У небольшой сети кофеен появилась форма: оставьте номер телефона — получите скидку на первый заказ. За три года так собрали сорок тысяч номеров. Хранили их в общей таблице, доступ к которой был у всех управляющих, потому что «так удобнее». Согласие никто не оформлял: считалось, что человек сам оставил номер, значит, разрешил.

Потом один управляющий уволился и забрал таблицу с собой. Через месяц база всплыла в телеграм-канале, а ещё через неделю владельцу пришло письмо из Роскомнадзора. Владелец искренне не понимал, что нарушил: он же не взламывал, не продавал, не публиковал. Он просто собирал телефоны, чтобы делать скидки.

Именно на этом месте становится понятно, зачем нужен закон о персональных данных. Он не про хакеров и не про сложные технологии. Он про то, что у человека, который оставил номер, есть права, а у того, кто этот номер получил, есть обязанности. И обязанности возникают не тогда, когда случилась утечка, а в момент, когда вы решили собирать данные.

Почему закон вообще появился

До массового интернета данные людей тоже собирали: библиотеки, поликлиники, отделы кадров. Но масштаб был другим. Компания знала о человеке примерно столько же, сколько он сам мог вспомнить, и эти знания редко выходили за пределы одного учреждения.

С появлением баз данных, интернет-магазинов и рекламы всё изменилось. Собирать стало дёшево, хранить — удобно, передавать — мгновенно. Появился рынок, на котором информация о человеке стоит денег. И возникла асимметрия: компания знает о человеке много, человек о компании — почти ничего. Он не знает, какие данные собраны, кому переданы, сколько хранятся и что будет, если они утекут.

Закон, принятый в 2006 году, попытался эту асимметрию выровнять. Он сформулировал простую идею: данные принадлежат человеку, а компания получает их во временное пользование и обязана обращаться с ними бережно. Не потому что компания плохая, а потому что у неё больше возможностей и, значит, больше ответственности.

С тех пор закон много раз меняли — ужесточали согласие, добавляли требования к хранению, вводили уведомления об утечках. Но логика осталась прежней: если вы решили собирать данные, вы должны объяснить зачем, получить основание, защитить и ответить, если не получилось.

Что считается персональными данными

Формально персональные данные — это любая информация, которая относится к конкретному человеку или позволяет его определить. Формулировка широкая, и это сделано специально: если бы закон давал закрытый список, компании быстро научились бы собирать «почти персональные» данные, которые в список не входят.

Поэтому под закон попадают не только фамилия и паспорт. Телефон, адрес, фотография, номер карты, медицинские записи, геолокация, IP-адрес — всё это может быть персональными данными, если по ним можно определить человека или связать с ним информацию.

Отдельно закон выделяет специальные категории: состояние здоровья, национальность, политические взгляды, религиозные убеждения, интимная жизнь. Для них требования строже, потому что ущерб от утечки выше: одно дело, когда в интернет попал список покупателей кофе, и совсем другое — когда список пациентов с диагнозами.

Есть и биометрические данные — то, что описывает физиологические особенности: изображение лица, отпечатки пальцев, голос. Для них действует отдельный режим, и относиться к ним как к «просто фотографии» нельзя.

Важно. «Обезличенные данные» — не волшебная кнопка. Если по набору данных человека всё ещё можно определить, режим персональных данных продолжает действовать, даже если формально из файла убрали фамилию.

Кто такой оператор и почему ответственность нельзя передать

Оператор — это тот, кто организует обработку данных и определяет, зачем и как они собираются. Не обязательно тот, кто физически хранит сервер.

В истории с кофейней оператором была сеть, а не управляющий и не сервис, где лежала таблица. Управляющий мог ошибиться, сервис — сломаться, но обязанности перед людьми и регулятором оставались у сети. Это важный принцип: передать можно работу, но не ответственность.

На практике это выглядит так. Компания может нанять подрядчика, который будет обслуживать сайт или хранить базу в облаке. С точки зрения закона подрядчик становится обработчиком, а компания остаётся оператором. Значит, именно компания должна прописать в договоре, что подрядчик может делать с данными, как он их защищает и что делает при инциденте. Фраза «мы передали данные, теперь это не наша проблема» не работает.

Именно поэтому в 2026 году требования к подрядчикам усилились: оператор должен не просто подписать договор, а установить требования к уровню защиты и проверять, что они выполняются. Логика простая: если данные переданы в облако, они всё равно остаются данными ваших клиентов.

Четыре вопроса, на которые обязан ответить оператор

Закон можно свести к четырём вопросам, на которые компания должна ответить до того, как соберёт первый номер телефона.

Первый вопрос — зачем. У обработки должна быть конкретная цель. «Для улучшения сервиса» — плохая цель, потому что под неё можно подвести что угодно. «Чтобы доставить заказ» или «чтобы отправить чек» — хорошая, потому что она ограничивает набор данных. Нельзя собрать паспортные данные «на всякий случай» и потом думать, куда их положить.

Второй вопрос — на каком основании. Оснований несколько: согласие человека, договор, обязанность по закону, защита жизни и здоровья. Согласие — самый частый, но не единственный вариант. Если человек заказывает доставку, данные нужны для исполнения договора, и согласие на это не обязательно. А вот на рекламную рассылку нужно отдельное согласие, потому что рассылка не входит в доставку.

