Эра формального отношения к закону о персональных данных в России завершена. Если раньше стартапы могли годами работать с политикой конфиденциальности, скопированной у конкурентов, и не бояться проверок, то 2024 и 2025 годы стали переломными. Введение оборотных штрафов, достигающих 3% от годовой выручки (до 500 миллионов рублей) 1, ужесточение контроля за трансграничной передачей данных и требование локализации баз внутри страны создали новую реальность. Теперь ошибка в архитектуре базы данных или неправильно оформленный чекбокс на лендинге может стоить бизнесу жизни. В этом отчете мы не просто цитируем законы, а разбираем технические и организационные решения, которые позволят вашему проекту развиваться, оставаясь в правовом поле. Мы рассмотрим всё: от настройки серверов до формулировок в user agreement, от борьбы со спамом до алгоритмов действий при утечке. Это мануал для фаундеров, CTO и юристов, которые хотят спать спокойно.
Российский рынок информационных технологий столкнулся с тектоническим сдвигом в регулировании. Долгое время Федеральный закон № 152-ФЗ «О персональных данных» воспринимался индустрией как «спящий» институт. Штрафы были незначительными — десятки тысяч рублей, что для крупного и даже среднего бизнеса являлось допустимыми операционными расходами. Однако цифровая трансформация и, как следствие, лавинообразный рост утечек данных заставили законодателя кардинально пересмотреть подход.
В 2025 году мы наблюдаем кульминацию законодательных реформ. Государство больше не просит, оно требует прозрачности. Ключевой тренд — переход от наказания за факт нарушения к наказанию за масштаб последствий. Введение оборотных штрафов означает, что санкция теперь масштабируется вместе с успехом вашего бизнеса. Чем больше вы зарабатываете, тем дороже вам обойдется пренебрежение безопасностью данных.
Понимание контекста критически важно для любого IT-предпринимателя. Персональные данные (ПД) стали «токсичным» активом. С одной стороны, они необходимы для обучения нейросетей, таргетинга рекламы и персонализации сервисов. С другой — каждый байт информации о пользователе увеличивает поверхность атаки и юридические риски.
Изменения коснулись не только штрафов. Роскомнадзор (РКН) получил новые инструменты мониторинга. Автоматизированные системы сканируют интернет-пространство, выявляя сайты с формами сбора данных, но отсутствующими в реестре операторов. Понятие «оператор персональных данных» расширено настолько, что найти IT-стартап, который им не является, практически невозможно. Даже использование сторонних метрик, таких как Яндекс.Метрика или Google Analytics, автоматически переводит владельца сайта в статус оператора, так как происходит сбор технических идентификаторов пользователей.2
Первая и самая фундаментальная ошибка стартапов — неправильная классификация данных. Фаундеры часто полагают, что если они не собирают паспортные данные, то закон их не касается. Это опасное заблуждение. Технически и юридически понятие «персональные данные» гораздо шире бытового понимания.
Закон определяет персональные данные как любую информацию, относящуюся к прямо или косвенно определенному или определяемому физическому лицу. Ключевое слово здесь — «определяемому». В мире Big Data практически любой набор данных может стать персональным, если у вас есть ключ к деанонимизации.
Для стартапа, разрабатывающего мобильное приложение или SaaS-платформу, это означает, что даже лог-файлы сервера могут содержать персональные данные. Если вы храните историю действий пользователя, привязанную к его User ID, вы обрабатываете ПД.
Закон делит данные на категории, и от этого зависят требования к их защите:
С биометрией ситуация ужесточилась максимально. Штрафы за нарушение правил работы с ней для юридических лиц составляют от 10 до 15 миллионов рублей, а за утечку — до 20 миллионов.3
Важно различать: фотография в профиле пользователя социальной сети — это не всегда биометрия. Она становится биометрией только тогда, когда используется для идентификации личности (например, проход по FaceID или верификация водителя такси по селфи). Если фото просто висит в профиле «для красоты» и модерации контента, оно может трактоваться как «иные» данные. Однако грань очень тонка. Если ваш стартап использует технологии компьютерного зрения для анализа лиц пользователей, вы входите в зону высокого риска. Рекомендуется избегать обработки биометрии без крайней необходимости или использовать государственные Единые биометрические системы (ЕБС), становясь их аккредитованным агентом, что для малого стартапа сложно и дорого.
