Хранение персональных данных: правила 2026

Коротко: В 2026 году правила работы с данными стали жестче. Основные изменения в 152-ФЗ касаются трансграничной передачи и новых критериев адекватной защиты. Операторы обязаны соблюдать строгие сроки уведомления Роскомнадзора, внедрять корректное обезличивание по новым правилам и обеспечивать немедленное уничтожение данных после достижения целей обработки под угрозой крупных штрафов и уголовной ответственности.

Кстати, в AmSales мы делаем внедрение и настройку Битрикс24 и разработку сайтов под ключ под ключ. Если нужна помощь - напишите нам.

Новые правила хранения данных по закону 152-ФЗ

Законодательный ландшафт в сфере персональных данных к ноябрю 2026 года окончательно стабилизировался после масштабных правок, принятых летом. Сейчас ключевым документом является редакция Федерального закона № 152-ФЗ от 26.07.2026. Она внесла фундаментальные уточнения в то, как бизнес должен классифицировать процессы обработки и как именно должно организоваться хранение персональных данных на сервере.

Главное изменение, которое затронуло почти всех операторов, - это уточнение целей обработки. Теперь недостаточно просто написать в политике конфиденциальности, что вы собираете данные "для улучшения сервиса". Каждая категория данных должна быть жестко привязана к конкретной, достижимой и законной цели. Если вы собираете номер телефона клиента, вы должны четко зафиксировать: это нужно для доставки товара, для подтверждения регистрации или для маркетинговой рассылки. Смешивание целей в одной базе данных становится зоной высокого риска.

Еще один важный нюанс касается автоматизированных систем. Если ваша компания использует CRM или облачные сервисы для обработки данных, вы автоматически попадаете под более строгие требования к защите. Закон о персональных данных 2026 года не делает различий между маленьким интернет-магазином и крупным ритейлером в плане ответственности за утечку, хотя требования к уровню защищенности систем (УЗ-1, УЗ-2 и т.д.) могут варьироваться в зависимости от объема и типа обрабатываемых данных.

Важно понимать, что требования к инфраструктуре стали прозрачнее. Регулятор теперь смотрит не только на наличие бумажной политики, но и на то, как технически выстроены процессы. Например, если вы храните данные пользователей в облаке, которое физически находится за пределами РФ, вы должны были пройти процедуру уведомления о трансграничной передаче еще до начала фактического сбора информации. Игнорирование этого этапа - самый простой способ получить предписание от регулятора.

Типичные ошибки при классификации данных

Многие компании по привычке собирают "все и сразу" на случай, если данные могут пригодиться в будущем. В 2026 году это прямой путь к нарушению. Ошибка заключается в избыточности: если для оформления заказа вам нужен только email, а вы требуете дату рождения и адрес проживания, это нарушение принципа соразмерности обработки. При проверке Роскомнадзор первым делом сравнит ваш перечень собираемых данных с заявленными целями в уведомлении.

Трансграничная передача данных: критерии адекватной защиты

Вопрос передачи данных за рубеж в 2026 году перестал быть вопросом "соответствует ли страна Конвенции Совета Европы". После вступления в силу закона № 265-ФЗ от 26.07.2026, подход к оценке иностранных юрисдикций стал более детализированным и прагматичным. Теперь оператор обязан самостоятельно анализировать, обеспечивает ли конкретное государство адекватную защиту прав субъектов данных, опираясь на обновленный перечень, утвержденный регулятором.

Если вы используете зарубежные SaaS-решения, аналитические инструменты или облачные хранилища, расположенные не в России, вы обязаны учитывать два сценария. Первый - передача в страны, обеспечивающие адекватную защиту. Здесь процедуры упрощены, но обязанность уведомлять о трансграничной передаче сохраняется. Второй - передача в страны, не входящие в список адекватных. В этом случае правила становятся крайне жесткими: вам может потребоваться получить отдельное разрешение или доказать, что передача не наносит вред интересам граждан РФ.

