- Главная
- Каталог баз компаний
- База продавцов на OZON
- Рестораны и кафе
- Медицина и стоматология
- Красота и здоровье
- Строительство и ремонт
- Промышленность
- Магазины и торговля
- Авто и сервис
- Спорт
- Домашние животные
- Сельское хозяйство
- Продукты и напитки
- Образование и обучение
- Транспорт и перевозки
- Туризм и отдых
- Развлечения
- Финансы и страхование
- Услуги и сервис
- Благотворительность
- Бытовые услуги
- Дизайн и творчество
- Дом и ЖКХ
- Наука
- Организации
- Охрана, безопасность и юридические услуги
- Полиграфия, сувенирная продукция
- Праздники и торжества
- Религия и культура
- Ремесленное производство
- Ремонт техники и оборудования
- Связь, интернет и коммуникации
- Техника и оборудование
- Услуги для бизнеса
- Услуги для населения
- Экология, вторсырье
- Государство и власть
- Блог
Персональные данные и ФЗ-152: полное руководство для IT-стартапов в России
Краткое саммари
Эра формального отношения к закону о персональных данных в России завершена. Если раньше стартапы могли годами работать с политикой конфиденциальности, скопированной у конкурентов, и не бояться проверок, то 2024 и 2025 годы стали переломными. Введение оборотных штрафов, достигающих 3% от годовой выручки (до 500 миллионов рублей) 1, ужесточение контроля за трансграничной передачей данных и требование локализации баз внутри страны создали новую реальность. Теперь ошибка в архитектуре базы данных или неправильно оформленный чекбокс на лендинге может стоить бизнесу жизни. В этом отчете мы не просто цитируем законы, а разбираем технические и организационные решения, которые позволят вашему проекту развиваться, оставаясь в правовом поле. Мы рассмотрим всё: от настройки серверов до формулировок в user agreement, от борьбы со спамом до алгоритмов действий при утечке. Это мануал для фаундеров, CTO и юристов, которые хотят спать спокойно.
1. Новая цифровая реальность и законодательный ландшафт 2025 года
Российский рынок информационных технологий столкнулся с тектоническим сдвигом в регулировании. Долгое время Федеральный закон № 152-ФЗ «О персональных данных» воспринимался индустрией как «спящий» институт. Штрафы были незначительными — десятки тысяч рублей, что для крупного и даже среднего бизнеса являлось допустимыми операционными расходами. Однако цифровая трансформация и, как следствие, лавинообразный рост утечек данных заставили законодателя кардинально пересмотреть подход.
В 2025 году мы наблюдаем кульминацию законодательных реформ. Государство больше не просит, оно требует прозрачности. Ключевой тренд — переход от наказания за факт нарушения к наказанию за масштаб последствий. Введение оборотных штрафов означает, что санкция теперь масштабируется вместе с успехом вашего бизнеса. Чем больше вы зарабатываете, тем дороже вам обойдется пренебрежение безопасностью данных.
Понимание контекста критически важно для любого IT-предпринимателя. Персональные данные (ПД) стали «токсичным» активом. С одной стороны, они необходимы для обучения нейросетей, таргетинга рекламы и персонализации сервисов. С другой — каждый байт информации о пользователе увеличивает поверхность атаки и юридические риски.
Изменения коснулись не только штрафов. Роскомнадзор (РКН) получил новые инструменты мониторинга. Автоматизированные системы сканируют интернет-пространство, выявляя сайты с формами сбора данных, но отсутствующими в реестре операторов. Понятие «оператор персональных данных» расширено настолько, что найти IT-стартап, который им не является, практически невозможно. Даже использование сторонних метрик, таких как Яндекс.Метрика или Google Analytics, автоматически переводит владельца сайта в статус оператора, так как происходит сбор технических идентификаторов пользователей.2
2. Анатомия персональных данных: что мы защищаем
Первая и самая фундаментальная ошибка стартапов — неправильная классификация данных. Фаундеры часто полагают, что если они не собирают паспортные данные, то закон их не касается. Это опасное заблуждение. Технически и юридически понятие «персональные данные» гораздо шире бытового понимания.
