Требования 152-ФЗ в ТЗ: как составить правильно

Коротко: Чтобы составить ТЗ на разработку ПО в соответствии с актуальным законодательством, необходимо внедрить требования 152-ФЗ в ТЗ, учитывая изменения от 26.07.2026 № 265-ФЗ. Важно детально прописать меры защиты по ст. 19, методы обезличивания согласно новым приказам РКН от 2025 и 2026 годов, а также регламентировать трансграничную передачу и сроки уничтожения данных.

Кстати, в AmSales мы делаем внедрение и настройку Битрикс24 и разработку сайтов под ключ под ключ. Если нужна помощь - напишите нам.

Новая редакция 152-ФЗ: что изменилось в 2026 году

Законодательный ландшафт в сфере персональных данных претерпел серьезные изменения, которые напрямую влияют на то, как сегодня нужно составить ТЗ на разработку ПО. Главное событие последних месяцев - вступление в силу поправок от 26.07.2026 № 265-ФЗ. Это не просто косметическая правка формулировок, а фундаментальный пересмотр подходов к ответственности операторов и техническим требованиям к системам.

Если вы используете старые шаблоны ТЗ, составленные год или два назад, они практически гарантированно не пройдут проверку регулятора. Старые формулировки статьи 19, которые часто копируются из вебинаров прошлых лет, теперь не соответствуют актуальному правовому полю. Роскомнадзор усилил контроль за тем, насколько техническая реализация системы совпадает с заявленными в документах целями обработки. Это означает, что проектирование архитектуры ИСПДн должно начинаться не с отрисовки интерфейсов, а с юридического аудита потоков данных.

Основные изменения 152-ФЗ 2026 затронули три ключевых направления: ужесточение требований к архитектурной защищенности, детализацию процессов обезличивания и новые правила уведомления при трансграничной передаче. Теперь недостаточно просто написать в ТЗ "система должна быть защищена". Необходимо четко указывать, какие именно правовые и технические меры реализуются в конкретных модулях системы, чтобы обеспечить защиту персональных данных в ИСПДн на всех этапах жизненного цикла информации.

На практике это означает, что при постановке задачи разработчикам, вы обязаны учитывать не только функционал, но и комплаенс-составляющую. Любое несоответствие между тем, что написано в ТЗ, и тем, как данные реально циркулируют в базе данных, может стать поводом для штрафов. Регулятор теперь смотрит не только на факт наличия защиты, но и на то, насколько эффективно она предотвращает несанкционированные действия в условиях современных киберугроз.

Ключевые вехи обновлений

• 26.07.2026 - вступление в силу закона № 265-ФЗ, изменившего требования к защите данных.
• Обновление методологии РКН по обезличиванию (приказы 2025 и октябрь 2026 года).
• Ужесточение контроля за трансграничными потоками через обязательную проверку правового режима стран-получателей.

Как прописать меры защиты данных по статье 19

Статья 19 152-ФЗ является фундаментом для любого технического задания на автоматизацию. Она обязывает оператора принимать комплекс мер: правовых, организационных и технических. Ошибка многих компаний заключается в том, что они пытаются закрыть этот пункт одной общей фразой. В качественном ТЗ требования 152-ФЗ в ТЗ должны быть разложены на атомарные задачи для разработчиков и системных администраторов.

Технические меры должны быть направлены на предотвращение конкретных сценариев: неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления и распространения данных. Это значит, что в ТЗ нужно требовать реализацию ролевой модели доступа (RBAC), логирования всех действий пользователей с ПДн и механизмов шифрования каналов связи. Если ваша система предполагает работу через облако, требования к защите должны распространяться и на инфраструктуру провайдера.

Организационные меры в рамках ТЗ часто забывают прописывать, а зря. Например, необходимо заложить в функционал системы возможность автоматического разграничения прав доступа при изменении должностных обязанностей сотрудника. Также важно предусмотреть механизмы контроля за тем, чтобы администраторы базы данных не имели неограниченного доступа к просмотру содержимого таблиц с ПДн без специального обоснования.

Пример из практики: компания заказывает CRM-систему. Если в ТЗ не указано требование о защите от "неправомерного копирования", разработчик может сделать выгрузку базы данных доступной любому менеджеру одной кнопкой. С точки зрения ст. 19 это грубое нарушение. Правильно будет прописать: "Система должна ограничивать возможность массового экспорта данных и фиксировать в журнале аудита каждое событие выгрузки с указанием ID пользователя, времени и объема данных".