На практике это означает, что перед подключением нового маркетингового сервиса или CRM-системы с серверами в Европе или Азии, ваш юрист или системный администратор должен проверить статус этой страны в актуальном реестре Роскомнадзора. Нельзя просто полагаться на старые знания. Список стран меняется, и то, что было допустимо в 2024 году, может потребовать дополнительных согласований сегодня.

Критерии адекватности теперь включают не только наличие в стране профильного закона о защите данных, но и эффективность работы местных надзорных органов. Если в стране принят отличный закон, но он "не работает", регулятор может не признать такую юрисдикцию адекватной. Это создает дополнительную нагрузку на отделы комплаенса, которым нужно проводить аудит не только своих процессов, но и внешних контрагентов.

Таблица: Сравнение режимов передачи данных

Обезличивание данных: актуальные нормы и требования

Обезличивание персональных данных - это не просто удаление фамилии из таблицы. В 2026 году это строго регламентированный технический процесс. С выходом постановления Правительства РФ № 1418 от 28.10.2026 правила стали еще более специфичными. Теперь операторы должны использовать методы, которые делают невозможным восстановление личности субъекта без использования дополнительной информации, хранящейся отдельно.

Обезличивание персональных данных правила которого были уточнены, теперь напрямую связаны с возможностью использования таких данных для аналитики и обучения систем. Важно отметить, что с 01.09.2029 вступает в силу положение, позволяющее операторам использовать специализированное ПО для выполнения требований по обезличиванию на безвозмездной основе, если это предусмотрено государственными программами. Но до этого момента бизнес должен самостоятельно подбирать инструменты, соответствующие стандартам.

Ключевой момент: обезличивание должно быть необратимым для рядового сотрудника или случайного злоумышленника. Если у вас есть "ключ" к деанонимизации, который лежит в той же папке, что и сама база, - это не обезличивание, а просто маскирование. Регулятор требует четкого разделения: данные, позволяющие идентифицировать человека, и массив данных, по которым можно строить статистику, должны находиться в разных контурах безопасности.

Для маркетинга и аналитики это отличная возможность. Если вы правильно провели обезличивание, вы можете использовать эти массивы данных для построения предиктивных моделей, не нарушая закон о персональных данных 2026. Однако помните, что если из "обезличенного" набора данных можно восстановить личность (например, через комбинацию редкого города, даты рождения и профессии), то такие данные все равно считаются персональными, и к ним применяются все требования 152-ФЗ.

Уведомление Роскомнадзора: сроки и порядок действий

Роскомнадзор продолжает придерживаться жесткой позиции: уведомление должно быть подано ДО начала любой обработки. Это касается не только создания новой базы, но и изменения существующих процессов. Если вы внедрили новый модуль в CRM, который начал собирать дополнительные сведения о клиентах (например, геолокацию), вы обязаны обновить свои сведения в реестре операторов.

Порядок действий достаточно прозрачен, но требует внимательности к деталям. Все взаимодействие происходит через портал Роскомнадзора по персональным данным. Вы подаете уведомление, указываете категории данных, цели обработки, способы защиты и перечень лиц, которым эти данные могут передаваться. Важно, чтобы информация в уведомлении полностью совпадала с тем, что фактически происходит на ваших серверах. Любое расхождение - повод для проверки.

Особое внимание стоит уделить срокам при изменении сведений. Если вы изменили перечень обрабатываемых данных или порядок их передачи (например, сменили облачного провайдера), вы обязаны уведомить ведомство не позднее 15-го числа месяца, следующего за месяцем таких изменений. Это правило часто забывают, считая, что "раз мы уже в реестре, то и так сойдет". В 2026 году такие пропуски отслеживаются автоматизированными системами мониторинга ведомства.

