Защита персональных данных: что важно знать каждому и бизнесу

02.11.2026

Персональные данные — это любая информация, относящаяся прямо или косвенно к определённому человеку: ФИО, адрес, телефон, фото, IP‑адрес. Даже сочетание «имя + город» может считаться персональными данными, если по ним можно вычислить конкретного человека.

Главная цель закона № 152‑ФЗ «О персональных данных» — защитить права и свободы человека, в том числе право на неприкосновенность частной жизни. Это не про «бумажки ради проверок», а про реальный контроль: кто и зачем собирает ваши данные, как их хранит и что делает, если что-то пошло не так.

Кто есть кто в этой системе

Субъект персональных данных — это человек, чьи данные обрабатываются. То есть вы, когда регистрируетесь на сайте, оставляете номер телефона в форме заказа или просто заходите в интернет-магазин.

Оператор — тот, кто организует и осуществляет обработку. Это может быть компания, ИП, госорган, а иногда даже физическое лицо, если собирает данные не для личных бытовых нужд (например, ведёт рассылку по базе клиентов). Если вы как ИП собираете контакты людей для email‑рассылки — вы оператор и обязаны соблюдать 152‑ФЗ.

Простой пример: интернет‑магазин собирает имя, телефон и адрес доставки, чтобы оформить и привезти заказ. Магазин — оператор, покупатель — субъект данных.

Какие правила нужно соблюдать

Закон устанавливает базовые принципы, которые работают как здравый смысл, только в юридическом виде.

Законность и справедливость. Сбор данных должен быть обоснован. Нельзя собирать телефон «на всякий случай», если он не нужен для выполнения услуги.
Ограничение целями. Данные собирают только для конкретных, заранее определённых целей. Если цель — доставить товар, не нужно просить паспортные данные «для проверки личности», если это не требуется по закону.
Нельзя смешивать несовместимое. Базу заказов нельзя механически объединять с базой участников промоакции, если цели обработки разные.
Точность и отсутствие избыточности. Данные должны быть актуальными и минимально достаточными. Если человек переехал, адрес нужно обновить. Если для доставки хватает улицы и номера дома, не обязательно требовать этаж, квартиру и код домофона.
Уничтожение после цели. Как только цель обработки достигнута (товар доставлен, договор закрыт), данные нужно удалить или обезличить. Хранить «на память» нельзя.

Согласие и исключения

По общему правилу обработка без согласия субъекта запрещена. Но есть важные исключения:

исполнение договора (например, доставка заказа);
защита жизни и здоровья;
требования законодательства (налоговые и иные отчёты).

Особые категории данных (раса, политические взгляды, здоровье и т. п.) и биометрия (фото для распознавания, отпечатки, голос) защищены сильнее. Их обработка без согласия запрещена, кроме специально оговорённых случаев. Для биометрических данных требуется письменное согласие.

Пример корректного согласия на сайте: короткий понятный текст «Мы собираем ваш e‑mail, чтобы отправлять уведомления о заказе и новости. Вы можете отписаться в любой момент. Подробнее — в Политике обработки персональных данных», рядом — чекбокс «Я согласен» и ссылка на политику.

Права субъекта данных

Человек, чьи данные обрабатывают, имеет реальные права:

Узнать, какие данные о нём хранятся, как и зачем они обрабатываются, кому передаются.
Потребовать уточнить, заблокировать или удалить данные, если они неполные, устаревшие, неточные или получены незаконно.
Отозвать согласие на обработку (если основание — согласие).
Обжаловать действия или бездействие оператора — в том числе подать жалобу в Роскомнадзор.

На практике это значит, что если вы видите в личном кабинете магазина неверный адрес или старый телефон, вы вправе потребовать их исправить. А если магазин продолжает слать письма после вашего отзыва согласия — это нарушение.

Что должен делать оператор

Если вы — бизнес (компания или ИП), защита персональных данных — это не «когда‑нибудь потом», а часть операционной работы. Вот практические шаги, которые реально снижают риски:

Определить цели и перечень данных. Для каждой цели (доставка, рассылка, техподдержка) зафиксируйте, какие данные нужны и сколько их хранить.
Разработать и опубликовать Политику обработки персональных данных. В ней должны быть цели, категории данных, категории субъектов, сроки хранения, меры защиты, контакты ответственного лица. Политика размещается в открытом доступе, обычно в подвале сайта.
Назначить ответственного за персональные данные. Это может быть сотрудник компании или внешний специалист. Его контакты указывают в документах и на сайте.
Внедрить организационные и технические меры защиты. Сюда входят: разграничение прав доступа (не у всех сотрудников есть доступ к базе клиентов), шифрование, антивирусы, резервное копирование, контроль физического доступа к серверам и рабочим местам.
Проводить регулярный аудит. Проверяйте, кто имеет доступ к данным, актуальны ли согласия, удалены ли данные по истечении сроков.
Иметь регламент на случай утечки. Если данные утекли, нужно оперативно уведомить Роскомнадзор и, при необходимости, субъектов данных. Сроки и порядок уведомления строго регламентированы.

Для ИП и небольших компаний это не обязательно означает «купить дорогую систему безопасности». Часто достаточно простых, но документированных мер: отдельные учётные записи для сотрудников, пароли, резервные копии, запрет на пересылку баз в мессенджерах.

Риски и ответственность

Нарушения в сфере персональных данных могут дорого обойтись.

Административная ответственность (ст. 13.11 КоАП РФ): штрафы для должностных лиц и компаний, в том числе за утечки и за неуведомление Роскомнадзора. С 2025 года штрафы за отдельные нарушения существенно увеличены.
Гражданско‑правовая ответственность: возмещение убытков и компенсация морального вреда.
Уголовная ответственность (например, ст. 272.1 УК РФ) — за неправомерные действия с компьютерной информацией, содержащей персональные данные.

Признаки слабой защиты на сайте, на которые стоит обратить внимание:

нет Политики обработки персональных данных;
согласие «одно на всё» без конкретики;
данные передаются третьим лицам (рекламным сетям, подрядчикам) без понятного объяснения;
форма собирает больше данных, чем нужно для заявленной цели.

Практические советы для пользователей

Как защитить свои данные в быту, без сложных инструментов:

Не публикуйте слишком много личной информации в открытом доступе. Даже «я в отпуске» с геотегом и адресом дома — лишние детали.
Внимательно читайте, какие данные собирает сайт или сервис и для каких целей. Если форма просит паспорт, а вы просто подписываетесь на рассылку, это повод задуматься.
Проверяйте, есть ли на сайте Политика обработки данных и контакты ответственного лица. Если их нет — это тревожный сигнал.
Не передавайте данные сомнительным сервисам без чёткого понимания, как они будут защищены. Особенно это касается финансовых, медицинских и любых чувствительных данных.
Регулярно проверяйте подписки и доступы. Отписывайтесь от рассылок, удаляйте неиспользуемые аккаунты, отзывайте старые согласия.

Заключение

Защита персональных данных — это общая задача. Операторы должны выстраивать безопасные и прозрачные процессы, а пользователи — осознанно относиться к тому, кому и какие данные они передают.

Если у вас как у бизнеса есть конкретная ситуация (например, «мы собираем заявки через Tilda, как правильно оформить согласие?») команда наших юристов проконсультирует вас.