С согласием связана главная путаница. Многие считают, что галочка «я согласен с условиями» решает всё. На самом деле согласие должно быть конкретным и понятным: человек должен понимать, какие данные, кому и зачем он передаёт. Оно не должно быть спрятано в оферте на двадцать страниц. И отозвать его должно быть так же просто, как дать.

Третий вопрос — где храните. Данные граждан России должны храниться в России. Это требование называют локализацией. Оно не запрещает использовать зарубежные сервисы полностью, но основная база должна находиться на территории страны. Для небольшой компании это часто означает: не складывать клиентскую базу в случайный зарубежный сервис, который «удобно синхронизируется».

Четвёртый вопрос — как защищаете. Закон требует организационных и технических мер, а конкретика описана в подзаконных актах. Уровень защищённости определяется по постановлению Правительства № 1119, состав мер — по приказу ФСТЭК. С 1 сентября 2026 года действует новый приказ, который заменяет старый № 21 и требует оценивать не только набор мер, но и уровень зрелости защиты. Про это у нас есть отдельный разбор.

Кроме этих четырёх вопросов есть ещё два практических действия. Первое — уведомить Роскомнадзор о том, что вы обрабатываете данные. В большинстве случаев это нужно сделать до начала обработки, хотя есть небольшие исключения. Второе — определить, что вы будете делать при утечке. Не потому что она обязательно случится, а потому что в момент инцидента у вас не будет времени придумывать план.

Что происходит, когда данные утекают

Утечка — это не только техническая проблема. Это событие, у которого есть сроки, обязанности и последствия.

С 2022 года оператор обязан сообщить в Роскомнадзор о факте утечки в течение 24 часов, а результаты внутреннего расследования — в течение 72 часов. Это сделано для того, чтобы регулятор мог быстро оценить масштаб и предупредить людей. Молчание в такой ситуации считается отдельным нарушением.

Дальше вступает ответственность. За общие нарушения при обработке данных организации платят штрафы от 150 до 300 тысяч рублей. За утечку данные от тысячи человек — от 3 до 5 миллионов, от десяти тысяч — от 5 до 10 миллионов, более ста тысяч — от 10 до 15 миллионов. За биометрию — от 15 до 20 миллионов. За повторную утечку введён оборотный штраф: до 3% выручки, но не менее 25 и не более 500 миллионов рублей.

Есть и уголовная ответственность. Статья 272.1 УК РФ наказывает за незаконные сбор, хранение, передачу и использование компьютерной информации с персональными данными, полученной неправомерным путём. При тяжких последствиях или организованной группой — до 10 лет лишения свободы.

Может показаться, что это слишком жёстко. Но посмотрите на масштаб. Когда утекает база на сто тысяч человек, страдают сто тысяч конкретных людей: кому-то звонят мошенники, кто-то получает кредит на своё имя, кто-то теряет работу из-за медицинских данных. Штраф — это способ сделать так, чтобы компания считала этот риск своим, а не чужим.

И есть ещё последствие, которое не измеряется штрафом. Клиенты узнают об утечке и уходят. Партнёры перестают доверять. Сотрудники начинают искать другое место. Репутация восстанавливается годами, а иногда не восстанавливается вовсе.

Как это выглядит для маленького бизнеса

Вернёмся к кофейне. Что нужно было сделать, чтобы история закончилась иначе?

Сначала — понять, какие данные и зачем собираются. Если номер нужен только для скидки, не нужно собирать ещё и дату рождения, адрес и паспорт. Чем меньше данных, тем меньше последствий, если что-то случится.

Потом — оформить основание. Для скидки — согласие, для рассылки — отдельное согласие, для доставки — договор. Согласие должно быть понятным, а не спрятанным в правилах. И должна быть возможность его отозвать.

Дальше — навести порядок в хранении. Одна таблица с общим доступом — плохая идея не потому, что она некрасивая, а потому что в ней нельзя понять, кто что видел. Нужны личные аккаунты, разные права, журнал действий и понятное правило: уволился — доступ закрыт.

Потом — защитить. Для небольшой компании это не обязательно дорогие системы. Часто достаточно резервных копий, двухфакторной аутентификации, ограничения доступа и обучения сотрудников. Но эти меры должны быть, а не существовать в виде плана.

И наконец — подготовиться к инциденту. Кто звонит в Роскомнадзор? Кто обзванивает клиентов? Кто меняет пароли? Кто пишет объяснение руководству? Если ответов нет, в момент утечки начнётся паника, а паника почти всегда приводит к ошибкам.

Главная мысль

Закон о персональных данных — это не бюрократия ради бюрократии. Это способ сделать ответственность видимой. Когда компания собирает данные, она получает не актив, а обязательство: объяснить цель, получить основание, защитить и ответить, если не получилось.

Для человека этот закон — способ вернуть контроль. Вы можете узнать, какие данные о вас хранятся, потребовать их уточнить или удалить, отозвать согласие. Это не абстрактные права: ими действительно пользуются, и компании обязаны отвечать.

Для бизнеса — это риск, которым нужно управлять, как любым другим. Не «сделать документы для проверки», а понять, где лежат данные, кто имеет к ним доступ и что произойдёт, если этот доступ окажется не у того человека. Чем раньше вы ответите на эти вопросы, тем дешевле обойдётся ошибка.

Что делать дальше