Технический взгляд на идентификацию
Закон определяет персональные данные как любую информацию, относящуюся к прямо или косвенно определенному или определяемому физическому лицу. Ключевое слово здесь — «определяемому». В мире Big Data практически любой набор данных может стать персональным, если у вас есть ключ к деанонимизации.
Для стартапа, разрабатывающего мобильное приложение или SaaS-платформу, это означает, что даже лог-файлы сервера могут содержать персональные данные. Если вы храните историю действий пользователя, привязанную к его User ID, вы обрабатываете ПД.
Категории данных и уровни риска
Закон делит данные на категории, и от этого зависят требования к их защите:
Ловушка биометрии в 2025 году
С биометрией ситуация ужесточилась максимально. Штрафы за нарушение правил работы с ней для юридических лиц составляют от 10 до 15 миллионов рублей, а за утечку — до 20 миллионов.3
Важно различать: фотография в профиле пользователя социальной сети — это не всегда биометрия. Она становится биометрией только тогда, когда используется для идентификации личности (например, проход по FaceID или верификация водителя такси по селфи). Если фото просто висит в профиле «для красоты» и модерации контента, оно может трактоваться как «иные» данные. Однако грань очень тонка. Если ваш стартап использует технологии компьютерного зрения для анализа лиц пользователей, вы входите в зону высокого риска. Рекомендуется избегать обработки биометрии без крайней необходимости или использовать государственные Единые биометрические системы (ЕБС), становясь их аккредитованным агентом, что для малого стартапа сложно и дорого.
3. Статус оператора: вход в систему
Раньше существовал обширный перечень исключений, позволявших не подавать уведомление в Роскомнадзор. Можно было не регистрироваться, если данные обрабатывались только в рамках трудового договора или если они были общедоступными. В 2025 году эти «лазейки» практически закрыты.
Тотальная регистрация
Теперь обязанность уведомить Роскомнадзор о начале обработки персональных данных возникает у любого лица, собирающего данные, за исключением редчайших случаев (например, обработка данных исключительно в личных семейных целях или обработка данных без средств автоматизации, то есть только на бумаге). Для IT-компании обработка без средств автоматизации — это нонсенс, поэтому подавать уведомление нужно всем.5
Это нужно сделать до начала обработки. То есть, прежде чем вы опубликуете сайт с формой «Подпишись на новости», вы должны быть в реестре.
Процедура уведомления: пошаговый гайд
Процесс подачи уведомления стал полностью цифровым, но от этого не менее бюрократическим. Уведомление подается через портал Роскомнадзора (pd.rkn.gov.ru).
После отправки формы у регулятора есть 30 дней на внесение компании в реестр.2 Отсутствие в реестре при фактической обработке данных является административным правонарушением. Хотя штраф за неподачу уведомления пока кажется небольшим (до 10-15 тыс. рублей для юрлиц после 30.05.2025 5), сам факт отсутствия в реестре является «красным флагом» для автоматических систем мониторинга РКН. Это повышает вероятность внеплановой проверки.
4. Архитектура согласия: юридический ux
Взаимодействие пользователя с вашим продуктом начинается с согласия. Это не просто галочка, это юридический факт, подтверждающий правомерность ваших действий.
Смерть предустановленных галочек
Золотое правило 2025 года: молчание не является согласием. Пользователь должен совершить активное действие, чтобы подтвердить свою волю. Практика предустановленных галочек (когда чекбокс уже активирован, и пользователю нужно его снять, если он не согласен) признана незаконной. Суды и РКН трактуют это как навязывание услуг и отсутствие добровольности.
Чекбокс должен быть пустым. Пользователь должен сам кликнуть на него. Рядом с чекбоксом должен быть понятный текст: «Я даю согласие на обработку персональных данных на условиях [Политики конфиденциальности]». Слово «Политика» должно быть активной ссылкой на текст документа.
Гранулярность согласий
Нельзя «смешивать» разные цели обработки в одном согласии. Классическая ошибка — один чекбокс «Согласен с правилами сервиса, обработкой данных и получением рекламы». Это нарушение.
В 2025 году требуется разделение потоков данных:
Double Opt-In как защита от штрафов
Чтобы доказать, что email оставил именно владелец ящика, а не бот или злоумышленник, используйте механизм Double Opt-In (двойное подтверждение).