Раньше существовал обширный перечень исключений, позволявших не подавать уведомление в Роскомнадзор. Можно было не регистрироваться, если данные обрабатывались только в рамках трудового договора или если они были общедоступными. В 2025 году эти «лазейки» практически закрыты.
Теперь обязанность уведомить Роскомнадзор о начале обработки персональных данных возникает у любого лица, собирающего данные, за исключением редчайших случаев (например, обработка данных исключительно в личных семейных целях или обработка данных без средств автоматизации, то есть только на бумаге). Для IT-компании обработка без средств автоматизации — это нонсенс, поэтому подавать уведомление нужно всем.5
Это нужно сделать до начала обработки. То есть, прежде чем вы опубликуете сайт с формой «Подпишись на новости», вы должны быть в реестре.
Процесс подачи уведомления стал полностью цифровым, но от этого не менее бюрократическим. Уведомление подается через портал Роскомнадзора (pd.rkn.gov.ru).
После отправки формы у регулятора есть 30 дней на внесение компании в реестр.2 Отсутствие в реестре при фактической обработке данных является административным правонарушением. Хотя штраф за неподачу уведомления пока кажется небольшим (до 10-15 тыс. рублей для юрлиц после 30.05.2025 5), сам факт отсутствия в реестре является «красным флагом» для автоматических систем мониторинга РКН. Это повышает вероятность внеплановой проверки.
Взаимодействие пользователя с вашим продуктом начинается с согласия. Это не просто галочка, это юридический факт, подтверждающий правомерность ваших действий.
Золотое правило 2025 года: молчание не является согласием. Пользователь должен совершить активное действие, чтобы подтвердить свою волю. Практика предустановленных галочек (когда чекбокс уже активирован, и пользователю нужно его снять, если он не согласен) признана незаконной. Суды и РКН трактуют это как навязывание услуг и отсутствие добровольности.
Чекбокс должен быть пустым. Пользователь должен сам кликнуть на него. Рядом с чекбоксом должен быть понятный текст: «Я даю согласие на обработку персональных данных на условиях [Политики конфиденциальности]». Слово «Политика» должно быть активной ссылкой на текст документа.
Нельзя «смешивать» разные цели обработки в одном согласии. Классическая ошибка — один чекбокс «Согласен с правилами сервиса, обработкой данных и получением рекламы». Это нарушение.
В 2025 году требуется разделение потоков данных:
Чтобы доказать, что email оставил именно владелец ящика, а не бот или злоумышленник, используйте механизм Double Opt-In (двойное подтверждение).
Требование локализации (хранения данных россиян на территории РФ) действует уже несколько лет, но контроль за его исполнением усиливается. С 1 июля 2025 года вводятся новые поправки, фактически запрещающие прямой сбор данных на зарубежные серверы.3
Закон требует, чтобы первичный сбор, запись, систематизация, накопление и хранение происходили в базах данных на территории РФ.
Это значит, что архитектура вашего приложения должна выглядеть так:
Использование зарубежных SaaS-решений (Salesforce, HubSpot, Mailchimp, Google Forms) напрямую создает риск. Если форма на сайте отправляет данные сразу в облако Amazon (AWS) в Франкфурте, вы нарушаете закон о локализации. Штрафы за это нарушение огромны: до 6 млн рублей за первое нарушение и до 18 млн рублей за повторное.
Если вам жизненно необходимы зарубежные инструменты, используйте схему проксирования:
Трансграничная передача — это передача данных через государственную границу. В облачной эре это происходит постоянно: письмо ушло через Gmail (серверы в США), задача создана в Jira (серверы в Ирландии или США).
С 2023-2024 годов введен уведомительный (а по факту разрешительный) порядок трансграничной передачи.2 Роскомнадзор делит страны на две группы:
Вы обязаны подать уведомление о намерении осуществлять трансграничную передачу до начала такой передачи.
