В 2026 году правила обработки персональных данных продолжают ужесточаться. Роскомнадзор, руководствуясь ФЗ № 152-ФЗ от 27.07.2006 N 152-ФЗ и новыми поправками, вводит дополнительные требования к операторам. Эти изменения направлены на усиление защиты информации и контроль за соблюдением законодательства в условиях роста киберугроз и развития цифровых технологий.
Правила обработки ПДн для операторов
Изменения касаются как оформления согласий, так и других особенностей, которые стоит учитывать всем операторам.Но не стоит забывать и про старые правила, введенные с 2022 года.
Что важно знать:
- С 1 января 2025 года введены новые унифицированные формы согласия на обработку персональных данных (Распоряжение Правительства РФ от 9 апреля 2024 г. № 856-р). Речь идет о стандартных формах для размещения и обработки ПДн в Единой системе идентификации и аутентификации (ЕСИА), а также для работы с биометрией в Единой биометрической системе (ЕБС).
- Перед передачей ПДн за пределы РФ необходимо направить специальное уведомление в Роскомнадзор. Это отдельный документ, он не заменяет уведомление о начале работы с ПДн. В ответ от РКН должно прийти согласие на трансграничную передачу данных, если страна-получатель не относится к государствам, обеспечивающим “адекватную защиту” и ее нет в Приказе РКН от 05.08.2022 №128.
- Согласие на обработку ПДн для распространения в 2026 году должно оформляться отдельным документом (ст. 10.1 ФЗ №152-ФЗ). Его нельзя включить в договор, оферту или соглашение. Обычное согласие на обработку (без распространения) тоже нужно получать отдельно от других документов с 1 сентября 2025 года.
- Операторы обязаны не только собирать, но и хранить, а также обрабатывать информацию исключительно на территории России. Суть изменений проста: вся цепочка работы с ПДн - от момента сбора до окончательной обработки - должна теперь полностью находиться под российской юрисдикцией. Это означает необходимость переноса существующих баз данных и IT-инфраструктуры на российские серверы, а также пересмотра договоров с иностранными поставщиками облачных услуг.
- Если сайт собирает cookie, на нем при первом посещении пользователи должны видеть информационный баннер об этом. Им должна предоставляться возможность выборочного согласия на разные типы файлов - аналитические, рекламные или технические. При этом обязательным условием является возможность полного отказа от сбора, за исключением технически необходимых cookie.Если cookie содержат данные, позволяющие идентифицировать пользователя, их обработка должна осуществляться исключительно на российских серверах.
Напоминаем: к ПДн относятся любые сведения, по которым можно распознать конкретного человека. Даже если он сам отправил их через обратную форму связи на сайте, компания не может использовать их без законных оснований.
Чтобы не нарушать ФЗ №152-ФЗ, в 2026 году компания должна иметь ряд документов: положение о ПДн, политику обработки данных, положение о защите ПДн. Также необходимо оформить приказ о назначении ответственного за работу с ПДн и регламент допуска к таким сведениям.
Штрафы за нарушения
Каждый оператор обязан подать в Роскомнадзор уведомление об обработке персональных данных. В противном случае могут оштрафовать на сумму до 300 000 рублей.
Предпринимателям грозят штрафы и за другие нарушения: например, за утечку ПДн граждан в количестве от 1 000 до 10 000 человек могут оштрафовать на сумму до 5 млн рублей, за утечку спецкатегорий ПДн - до 15 млн рублей (ст.13.11 КоАП РФ). Сумма штрафа зависит от масштаба инцидента и ряда других факторов.
За несообщение об утечке ПДн штраф составляет до 3 млн рублей. Мы рекомендуем привести документы компании в порядок, чтобы снизить риски. При необходимости обратитесь за помощью к юристам - они все сделают строго в соответствии с законодательством.
Заключение
В 2026 году закон в отношении обработки персональных данных становится еще более строгим. Новые требования Роскомнадзора направлены на усиление защиты информации и контроль за ее использованием.
Компаниям необходимо срочно адаптироваться к изменениям: обновить внутренние документы, назначить ответственных за обработку ПДн и обеспечить соответствие всем нормативным требованиям.