Требования Роскомнадзора к операторам также включают обязанность оперативно сообщать об инцидентах. Если произошла утечка или несанкционированный доступ к данным, у вас есть крайне ограниченное время на уведомление регулятора. Задержка в информировании об инциденте может быть расценена как попытка сокрытия нарушения, что значительно утяжеляет последующее наказание.

Алгоритм обновления данных в реестре

1. Проведите внутренний аудит: зафиксируйте, что именно изменилось в процессах обработки.
2. Подготовьте обновленные документы (Политику, Согласия, внутренние регламенты).
3. Зайдите на портал РКН и заполните форму изменений.
4. Проверьте корректность прикрепленных файлов (сканы документов должны быть читаемыми).
5. Дождитесь подтверждения регистрации изменений в реестре.

Как избежать штрафов и уголовной ответственности

В 2026 году риски перестали быть только административными. Если раньше компании боялись штрафов, которые можно было заложить в бюджет как "издержки на комплаенс", то теперь ситуация изменилась. Введены новые составы правонарушений, а за масштабные утечки персональных данных предусмотрена реальная уголовная ответственность для должностных лиц.

Административные штрафы стали значительно выше. Теперь они могут исчисляться не просто фиксированными суммами, а процентами от оборота в определенных случаях, что делает нарушение критическим для бизнеса. Однако главная опасность кроется в уголовном кодексе. Если будет доказано, что утечка произошла из-за грубого пренебрежения правилами безопасности или умышленного нарушения регламентов, ответственность несет не только компания, но и конкретные сотрудники: системные администраторы, руководители IT-отделов и даже СЕО.

Чтобы минимизировать риски, бизнес должен отойти от модели "бумажной безопасности". Недостаточно иметь подписанные согласия, если на сервере нет актуальных патчей безопасности, а доступ к базе данных имеют все сотрудники без разбора. Регулятор при проверке смотрит на связку: "Документ - Регламент - Техническое исполнение". Если в документах написано, что доступ ограничен, а по факту пароль от админки знает весь отдел продаж - это состав правонарушения.

Важно также понимать юридическую сторону вопроса при работе с подрядчиками. Если вы передаете данные на обработку сторонней компании (например, сервису рассылок), ответственность за их сохранность все равно частично лежит на вас. В договорах с подрядчиками должны быть четко прописаны требования к безопасности и порядок действий при инцидентах. Перекладывание всей ответственности на подрядчика в договоре не спасет вас от претензий Роскомнадзора, если вы не проконтролировали его техническую сторону.

Техническая реализация защиты данных на сервере

Техническая сторона вопроса - это фундамент, на котором строится весь комплаенс. Хранение персональных данных на сервере требует многоуровневого подхода. Первым делом необходимо обеспечить физическую и логическую изоляцию критических данных. Это значит, что база с персональными данными не должна находиться в той же подсети, что и публичный веб-сервер, доступный из интернета.

Шифрование - это стандарт де-факто. Данные должны быть зашифрованы как "в покое" (на дисках), так и "в движении" (при передаче между серверами или клиентом). Использование устаревших протоколов шифрования, которые уже признаны небезопасными, в 2026 году является критической уязвимостью. Регулятор при аудите ИТ-инфраструктуры будет проверять именно используемые алгоритмы и версии протоколов (TLS 1.3 и выше).

Система управления доступом (IAM) должна строиться по принципу минимальных привилегий. Каждый сотрудник должен иметь доступ только к тем данным, которые необходимы ему для выполнения текущей задачи. Например, менеджеру по продажам не нужен полный номер паспорта клиента, достаточно его имени и контактных данных. Логирование всех действий с персональными данными - обязательное требование. Вы должны в любой момент иметь возможность восстановить цепочку: кто, когда и зачем обращался к конкретной записи в базе.