Это создает колоссальную проблему для стартапов, использующих американский стек технологий. Чтобы легально передавать данные в США, нужно обосновать цель, правовые основания и гарантии защиты данных со стороны американского партнера.
Закон требует наличия в организации «документов, определяющих политику в отношении обработки персональных данных». Это не одна бумажка на сайте. Это комплект локальных нормативных актов (ЛНА), который должен лежать в офисе с подписями сотрудников.
Юридическая защита — это полдела. Закон требует применения «технических и организационных мер». Основной регулятор здесь — ФСТЭК (Федеральная служба по техническому и экспортному контролю).
Все информационные системы персональных данных (ИСПДн) классифицируются по уровням защищенности: от УЗ-4 (минимальный) до УЗ-1 (максимальный). Уровень зависит от типа данных (специальные, биометрические или общие), типа субъектов (сотрудники или клиенты) и количества субъектов (более или менее 100 000). Типичный стартап (данные клиентов, не биометрия, менее 100к пользователей) попадает под УЗ-3 или УЗ-4.
Даже для минимального уровня нужно реализовать:
Шифрование данных (как при передаче по HTTPS, так и при хранении — encryption at rest) является де-факто стандартом, хотя закон формулирует это обтекаемо. Использование SSL-сертификатов обязательно.
Это самое драматичное нововведение последних лет. Если раньше утечка стоила компании фиксированного штрафа, который был ниже стоимости аудита безопасности, то теперь ставки выросли экспоненциально.
Законодательство вводит градации ответственности в зависимости от объема утечки 1:
Повторная утечка переводит компанию в категорию «рецидивистов». Здесь вступает в силу оборотный штраф: от 1% до 3% от годовой выручки компании за предшествующий год. При этом установлены «вилки»: не менее 20 млн рублей и не более 500 млн рублей.1
Для стартапа с выручкой 100 млн рублей, 3% — это 3 млн, но сработает минимальный порог в 20 млн рублей, что может привести к банкротству.
В случае обнаружения утечки (или получения сигнала от «белых хакеров» или РКН) время работает против вас.
За сокрытие инцидента вводится отдельная ответственность. Честное и оперативное уведомление рассматривается как смягчающее обстоятельство. Также смягчить штраф могут подтвержденные инвестиции в кибербезопасность (если компания тратила не менее 0.1% выручки на ИБ) и добровольная компенсация вреда пострадавшим.1
Для удобства восприятия сведем ключевые изменения и штрафы в таблицы.
| Вид нарушения | Штраф до 2023 г. (Юрлица) | Штраф / Последствия 2024-2025 гг. |
| Обработка без уведомления РКН | до 5 000 руб. | Риск внеплановой проверки, штрафы растут, блокировка деятельности 6 |
| Отсутствие согласия / Неверная форма | 30 — 150 тыс. руб. | до 700 000 руб. (до 1.5 млн при повторном) 14 |
| Спам (реклама без согласия) | 100 — 500 тыс. руб. | до 1 000 000 руб. за каждый факт 7 |
| Локализация данных (первичное) | 1 — 6 млн руб. | до 6 млн руб. |
| Локализация данных (повторное) | 6 — 18 млн руб. | до 18 млн руб., блокировка сайта |
| Утечка данных (первичная) | 60 — 100 тыс. руб. | до 15 млн руб. (зависит от объема) 12 |
| Утечка данных (повторная) | фикс. штраф | Оборотный штраф: 1-3% выручки (20-500 млн руб.) 1 |
| Нарушение правил биометрии | Отсутствовало/Неясно | до 20 млн руб. 4 |
| Параметр | Плохая практика (риск взлома) | Рекомендуемая практика (Compliance) |
| Длина пароля | 6-8 символов | Минимум 12 символов |
| Сложность | Только буквы или цифры | Буквы (разный регистр), цифры, спецсимволы |
| Срок действия | Бессрочно | Смена каждые 90 дней |
| Повторение | Можно использовать старые | Запрет на последние 5-10 паролей |
| Хранение | В открытом виде или MD5 | Хеширование с солью (bcrypt, Argon2, PBKDF2) |
Название вымышленное, ситуация типичная.
