Дата актуализации: 22 апреля 2026 г․

Оглавление

1. Что изменилось с 1 сентября 2025 года
2. Новые правила трансграничной передачи (2026)
3. Ужесточение ответственности и штрафы
4. Чек-лист для бизнеса «Не оштрафуют ли нас завтра?»
5. Полезные ссылки

Ещё два года назад многие российские компании относились к 152-ФЗ «О персональных данных» как к формальности․ Однако уже в 2026 году регуляторы проводят выездные и дистанционные проверки еженедельно, а суммы штрафов за утечки перевалили за десятки миллионов рублей․

• По данным исследования К2Тех, только 30 % компаний полностью соответствуют требованиям закона․
• С 1 сентября 2025 года обновлён порядок получения согласия на обработку ПД․
• С марта 2026 года действует новая статья 152-ФЗ, посвящённая трансграничной передаче․

Ниже — систематизированный разбор всех изменений и точный алгоритм действий для бизнеса․

Что изменилось с 1 сентября 2025 года

Форма и содержание согласия

Теперь согласие обязано содержать:

• ФИО, адрес и номер телефона субъекта;
• конкретные цели обработки;
• перечень операций (сбор, запись, систематизация, хранение, передача и др․);
• срок действия согласия;
• способ отзыва (должен быть «простым и бесплатным»)․

Подтверждение факта получения согласия

Оператор обязан хранить:

1. Видеозапись или аудиозапись устного согласия не менее 5 лет․
2. Скан-копию письменного согласия․
3. Электронную метку (hash) подтверждения в личном кабинете пользователя․

Исключения

Новые правила не касаются обработки ПД:

• в государственных органах для исполнения законов;
• в журналистской деятельности;
• в целях национальной безопасности․

Новые правила трансграничной передачи (вступили в силу в 2026 году)

Ключевая новелла: Госдума во втором чтении (декабрь 2025 г․) приняла законопроект, обязывающий операторов:

• заранее (не позднее чем за 10 рабочих дней) уведомлять Роскомнадзор о намерении передавать ПД за рубеж;
• обеспечивать эквивалентный уровень защиты в получающей стране (по списку Минцифры);
• при несоответствии — заключать стандартные договорные оговорки (Standard Contractual Clauses, SCC) по шаблону Роскомнадзора․

Ужесточение ответственности и штрафы

Административная ответственность (КоАП РФ, ст․ 13․14)

• утечка до 100 записей — от 100 000 до 300 000 ₽;
• от 100 до 10 000 записей, от 300 000 до 1 000 000 ₽;
• свыше 10 000 записей — от 1 000 000 до 5 000 000 ₽ или 1 % годовой выручки․

Уголовная ответственность (ст․ 274 УК РФ, новая редакция)

За утечку особо чувствительных данных (биометрия, данные о здоровье) при отсутствии должных мер:

• штраф до 2 000 000 ₽;
• лишение свободы до 4 лет;
• запрет занимать определённые должности до 3 лет․

Примеры 2026 года

Март 2026: крупный маркетплейс оштрафован на 42 млн ₽ за утечку 1,3 млн email-адресов покупателей․

Февраль 2026: банк получил штраф 18 млн ₽ за несанкционированный доступ к базе клиентов через API․

Чек-лист для бизнеса «Не оштрафуют ли нас завтра?»

1. Аудит․ Проведите внешний аудит ПД — не реже 1 раза в год (желательно до июня 2026)․
2. Документы․ Обновите:
   • политику конфиденциальности;
   • реестр операций по ПД;
   • шаблоны согласий (устных и письменных)․
3. Технические меры․
   • Шифрование баз (AES-256)․
   • Маскирование тестовых сред․
   • Мониторинг утечек через DLP-систему․
4. Обучение․ Проведите обязательный e-learning для сотрудников до 1 июля 2026․
5. Резервное хранилище․ Разместите в РФ (облако или дата-центр, сертифицированный ФСТЭК/ФСБ)․
6. Страхование․ Оформите страховой полис на риски кибер-ответственности (лимит ≥ 50 млн ₽)․

Совет юриста: если компания планирует трансграничную передачу, подайте уведомление в Роскомнадзор не позднее 15 мая 2026 — первые штрафы за просрочку уже выписаны․

Полезные ссылки

• Официальный сайт Роскомнадзора — формы уведомлений, разъяснения, реестры․
• Минцифры РФ — список «безопасных» стран и шаблоны SCC․
• Исследование К2Тех 2026 — статистика по секторам․

Данная статья подготовлена по материалам ТАСС, «Интерфакс», официальных документов Госдумы и Роскомнадзора и актуальна на 22 апреля 2026 года․