Это создает цифровой след (лог-файл с IP-адресом и временем подтверждения), который является «железобетонным» доказательством в споре с ФАС или РКН.8
5. Локализация данных: серверный суверенитет
Требование локализации (хранения данных россиян на территории РФ) действует уже несколько лет, но контроль за его исполнением усиливается. С 1 июля 2025 года вводятся новые поправки, фактически запрещающие прямой сбор данных на зарубежные серверы.3
Техническая реализация требования
Закон требует, чтобы первичный сбор, запись, систематизация, накопление и хранение происходили в базах данных на территории РФ.
Это значит, что архитектура вашего приложения должна выглядеть так:
Использование зарубежных SaaS-решений (Salesforce, HubSpot, Mailchimp, Google Forms) напрямую создает риск. Если форма на сайте отправляет данные сразу в облако Amazon (AWS) в Франкфурте, вы нарушаете закон о локализации. Штрафы за это нарушение огромны: до 6 млн рублей за первое нарушение и до 18 млн рублей за повторное.
Решение для стартапов
Если вам жизненно необходимы зарубежные инструменты, используйте схему проксирования:
6. Трансграничная передача данных: барьеры и шлюзы
Трансграничная передача — это передача данных через государственную границу. В облачной эре это происходит постоянно: письмо ушло через Gmail (серверы в США), задача создана в Jira (серверы в Ирландии или США).
Новые правила игры
С 2023-2024 годов введен уведомительный (а по факту разрешительный) порядок трансграничной передачи.2 Роскомнадзор делит страны на две группы:
Процедура уведомления
Вы обязаны подать уведомление о намерении осуществлять трансграничную передачу до начала такой передачи.
Это создает колоссальную проблему для стартапов, использующих американский стек технологий. Чтобы легально передавать данные в США, нужно обосновать цель, правовые основания и гарантии защиты данных со стороны американского партнера.
7. Внутренняя кухня: документы, которые спасут директора
Закон требует наличия в организации «документов, определяющих политику в отношении обработки персональных данных». Это не одна бумажка на сайте. Это комплект локальных нормативных актов (ЛНА), который должен лежать в офисе с подписями сотрудников.
Чек-лист документации 2025:
8. Техническая защита: требования ФСТЭК и ФСБ
Юридическая защита — это полдела. Закон требует применения «технических и организационных мер». Основной регулятор здесь — ФСТЭК (Федеральная служба по техническому и экспортному контролю).
Уровни защищенности (УЗ)
Все информационные системы персональных данных (ИСПДн) классифицируются по уровням защищенности: от УЗ-4 (минимальный) до УЗ-1 (максимальный). Уровень зависит от типа данных (специальные, биометрические или общие), типа субъектов (сотрудники или клиенты) и количества субъектов (более или менее 100 000). Типичный стартап (данные клиентов, не биометрия, менее 100к пользователей) попадает под УЗ-3 или УЗ-4.
Базовый набор мер защиты для стартапа
Даже для минимального уровня нужно реализовать:
Шифрование данных (как при передаче по HTTPS, так и при хранении — encryption at rest) является де-факто стандартом, хотя закон формулирует это обтекаемо. Использование SSL-сертификатов обязательно.
9. Утечки данных: сценарий катастрофы и оборотные штрафы
Это самое драматичное нововведение последних лет. Если раньше утечка стоила компании фиксированного штрафа, который был ниже стоимости аудита безопасности, то теперь ставки выросли экспоненциально.
Оборотные штрафы: математика риска
Законодательство вводит градации ответственности в зависимости от объема утечки 1:
Повторная утечка переводит компанию в категорию «рецидивистов». Здесь вступает в силу оборотный штраф: от 1% до 3% от годовой выручки компании за предшествующий год. При этом установлены «вилки»: не менее 20 млн рублей и не более 500 млн рублей.1
Для стартапа с выручкой 100 млн рублей, 3% — это 3 млн, но сработает минимальный порог в 20 млн рублей, что может привести к банкротству.
Алгоритм действий при инциденте
В случае обнаружения утечки (или получения сигнала от «белых хакеров» или РКН) время работает против вас.