Контекст:
Стартап «DeliveryStart» разработал агрегатор курьеров. База данных — 50 000 пользователей (курьеры и клиенты). Стек: AWS (серверы в Ирландии), MongoDB, рассылки через Mailchimp.
Инцидент:
В ходе обновления разработчик забыл закрыть порт базы данных паролем. База была скопирована ботом и выложена в даркнет. В базе были ФИО, телефоны, email и хэши паролей.
Развитие событий:
Последствия:
Как надо было поступить:
Чтобы не утонуть в требованиях, действуйте поэтапно:
Вопрос 1: Нужно ли мне согласие на использование cookie?
Ответ: Да. Cookie, содержащие уникальные идентификаторы, признаются персональными данными. Вы должны уведомить пользователя (баннер) и получить его согласие (кнопка «Принять»). Идеально — не загружать скрипты аналитики до нажатия кнопки. РКН рекомендует начинать трекинг только после подачи уведомления в реестр операторов.2
Вопрос 2: Является ли email без ФИО персональными данными?
Ответ: Это спорный вопрос («серая зона»). Раньше суды считали, что alex@gmail.com — не ПД, так как это может быть кто угодно. Но alex.ivanov.88@gmail.com — уже ближе к ПД. Современная позиция регулятора строже: email позволяет коммуницировать с конкретным лицом и выделять его из массы, поэтому безопаснее считать его ПД и защищать соответственно.
Вопрос 3: Можно ли хранить бумажные копии паспортов сотрудников в сейфе?
Ответ: РКН считает избыточным хранение копий документов (паспортов, военных билетов, дипломов) после того, как данные из них перенесены в личную карточку Т-2 и трудовой договор. Хранение копий «на всякий случай» — частое нарушение при проверках. Лучше уничтожить копии после оформления приема на работу.
Вопрос 4: Мы стартап, у нас нет денег на дорогие средства защиты информации (СЗИ). Что делать?
Ответ: Закон требует обеспечения безопасности, но не всегда требует сертифицированных средств для низких уровней защищенности (УЗ-3, УЗ-4), если угрозы не связаны с недокументированными возможностями в системном ПО. Используйте open-source решения, встроенные средства ОС (BitLocker, iptables), но обязательно документируйте их настройку. Главное — организационные меры (пароли, регламенты).
Вопрос 5: Как правильно уничтожить данные по требованию клиента?
Ответ: Просто удалить строку из SQL-таблицы недостаточно, если остались бэкапы и логи. Полное уничтожение подразумевает удаление из всех хранилищ. Более того, с 2023 года вы обязаны составить Акт об уничтожении данных (есть утвержденные требования к его содержанию) и выгрузку из журнала регистрации событий, подтверждающую удаление. Хранить эти подтверждения нужно 3 года.
Вопрос 6: Распространяется ли закон на B2B контакты (рабочие email)?
Ответ: В России нет четкого разделения на B2B и B2C данные в контексте 152-ФЗ. Рабочий email ivanov@company.ru содержит фамилию, значит, это персональные данные сотрудника этой компании. Обработка таких данных требует оснований (например, наличие договора с этой компанией или общедоступность данных, если они опубликованы на сайте компании).
Вопрос 7: Что делать, если серверы в РФ, но техподдержка сидит в другой стране и имеет удаленный доступ?
Ответ: Это считается трансграничной передачей данных (предоставление доступа = передача). Вы должны подать уведомление о трансграничной передаче в РКН, указав страну нахождения саппорта.
Краткое содержание К середине 2025 года ландшафт генеративного искусственного интеллекта претерпел фундаментальный раскол. Если еще…
Краткое содержание Если вы читаете этот текст, скорее всего, вы столкнулись с проблемой: ваша Российская…
Введение: краткое резюме текущей ситуации и что ожидать от этого руководства Российский рынок криптовалют представляет…
Краткое саммари: ваш путеводитель по грантам ФСИ от идеи до реализации Получение государственного гранта для…
Краткое содержание Российский SaaS-бизнес, ориентированный на глобальный рынок, столкнулся с фундаментальной проблемой: принимать регулярные платежи…
Введение: «Сколково» — не территория, а идеология Инновационный центр «Сколково» часто воспринимается как географическая точка…