Необходимый перечень защитных функций в ТЗ

Правила обезличивания данных по актуальным приказам РКН

Обезличивание персональных данных - это не просто замена имени на случайный набор символов. Это сложный математический и юридический процесс. С учетом актуальных требований, включая приказ Роскомнадзора от 19.06.2025 № 140 и самый свежий акт от 06.10.2026, методы обезличивания должны быть строго регламентированы. Если ваша система использует обезличенные данные для аналитики или обучения моделей, требования к ним должны быть прописаны в ТЗ максимально детально.

Обезличивание персональных данных требования к которому крайне высоки, подразумевает, что после обработки восстановить личность человека без использования дополнительной информации должно быть невозможно. В ТЗ необходимо указать конкретный метод, который будет использоваться: метод декомпозиции, метод перемешивания, метод замены или другие методы, утвержденные регулятором. Использование "самописных" алгоритмов обезличивания - прямой путь к признанию данных персональными и последующим санкциям.

Важный нюанс, который часто упускают: согласно части 2 ст. 131 152-ФЗ и приказу Минцифры от 16.03.2026, если вы планируете передавать обезличенные данные третьим лицам (например, партнерам для маркетинговых исследований), в ТЗ должен быть заложен функционал формирования отчетов. Эти отчеты должны содержать четкий перечень обезличенных данных и сроки их предоставления. Система должна уметь "отдавать" именно тот набор атрибутов, который был согласован в правовом поле.

На практике это выглядит так: разработчик создает модуль аналитики. В ТЗ мы пишем: "Реализовать модуль выгрузки аналитических данных с применением метода замены по актуальному приказу РКН от 06.10.2026. Процесс должен исключать возможность деанонимизации субъекта путем сопоставления с внешними базами. Выгрузка должна формироваться в формате, исключающем наличие косвенных идентификаторов (точного адреса, даты рождения в сочетании с полом и т.д.)".

Трансграничная передача данных: новые условия в ТЗ

В условиях глобализации бизнес-процессов трансграничная передача данных стала обыденностью. Однако в 2026 году требования к ней стали значительно жестче. Если ваша CRM использует зарубежные сервисы рассылок, облачные хранилища или аналитические инструменты, вы обязаны предусмотреть механизмы проверки правового режима страны получателя. Старые шаблоны ТЗ, где трансграничная передача упоминалась лишь вскользь, безнадежно устарели.

В ТЗ необходимо заложить функционал, позволяющий оператору контролировать, в какие именно юрисдикции уходят данные. Это может быть реализовано через настройки интеграций или через жестко заданные параметры облачных провайдеров. Важно понимать, что передача данных в страны, не обеспечивающие адекватную защиту (согласно списку РКН), требует отдельного уведомления регулятора и соблюдения особых условий. Если система не позволяет отследить географию обработки, вы не сможете выполнить требования ст. 6 и ст. 12 152-ФЗ.

Для разработчиков это означает необходимость реализации механизмов "геофенсинга" или четкой конфигурации узлов обработки данных. Например, если вы используете гибридную облачную модель, в ТЗ должно быть прописано: "Все первичные базы данных с ПДн граждан РФ должны физически располагаться на серверах на территории РФ. Трансграничная передача в зарубежные сегменты допускается только после предварительного обезличивания и только в рамках разрешенных сценариев, зафиксированных в настройках системы".

Типичная ошибка - полагаться на то, что "провайдер сам все соблюдает". Ответственность перед законом несет оператор. Поэтому в ТЗ должен быть предусмотрен модуль аудита трансграничных потоков: отчет, который покажет, какие данные, когда и в какую страну были переданы. Это позволит быстро подготовить ответ на запрос Роскомнадзора и доказать легитимность ваших действий.

Сроки хранения и уничтожения данных в системе

Согласно ст. 5 152-ФЗ, данные не могут храниться вечно. Как только цель обработки достигнута (например, клиент закрыл договор или истек срок действия согласия), данные должны быть либо уничтожены, либо обезличены. В ТЗ на разработку ПО это должно быть оформлено не как пожелание, а как жесткое функциональное требование к жизненному циклу записи в базе данных.

Проблема многих систем в том, что в них реализовано только добавление и изменение данных, а механизм автоматического удаления (hard delete) или архивации с обезличиванием отсутствует. В ТЗ нужно прописывать автоматизированные сценарии: "Система должна автоматически инициировать процедуру уничтожения данных пользователя через 3 года после последнего входа в систему, если иное не предусмотрено законом". Это избавляет компанию от необходимости вручную чистить базы, что практически невозможно при больших объемах.

