В 2026 году Россия вступила в эпоху жёсткого регулирования обработки персональных данных (ПДн). С 1 июля 2025 г. в силу вступили масштабные изменения закона № 152-ФЗ «О персональных данных», а с марта 2026 г. Роскомнадзор начал серию внеплановых проверок. Компании, в т.ч. использующие искусственный интеллект (ИИ) и облачные сервисы SaaS, должны привести свои процессы в соответствие до конца года, иначе рискуют блокировкой и штрафами до 10 млн ₽.

Ключевые изменения 2025–2026 годов

Расширенный перечень операторов

• Больше нет «микро-операторов» — если вы работаете онлайн (сайт, CRM, e-mail-рассылки), вы обязаны встать на учёт.
• Онлайн-школы, маркетплейсы и SaaS-провайдеры теперь официально признаются операторами.
• Даже чат-боты и рекомендательные движки ИИ, обрабатывающие биометрию или поведенческие данные, должны пройти государственную оценку.

Ужесточённые технические требования

1. Категорирование информационных систем (КИИ). С 2026 г. действует трёхуровневая шкала:
   1-й уровень — критически важные, 2-й — значимые, 3-й — прочие.
2. Обязательное российское ПО и дата-центры. Иностранный SaaS допустим только через зеркало в РФ с локализацией ПДн.
3. Шифрование по ГОСТ и двухфакторная аутентификация для доступа к базам.

Новые документы и должности

К началу 2026 г. каждая компания обязана иметь:

• Политика обработки персональных данных (обновлённая версия от ).
• Политика конфиденциальности — отдельный документ для пользователей.
• Локальный акт о категориях и целях обработки.
• Должность ответственного по защите ПДн (не обязательно DPO, но с аттестатом ФСТЭК).

Как выглядит «правильная» система защиты в 2026 году

А. Организационные меры

Б. Технические меры

• Физический дата-центр класса Tier III в России (аттестат ФСТЭК № 4013).
• VPN-туннель до ФГУП «Тезис» для удалённого мониторинга РКН.
• Контейнеризация ИИ-моделей в изолированной среде K8s с политиками Gatekeeper.
• Лог-форматы CEF/LEEF и хранение 180 дней в WORM-хранилище.

Пошаговый чек-лист внедрения к концу 2026 года

Шаг 1. Проведите аудит: скачайте шаблон РКН и заполните Pass/Fail по 72 пунктам.

Шаг 2. Откройте личный кабинет в Госуслугах для бизнеса → раздел «ПДн 2026» → нажмите «Сформировать декларацию».

Шаг 3. Заключите договор с оператором связи на резервный канал до ФГУП «Тезис» (требует письмо-гарантия Минцифры).

Шаг 4. Установите АСУ ТП «Антолог» или аналогичное ПО для автоматической отчётности в РКН.

Шаг 5. Пройдите внешний аудит аккредитованной лабораторией и получите аттестат соответствия (срок: 30 дней).

Шаг 6. Публикуйте обновлённые Политику обработки ПДн и Политику конфиденциальности на главной странице сайта в верхнем меню.

Что грозит за нарушения в 2026 году

• Блокировка сайта по требованию РКН в течение 24 часов;
• Штрафы: до 6 млн ₽ на юр. лицо и до 500 тыс. ₽ на ИП.
• Уголовная ответственность ст. 137 УК РФ при утечке свыше 5 тыс. записей.
• Исключение из реестра операторов и запрет на онлайн-продажи.

Кейсы из практики

Кейс 1. SaaS-платформа маркетинга

Компания Sendsay, сооснователь Ассоциации по защите ПДн, в 2025 г. полностью локализовала инфраструктуру: перенесла PostgreSQL в ЦОД «ДатаПро», внедрила двухфакторку и обучила 100 % сотрудников. В итоге прошла проверку РКН за 12 часов без замечаний.

Кейс 2. Ритейлер с ИИ-рекомендациями

Интернет-магазин «Спикател» получил аттестат ФСТЭК № 4013 для «Защищённого облака» и запустил чат-бота с локализованной LLM. Используя контейнеризацию и шлюз с ГОСТ-шифрованием, компания не только соответствует 152-ФЗ, но и вышла на экспорт в ЕАЭС.

Тренды и прогнозы до 2027 года

1. Единый цифровой профиль гражданина — вводиться в 2027 г., требует ещё более жёсткой категоризации.
2. Международный обмен данными возможен только через «белые списки» стран, утверждённые Госдумой (законопроект внесён 25 июня 2026 г.).
3. AI Act ЕС и российские правила будут синхронизироваться, чтобы избежать двойной сертификации.

2026 год стал точкой невозврата для российского бизнеса. Те, кто уже внедрил новую систему защиты ПДн, получают конкурентное преимущество, доступ к госзакупкам и экспорт в ЕАЭС. Те, кто откладывает, — рискуют потерять клиентов и репутацию.

Главное правило 2026: «Защита персональных данных — это не проект, а культура компании». Начните сегодня: скачайте чек-лист РКН, обучите сотрудников и подпишите договор с локальным дата-центром.