Что такое 152-ФЗ
Федеральный закон 152-ФЗ «О персональных данных» — основной российский закон, регулирующий обработку ПДн. Распространяется на всех, кто работает с данными граждан России: имя, телефон, email, адрес, паспорт и т.д.
Ответственность зависит от состава нарушения, категории нарушителя и повторности. Единой суммы штрафа «за персональные данные» нет; конкретную ситуацию нужно оценивать по действующей редакции закона и КоАП РФ.
Что считается персональными данными
- ФИО + номер телефона
- ФИО + email
- Паспортные данные
- ИНН, СНИЛС
- Адрес проживания
- Биометрические данные: квалификация фотографии зависит от цели её использования, а не только от наличия лица на снимке
Если у вас в Битрикс24 есть карточки клиентов — у вас точно есть ПДн.
Главные требования закона
1. Правовое основание. Для каждой цели определите основание обработки. Согласие — одно из оснований, а не универсальная замена договору или требованиям закона. Когда используется согласие, оформляйте его отдельно от других подтверждаемых документов. Изменение статьи 9 законом № 156-ФЗ.
2. Цель обработки. Зачем собираете данные — должно быть указано. Например, «для оформления заказа», «для рассылки».
3. Минимальный объём. Не собирать лишнее. Если вам для рассылки нужен только email — не запрашивайте паспорт.
4. Локализация. Базы с ПДн россиян должны храниться на серверах в РФ.
5. Уведомление Роскомнадзора. Большинство компаний обязаны зарегистрироваться как оператор ПДн.
6. Защита. Технические и организационные меры защиты.
Битрикс24: соответствие 152-ФЗ
Выбор облачного Битрикс24 сам по себе не подтверждает соответствие всей обработки требованиям 152-ФЗ. Проверьте условия своего договора, размещение используемых баз и маршрут данных во внешние приложения; обязанности оператора сохраняются.
Что нужно настроить со своей стороны:
- Определение цели и правового основания обработки для каждой формы
- Политика конфиденциальности на сайте + ссылка во всех формах
- 2FA для сотрудников, имеющих доступ к ПДн
- Регламент работы с ПДн
- Регламент уничтожения по запросу клиента
Шаг 1: Регистрация в Роскомнадзоре
Проверьте обязанность уведомить Роскомнадзор до начала обработки и применимость исключений из статьи 22. В уведомлении должны быть сведения о фактической обработке вашей организации.
Освобождение от регистрации — есть в статье 22, но условия узкие.
Шаг 2: Документы внутри компании
- Политика обработки ПДн (публикуется на сайте)
- Положение о работе с ПДн (внутренний документ)
- Согласия на обработку (форма для клиентов)
- Журнал учёта обращений субъектов
- Приказ о назначении ответственного за обработку
Шаг 3: Технические меры
- Доступ к ПДн — только сотрудникам по необходимости
- Логирование действий с ПДн
- Шифрование при передаче (HTTPS на сайте)
- Регулярные бэкапы на защищённые хранилища
- 2FA
Шаг 4: Согласие на сайте
Если обработка через форму основана на согласии, предусмотрите:
- Чек-бокс «Согласен с обработкой» (по умолчанию НЕ отмечен)
- Ссылку на политику
Шаг 5: Право клиента
Клиент имеет право:
- Узнать, какие его данные у вас хранятся
- Запросить корректировку
- Запросить удаление
- Запросить отзыв согласия
Единого срока 30 дней для всех обращений нет. Разделите запросы на предоставление информации, исправление, прекращение обработки и уничтожение; применяйте сроки соответствующих статей 20 и 21 закона. Зафиксируйте порядок проверки личности и регистрации обращения.
Главные ошибки
- Не зарегистрированы в РКН.
- На сайте нет политики или согласия.
- Чек-бокс согласия отмечен по умолчанию (нарушение).
- Сотрудники имеют доступ ко всем ПДн без необходимости.
- Используются внешние сервисы без проверки локализации и правил трансграничной передачи; копия базы в РФ не заменяет эту проверку.
Сколько стоит привести в порядок
Базовый комплект (документы + регистрация + настройка чек-боксов + регламент): 60 000–150 000 ₽. Срок 4–8 недель.
Состав технических работ и юридической проверки оценивают отдельно. Настройка CRM или покупка шаблонов документов не гарантирует полного соответствия закону.
Рассчитать → Записаться на разбор →
FAQ
Что будет, если игнорировать?
Ответственность определяется конкретным нарушением. Сопоставьте обстоятельства с действующими нормами; универсального штрафа за первую проверку не существует.
Можно ли использовать сервисы рассылок (Mailchimp и т.п.)?
Нельзя определить допустимость сервиса только по названию или стране бренда. Проверьте договор, обработчиков, место размещения баз, передачу данных и основание рассылки; для трансграничной передачи применяются отдельные требования.
Правовые основания и обязанности оператора сверяйте по тексту 152-ФЗ на официальном портале правовой информации. Юридическое заключение по вашей обработке готовится отдельно от настройки Битрикс24.