Также важно разделить понятия "удаление из интерфейса" и "уничтожение из базы". Часто разработчики просто ставят флаг `is_deleted = true`, но данные остаются в таблицах, что является нарушением закона. В ТЗ должно быть четко указано: "Процедура уничтожения должна подразумевать физическое удаление записей из БД или их необратимое обезличивание, исключающее возможность восстановления первичных идентификаторов".

Для крупных систем, где данные используются в аналитике, эффективным решением будет внедрение процесса "ступенчатого уничтожения". Сначала данные переводятся в архивный режим (ограничение доступа), затем через установленный срок проходят процедуру обезличивания для аналитических целей, и только потом полностью удаляются. Такой подход позволяет сохранить ценную статистику, соблюдая при этом требования 152-ФЗ.

Типичные ошибки при составлении ТЗ на автоматизацию

Опыт показывает, что большинство проблем с комплаенсом возникает не из-за злого умысла, а из-за небрежности при проектировании. Самая распространенная ошибка - это использование размытых формулировок. Фразы типа "обеспечить высокий уровень безопасности" или "соответствовать законодательству" не являются техническим заданием. Разработчик не может "запрограммировать соответствие закону", он может запрограммировать только конкретные функции: шифрование, логирование, ролевую модель.

Вторая критическая ошибка - игнорирование связи между целями обработки и составом данных. Часто в ТЗ включают сбор "всего, что можно", на случай, если это пригодится в будущем. Это прямое нарушение принципа минимизации данных. В ТЗ должен быть четкий список полей, которые собираются, и обоснование для каждого поля. Если вы собираете дату рождения клиента, в ТЗ должно быть понятно, зачем она нужна (например, для проверки возраста 18+), а не просто "для профиля".

Третья ошибка - отсутствие требований к логированию и аудиту. Без детального журнала событий невозможно доказать регулятору, что утечка не произошла по вине системы или что доступ к данным был легитимным. Многие забывают, что логи сами по себе могут содержать ПДн, и их защита должна быть прописана так же строго, как и защита основных баз данных.

Четвертая ошибка - не учет жизненного цикла данных. Как упоминалось выше, системы часто проектируются как "хранилища", а не как динамические процессы. Если в ТЗ не заложены механизмы автоматического удаления или обезличивания, компания обрекает себя на бесконечное накопление "цифрового мусора", который превращается в огромную юридическую ответственность при первой же проверке.

Сводная таблица ошибок и их последствий

Чек-лист проверки требований безопасности для разработчиков

Перед тем как передать ТЗ в работу, проведите финальную проверку. Этот чек-лист поможет убедиться, что требования 152-ФЗ в ТЗ интегрированы на уровне архитектуры, а не добавлены в конец документа как формальность.

Проверьте наличие следующих пунктов в вашем документе:

1. Ролевая модель: Прописаны ли четкие роли (Администратор, Оператор, Пользователь, Аудитор) и права каждой роли в отношении ПДн?
2. Шифрование: Указаны ли конкретные протоколы шифрования для передачи данных и требования к хранению ключей?
3. Логирование: Зафиксировано ли требование о записи в журнал каждого действия с ПДн (просмотр, изменение, удаление, экспорт)?
4. Обезличивание: Если система использует обезличивание, указан ли конкретный метод согласно приказам РКН (актуально на октябрь 2026)?
5. Жизненный цикл: Есть ли в ТЗ описание автоматических сценариев удаления или обезличивания данных по достижении цели обработки?
6. Трансграничность: Если есть интеграции с внешними сервисами, прописан ли механизм контроля географии передачи данных?
7. Уничтожение: Указано ли, что удаление данных должно быть необратимым (физическим)?

Если хотя бы по трем пунктам у вас "пусто" - ТЗ нужно дорабатывать. Помните, что исправить архитектурную ошибку на этапе разработки стоит в 10 раз дешевле, чем переделывать готовую систему после предписания Роскомнадзора или, тем более, после реального инцидента с утечкой данных.

Что запомнить:

• Всегда используйте актуальную редакцию 152-ФЗ (с учетом изменений от 26.07.2026 № 265-ФЗ).
• Требования по ст. 19 должны быть детализированы до конкретных технических функций, а не общих фраз.
• Обезличивание должно соответствовать последним приказам РКН (включая октябрь 2026 года).
• ТЗ должно содержать четкий алгоритм уничтожения данных по достижении целей обработки.
• Трансграничная передача требует обязательного контроля юрисдикции получателя.