Работа с персональными данными — важная часть современного бизнеса. Регистрации могут понадобиться вам при оформлении заказов, сборе обратной связи, заключении договоров. Все уже знают, что данные клиентов важно строго охранять, ведь распространение не только ведёт к потери репутации, но и карается законом.
Правила получения и использования согласия на обработку персональных данных в 2025 году стали ещё жёстче. Изменения затрагивают саму форму документа, порядок хранения, сроки, возможность отзыва, требования к тому, как именно компания должна уведомлять пользователя. Ошибки теперь могут привести не просто к штрафу, а к блокировке сайта или запрету на обработку данных.
Разберёмся, что именно изменилось в сфере защиты персональных данных в 2025 году.
Особенности работы с персональными данными
Под действие закона о защите персональных данных (ПД) попадает любая информация, позволяющая идентифицировать субъекта.
Даже если человек сам отправил эти сведения через форму на сайте, организация не имеет права использовать их без законных оснований.
Основной документ, регулирующий обращение с такими данными, — Федеральный закон № 152-ФЗ. Работать с ПД можно только при наличии как минимум одного из оснований, прописанных в законе. Чаще всего это разрешение, полученное от самого пользователя. А если оно оформлено неправильно, все действия с информацией считаются незаконными — даже если клиент был не против.
Каждое действие должно быть обоснованным, задокументированным, технически защищённым. Бизнес обязан не просто иметь согласие, но и уметь доказать, что оно было получено корректно.
При проверке Роскомнадзор может запросить не только текст документа, но и дату, способ получения, подтверждение информированности пользователя. Если процесс не соответствует требованиям — это нарушение.
В 2025 году в 152-ФЗ внесены важные изменения. Акцент сделан на прозрачности. Пользователь должен понимать, кому, зачем, на какой срок он передаёт свои данные, а компания — уметь подтвердить это на практике. Никакие формальные отсылки на «публичную оферту» или «автоматическую активацию при регистрации» теперь не работают.
Новая форма согласия на обработку данных
С 1 марта 2025 года действует обновлённая форма, утверждённая Роскомнадзором. Её основное отличие — в чёткой структуре и обязательных элементах, которые теперь не допускают вольной трактовки. Это означает, что шаблоны, которые раньше массово использовались в формах обратной связи, больше не подходят.
Подпись тоже играет роль: для офлайн-документов — обычная письменная, для онлайн — подтверждение через чекбокс с возможностью доказать, что пользователь действительно ознакомился с текстом (для этого нужно зафиксировать лог времени, IP, ID пользователя).
Форма должна быть отдельным документом или визуально обособленным блоком на сайте, который нельзя пропустить при отправке данных. Скрытые текста, автозаполняемые галочки и отсутствие возможности ознакомиться с текстом — уже нарушение.
Если разрешение оформлено с ошибками или не по утверждённой форме, оно считается юридически недействительным. А это означает, что все действия с данными — от звонка клиенту до отправки ему письма — будут признаны незаконными.
Увеличение штрафов
Санкции за нарушения в сфере обработки персональных данных в 2025 году стали ощутимо жёстче. Федеральный закон № 152-ФЗ был дополнен нормами, которые усиливают административную ответственность за ошибки, халатность и формальный подход к работе с ПД.
Наиболее значимое изменение — существенное увеличение размеров штрафов.
Штраф для юридического лица может составлять:
- от 60 000 до 150 000 рублей — за первое нарушение;
- от 300 000 до 500 000 рублей — за повторное нарушение в течение года;
- до 1 млн рублей — если нарушение привело к незаконной передаче или утечке данных.
Для индивидуальных предпринимателей штрафы составляют от 10 000 до 100 000 рублей.
Помимо финансовых последствий, Роскомнадзор может применить другие меры: от временного ограничения деятельности до блокировки доступа к ресурсам, на которых собираются данные.
Теперь проверка соблюдения требований не обязательно инициируется жалобой. Роскомнадзор имеет право проводить плановые и внеплановые проверки, а также применять автоматизированные системы мониторинга сайтов. Даже отсутствие текста политики по работе с ПД может стать основанием для административного дела.
Ответственность может наступить не только из-за некорректного сбора данных, но и в течение всего цикла их обработки: хранения, передачи, использования и уничтожения. Если разрешение не охватывает конкретную операцию (например, передачу третьим лицам), она автоматически становится нарушением.
Запрет на включение согласия в другие документы
С 2025 согласие на обработку персональных данных должно быть отдельным документом — это теперь обязательное требование закона. Нельзя включать его по умолчанию в пользовательские соглашения, оферты, анкеты или договоры. Даже если клиент подписывает сторонний документ, содержащий фразу «согласен на обработку данных», согласие считается недействительным.
Теперь согласие должно быть выделено: отдельным документом, чекбоксом с полным текстом или визуально обособленным блоком на сайте.
При этом пользователь должен иметь возможность заранее ознакомиться с условиями и осознано подтвердить согласие. Автоматически проставленные галочки или отсутствие доступа к тексту не допускаются.
Как подготовиться к работе с персональными данными
Даже малый бизнес должен быть готов показать, на каком основании он получает данные, где и как их хранит и кто несёт ответственность за обработку.
Какие документы собрать
Минимальный комплект документов включает:
- актуальную форму согласия (по новым требованиям);
- политику обработки персональных данных — размещается на сайте и содержит информацию об операторе, целях, правах пользователя;
- внутренний приказ о назначении ответственного;
- реестр обрабатываемых данных с указанием целей и сроков хранения;
- регламент по хранению, защите и удалению информации.
Как хранить персональные данные
Данные хранятся только столько, сколько нужно для обозначенной заранее цели — не дольше. Файлы с анкетами, таблицами или CRM должны быть защищены паролем и доступом только для уполномоченных сотрудников. Онлайн-системы должны иметь двухфакторную аутентификацию. Удаление происходит по запросу пользователя или по истечении срока, указанного в согласии.
Хранить согласия нужно минимум три года, а при спорах — до момента их разрешения.
Компании, которые продолжают работать по старинке, в 2025 году рискуют столкнуться со штрафами и блокировками. Чтобы избежать проблем, достаточно один раз навести порядок: обновить документы, внедрить прозрачные процессы и строго следовать требованиям.
Фото на обложке: sumitbiswas35244 / Freepik.
