Разбираем новые требования законодательства и реальные риски для руководителей
Тема персональных данных перестала быть чисто юридической формальностью. С мая 2025 года в России действуют существенно ужесточенные санкции за нарушения в этой области. Административные штрафы выросли кратно и теперь исчисляются миллионами рублей. Добавилась новая статья в Уголовном кодексе – 272.1. Это уже не предстоящие изменения, это действующая реальность.
В РТИ мы регулярно сталкиваемся с тем, что бизнес узнает об этих изменениях не заранее, а тогда, когда уже поздно готовиться спокойно. В этом материале о том, что реально изменилось, кто несет ответственность и что конкретно нужно сделать.
Почему это вообще происходит
Цифра, которая объясняет многое: только за 2024 год мошенники похитили у граждан России порядка 27 млрд рублей. Причем значительная часть этих денег – кредитные средства: люди брали займы и переводили их злоумышленникам.
Почему мошенники работают так эффективно? Потому что у них есть данные. Когда злоумышленник знает не просто ваш номер телефона, а ваше имя, имена детей, место работы, профессию, религиозную или национальную принадлежность, его возможности для манипуляции многократно возрастают. Он строит схему персонально под вас.
Источник этих данных – утечки. А утечки происходят потому, что компании плохо защищают то, что им доверяют клиенты и сотрудники.
Государство отреагировало логично: если бизнес не хочет сам заниматься защитой персональных данных, его заставят через штрафы и уголовную ответственность.
Что изменилось с мая 2025 года
Административные штрафы за нарушения в области персональных данных выросли кратно. Речь идет уже не о десятках тысяч рублей: суммы превышают 10 млн рублей и выше в зависимости от характера нарушения.
Появилась новая статья Уголовного кодекса 272.1: незаконное использование, передача, сбор или хранение компьютерной информации, содержащей персональные данные, а также создание ресурсов для их незаконного хранения и распространения. Статья отнесена к категории тяжких преступлений.
Судебная практика по ней только формируется, первые случаи применения единичны. Но сам факт появления уголовной нормы принципиально меняет картину: теперь за халатность в области персональных данных можно оказаться не просто со штрафом, а с уголовным делом.
Кто отвечает
Короткий ответ: генеральный директор.
В компании всегда есть лицо, которое принимает хозяйственные решения и несет за них ответственность. Именно к нему будут обращены вопросы: как была организована работа с персональными данными, что было сделано для их защиты, кто отвечал за это направление.
Это не гипотетический сценарий, это стандартная практика. И именно поэтому вопрос защиты персональных данных – не задача для юриста или ИТ-специалиста в отрыве от руководства. Это вопрос личной ответственности первого лица.
Два сценария и принципиальная разница между ними
Представьте две компании, в обеих произошла утечка данных.
Компания А не занималась этим вопросом системно: данные хранились в Excel-таблицах и старых журналах, специального программного обеспечения нет, никто из сотрудников не знал, что делать при инциденте, ответственного за обработку персональных данных нет.
Компания Б выстроила работу: установила современное программное обеспечение для защиты данных, провела обучение персонала, разработала должностные инструкции и регламенты, назначила ответственное лицо, зафиксировала порядок действий при утечке и своевременно сообщила о произошедшем.
В обоих случаях произошла утечка. Но правовые последствия принципиально разные.
Для компании Б есть что сказать: мы делали все возможное, у нас есть доказательства этого. Это рабочая позиция в суде. Для компании А нечем защищаться. Остается только признавать вину и просить о смягчении наказания.
Подготовка не гарантирует, что утечки не будет. Но она принципиально меняет ситуацию, если что-то все же произойдет.
Какие данные требуют особого внимания
Не все персональные данные одинаковы с точки зрения закона. Особый режим установлен для нескольких категорий.
Биометрические данные: отпечатки пальцев, изображение лица, голос.
Специальные категории: расовая и национальная принадлежность, политические взгляды, религиозные убеждения, состояние здоровья.
Данные детей: требования к их обработке существенно строже.
Трансграничная передача: если данные уходят за рубеж, нужно соблюдать отдельные правила. Россия ведет перечень государств с достаточным уровнем защиты (около 89 стран). Для остальных предусмотрен особый порядок.
Отдельно важный момент: хранение данных должно осуществляться на российских серверах. Использование зарубежных облачных сервисов для хранения персональных данных граждан РФ является нарушением закона.
Что конкретно нужно сделать
Подготовка к работе в новых условиях – это одновременно правовая и техническая задача. Разделить их не получится: одно без другого не работает.
Правовая часть включает актуализацию реестра процессов обработки персональных данных, назначение ответственного лица с оформлением всех необходимых документов, проверку и приведение в порядок согласий на обработку персональных данных, разработку или обновление Положения об обработке персональных данных, подготовку порядка действий при утечке и ознакомление сотрудников с документами под подпись.
Техническая часть включает установку актуального программного обеспечения для защиты данных, обеспечение хранения данных на российских серверах, настройку контроля доступа к персональным данным и проверку резервного копирования с шифрованием.
Обучение: сотрудники должны понимать, с какими данными работают и как их защищать. Руководитель должен понимать свою ответственность и текущие требования закона.
Может ли компания сделать это самостоятельно
Теоретически да. На практике это сложно по нескольким причинам.
Законодательство в этой области меняется быстро: выходят новые приказы Роскомнадзора, обновляются методические рекомендации, появляются новые составы нарушений. Следить за этим в режиме основной работы трудоемко.
Кроме того, задача технико-правовая: нужны компетенции сразу в нескольких областях. Штатный юрист может написать должностную инструкцию, но, скорее всего, не оценит корректность технической защиты. А ИТ-специалист – наоборот.
В РТИ мы работаем с этим как с комплексной задачей: оцениваем реальное состояние инфраструктуры, выявляем разрыв между документами и тем, что происходит на самом деле, и помогаем привести все в соответствие – и технически, и юридически.
Что в итоге
Персональные данные перестали быть бумажным вопросом. Это зона реальной уголовной и финансовой ответственности, причем персонально для руководителя.
Закрывать на это глаза больше нельзя. Не потому что так говорит юрист, а потому что реалии уже изменились. Закон работает. Штрафы назначаются. Уголовные дела возбуждаются.
Компания, которая сейчас выстроит работу с персональными данными, окажется в принципиально другой позиции, если что-то пойдет не так. А компания, которая продолжает откладывать, берет на себя риск, который с каждым месяцем становится все более реальным.