Не забывайте про резервное копирование. Бэкапы должны быть не только регулярными, но и защищенными так же строго, как и основная база. Часто бывает, что основная система защищена идеально, а резервный архив хранится на незащищенном сетевом диске, что делает всю систему защиты бессмысленной. Проверка актуальности и целостности бэкапов должна проводиться не реже одного раза в квартал.

Чек-лист по технической защите

• Использование только актуальных версий ОС и СУБД с поддержкой современных протоколов шифрования.
• Разделение контуров хранения данных и публичных сервисов.
• Настройка многофакторной аутентификации (MFA) для всех администраторов и пользователей с доступом к ПДн.
• Регулярное сканирование уязвимостей и установка патчей безопасности.
• Ведение подробных логов доступа и их хранение в защищенном месте.

Уничтожение данных при достижении целей обработки

Один из самых недооцененных аспектов комплаенса - это жизненный цикл данных. Согласно закону, как только цель обработки достигнута или клиент отозвал свое согласие, данные должны быть уничтожены или обезличены. Хранить "мертвые" базы данных годами - это не только нарушение закона, но и огромный риск: в случае утечки вам придется отвечать за данные, которые вы вообще не должны были хранить.

Уничтожение данных не означает простое удаление строки из таблицы SQL. С точки зрения регулятора, это должен быть процесс, исключающий возможность восстановления информации из "мусорных" секторов диска или из резервных копий. В крупных компаниях этот процесс должен быть автоматизирован: система должна сама отслеживать сроки хранения и инициировать процедуру очистки.

Важно документально подтверждать факт уничтожения. В 2026 году это может быть электронный акт, сформированный системой, который содержит информацию о том, какие именно данные были удалены, когда и на основании какого события (например, истечение срока договора). Если вы используете облачные хранилища, убедитесь, что ваш провайдер гарантирует физическое уничтожение данных на своих носителях после удаления по вашему запросу.

Частая ошибка - оставлять данные в "архивах" или "тестовых средах". При переносе базы на тестовый сервер для разработки программисты часто забывают очистить ПДн. В итоге разработчики работают с реальными данными клиентов, что является грубейшим нарушением. Все тестовые среды должны использовать только синтетические, сгенерированные данные, которые никак не связаны с реальными людьми.

Чек-лист для бизнеса по проверке комплаенса

Чтобы не ждать проверки Роскомнадзора, проведите самоаудит. Ниже приведен список ключевых точек контроля, которые помогут понять, насколько ваш бизнес готов к требованиям 2026 года.

Проверьте актуальность ваших документов. Соответствует ли ваша Политика конфиденциальности последней редакции 152-ФЗ? Указаны ли в ней все реальные цели сбора данных? Все ли согласия, которые подписывают клиенты, включают пункт о трансграничной передаче, если вы используете иностранное ПО?

Проведите аудит процессов передачи. Знаете ли вы точно, в какие страны уходят данные ваших клиентов? Проверяли ли вы статус этих стран в актуальном реестре РКН? Уведомили ли вы ведомство о каждой такой передаче?

Оцените техническую защищенность. Проходит ли хранение персональных данных на сервере проверку на соответствие современным стандартам шифрования? Настроено ли логирование действий сотрудников с ПДн? Есть ли у вас четкий регламент уничтожения данных по истечении срока их хранения?

Проверьте работу с персоналом. Проинструктированы ли сотрудники о правилах работы с данными и об уголовной ответственности за утечки? Знают ли они, что делать, если заметили подозрительную активность в системе или произошел технический сбой?

Что запомнить:

• Закон 152-ФЗ в редакции 2026 года требует жесткой привязки каждой категории данных к конкретной цели.
• Трансграничная передача теперь зависит от детального анализа защищенности страны, а не только от членства в международных конвенциях.
• Обезличивание должно быть технически необратимым и проводиться по строгим правилам.
• Уведомление Роскомнадзора об изменениях должно происходить в течение 15 дней после изменений.
• За утечки данных теперь предусмотрена не только административная, но и реальная уголовная ответственность.