Персональные данные 2026: какие требования ждут бизнес и как избежать штрафов
Основные требования к защите персональных данных и контроль Роскомнадзора
Любая организация или ИП автоматически считаются операторами персональных данных, независимо от отрасли. Критические нарушения фиксируются всё чаще, особенно среди медицинских и образовательных учреждений — сюда относится строгий надзор и обязательное уведомление Роскомнадзора до начала обработки персональных данных.
Важно понимать, что под персональными данными закон подразумевает любую информацию, позволяющую прямо или косвенно идентифицировать физлицо: от ФИО и паспорта до e-mail и биометрии. Особое внимание уделяется правильному оформлению согласий, цели обработки, а также регулярному обновлению внутренней документации.
Типичные ошибки компаний и ответственность за нарушения
Самые частые нарушения:
- отсутствие чёткой документации и актуальных положений о работе с персональными данными,
- недостаточная осведомлённость работников,
- формальные журналы учёта,
- неразработанные схемы реагирования на инциденты.
Организация рискует административными штрафами до 1,5 млн руб. (за повторное нарушение). Помимо административной, возможна гражданско-правовая, уголовная и дисциплинарная ответственность для сотрудников.
Как правильно действовать руководителю: пошаговый план
Чтобы минимизировать риски:
- разработайте и поддерживайте полный комплект документов, регламентирующих обработку ПДн,
- проводите обучение сотрудников — не реже раза в год,
- внедрите регулярный внутренний аудит,
- определите процедуры реагирования на утечки и другие инциденты,
- храните согласия и базы персональных данных раздельно для разных целей,
- своевременно уведомляйте Роскомнадзор.
Помните: рабочая электронная почта пользователя тоже признаётся персональными данными.
Какие документы должны быть в организации
- Положения и политики по персональным данным (для организации и сайта)
- Согласия на обработку
- Журналы учёта и акты классификации информационных систем
- Приказы о назначении ответственных лиц и шаблоны уведомлений
Всего комплект рекомендаций может включать более 50 документов, особенно для медорганизаций.
Как составить согласие на обработку персональных данных
Согласие должно быть чётким, отдельным документом, включать:
- информацию о лице и операторе,
- цель и перечень собираемых данных,
- сроки действия и способы отзыва,
- подпись субъекта ПДн.
Не смешивайте базы ПДн для разных задач, не собирайте лишнюю информацию и вовремя обновляйте сведения.