За сокрытие инцидента вводится отдельная ответственность. Честное и оперативное уведомление рассматривается как смягчающее обстоятельство. Также смягчить штраф могут подтвержденные инвестиции в кибербезопасность (если компания тратила не менее 0.1% выручки на ИБ) и добровольная компенсация вреда пострадавшим.1
10. Таблицы и справочные материалы
Для удобства восприятия сведем ключевые изменения и штрафы в таблицы.
Таблица 1. Эволюция штрафов: Было vs Стало (2025)
Таблица 2. Сравнение требований к парольной политике (Пример реализации УЗ-3)
11. Реальный пример (Кейс): Крах и спасение «DeliveryStart»
Название вымышленное, ситуация типичная.
Контекст:
Стартап «DeliveryStart» разработал агрегатор курьеров. База данных — 50 000 пользователей (курьеры и клиенты). Стек: AWS (серверы в Ирландии), MongoDB, рассылки через Mailchimp.
Инцидент:
В ходе обновления разработчик забыл закрыть порт базы данных паролем. База была скопирована ботом и выложена в даркнет. В базе были ФИО, телефоны, email и хэши паролей.
Развитие событий:
Последствия:
Как надо было поступить:
12. Пошаговая стратегия для стартапа: Roadmap соответствия
Чтобы не утонуть в требованиях, действуйте поэтапно:
Мини-FAQ
Вопрос 1: Нужно ли мне согласие на использование cookie?
Ответ: Да. Cookie, содержащие уникальные идентификаторы, признаются персональными данными. Вы должны уведомить пользователя (баннер) и получить его согласие (кнопка «Принять»). Идеально — не загружать скрипты аналитики до нажатия кнопки. РКН рекомендует начинать трекинг только после подачи уведомления в реестр операторов.2
Вопрос 2: Является ли email без ФИО персональными данными?
Ответ: Это спорный вопрос («серая зона»). Раньше суды считали, что alex@gmail.com — не ПД, так как это может быть кто угодно. Но alex.ivanov.88@gmail.com — уже ближе к ПД. Современная позиция регулятора строже: email позволяет коммуницировать с конкретным лицом и выделять его из массы, поэтому безопаснее считать его ПД и защищать соответственно.
Вопрос 3: Можно ли хранить бумажные копии паспортов сотрудников в сейфе?
Ответ: РКН считает избыточным хранение копий документов (паспортов, военных билетов, дипломов) после того, как данные из них перенесены в личную карточку Т-2 и трудовой договор. Хранение копий «на всякий случай» — частое нарушение при проверках. Лучше уничтожить копии после оформления приема на работу.
Вопрос 4: Мы стартап, у нас нет денег на дорогие средства защиты информации (СЗИ). Что делать?
Ответ: Закон требует обеспечения безопасности, но не всегда требует сертифицированных средств для низких уровней защищенности (УЗ-3, УЗ-4), если угрозы не связаны с недокументированными возможностями в системном ПО. Используйте open-source решения, встроенные средства ОС (BitLocker, iptables), но обязательно документируйте их настройку. Главное — организационные меры (пароли, регламенты).
Вопрос 5: Как правильно уничтожить данные по требованию клиента?
Ответ: Просто удалить строку из SQL-таблицы недостаточно, если остались бэкапы и логи. Полное уничтожение подразумевает удаление из всех хранилищ. Более того, с 2023 года вы обязаны составить Акт об уничтожении данных (есть утвержденные требования к его содержанию) и выгрузку из журнала регистрации событий, подтверждающую удаление. Хранить эти подтверждения нужно 3 года.
Вопрос 6: Распространяется ли закон на B2B контакты (рабочие email)?
Ответ: В России нет четкого разделения на B2B и B2C данные в контексте 152-ФЗ. Рабочий email ivanov@company.ru содержит фамилию, значит, это персональные данные сотрудника этой компании. Обработка таких данных требует оснований (например, наличие договора с этой компанией или общедоступность данных, если они опубликованы на сайте компании).
Вопрос 7: Что делать, если серверы в РФ, но техподдержка сидит в другой стране и имеет удаленный доступ?
Ответ: Это считается трансграничной передачей данных (предоставление доступа = передача). Вы должны подать уведомление о трансграничной передаче в РКН, указав страну нахождения саппорта.
Источники