного уведомления Роскомнадзора;
• при отсутствии уведомления — штраф до 6 млн ₽ для юрлиц.

Практические советы ИТ-отделу и юристам

ИТ:

• включите принудительное TLS на всём маршруте;
• настройте DLP-систему, чтобы блокировать отправку файлов с реестрами ПДн внешним адресатам без шифрования;
• используйте корпоративный шлюз безопасности (CASB) для контроля облачных почтовых сервисов;

Юридический департамент:

• обновите все типовые договоры — добавьте пункт о «защищённом канале»;
• раз в квартал проводите аудит журналов передачи ПДн по e-mail;
• разработайте регламент «крайних случаев» (разовая передача через почту).

Что грозит за нарушение

1. Не используйте обычную почту для регулярных передач ПДн.
2. Одно письмо — одно согласие субъекта.
3. Всегда шифруйте письмо S/MIME, PGP или, как минимум, ZIP с паролем.
4. Согласие должно отдельно упоминать канал передачи и метод криптозащиты.
5. Ведите журнал передач и храните его 3 года.
6. При трансграничной передаче, уведомляйте Роскомнадзор.

Соблюдая эти шесть пунктов, вы минимизируете риски штрафов и reputational-издержек, а также продемонстрируете регуляторам готовность к жёстким требованиям 152-ФЗ в 2026 году.