152-ФЗ простыми словами: что это за закон о персональных данных и о чём он
152-ФЗ — что это и о чём закон о персональных данных, простыми словами. Кого касается, какие обязанности у бизнеса, что изменилось к 2026 году и какие штрафы грозят за нарушения.
152-ФЗ простыми словами: что это за закон и о чём он
152-ФЗ — это Федеральный закон от 27 июля 2006 года № 152-ФЗ «О персональных данных». Он определяет, как компании, предприниматели и государственные органы могут собирать, хранить и использовать информацию о людях. Если коротко: закон защищает право человека контролировать, кто и зачем знает его имя, телефон, адрес и другие сведения о нём. Разберём закон без юридического языка — что он требует, кого касается и что изменилось к 2026 году.
Что такое персональные данные
По закону персональные данные — это любая информация, относящаяся прямо или косвенно к определённому человеку. На практике:
- ФИО, телефон, email, адрес
- дата рождения, паспортные данные, СНИЛС, ИНН
- фото и видео с узнаваемым человеком
- история покупок и визитов, привязанная к клиенту
- данные о здоровье, биометрия — это отдельные, особо защищаемые категории
Имя и телефон из формы обратной связи на сайте — уже персональные данные. Подробный разбор с примерами — в статье что относится к персональным данным.
О чём закон: главные понятия
| Понятие | Что значит простыми словами |
|---|---|
| Оператор | Тот, кто собирает и использует данные: компания, ИП, госорган |
| Субъект | Человек, чьи это данные: клиент, сотрудник, посетитель сайта |
| Обработка | Любое действие с данными: сбор, хранение, использование, передача, удаление |
| Согласие | Разрешение человека на обработку его данных |
| Локализация | Требование хранить данные россиян на серверах в России |
Ключевое, что нужно понять: оператор — это почти любой бизнес. Сайт с формой заявки, клиентская база в CRM или Excel, наёмные сотрудники — каждый из этих пунктов делает вас оператором.
Кого касается 152-ФЗ
Закон распространяется на всех, кто обрабатывает персональные данные, независимо от размера:
- юридические лица — от крупной сети до небольшой студии
- индивидуальные предприниматели — подробнее в статье 152-ФЗ для ИП и самозанятых
- государственные и муниципальные органы
- сайты, интернет-магазины, онлайн-школы — см. 152-ФЗ для сайта
Исключений для малого бизнеса нет. Салон красоты на два кресла и федеральная сеть — одинаково операторы.
Что закон требует от бизнеса
Если упростить до списка, обязанности оператора такие:
- Иметь законное основание для обработки — чаще всего согласие человека или договор с ним
- Опубликовать политику обработки персональных данных, если данные собираются через сайт
- Подать уведомление в Роскомнадзор о том, что вы обрабатываете данные
- Хранить данные россиян в России — требование локализации
- Назначить ответственного за организацию обработки данных
- Защищать данные — организационными и техническими мерами
- Отвечать на запросы людей о их данных и удалять их по требованию в установленные сроки
- Сообщать об утечках в Роскомнадзор в течение 24 и 72 часов
Полный перечень документов, которые для этого нужны, — в статье документы по 152-ФЗ: полный перечень.
152-ФЗ с изменениями на 2026 год
Закон действует с 2006 года, но за последние полтора года изменился сильнее, чем за всё время до этого:
| Дата | Что изменилось |
|---|---|
| 30 мая 2025 | Штрафы выросли в разы, введена ответственность за утечки с учётом масштаба |
| 1 сентября 2025 | Согласие должно быть отдельным документом, а не пунктом договора |
| 30 ноября 2025 | Оборотные штрафы за повторную утечку — до 500 млн рублей |
| 28 декабря 2025 | Дела о персональных данных рассматривают мировые судьи |
| 2026 | Роскомнадзор проверяет сайты автоматически с помощью ИИ-бота |
| 1 сентября 2026 | Новый приказ ФСТЭК о защите данных вместо приказа №21 |
Подробный разбор — в статье изменения 152-ФЗ в 2025–2026 годах.
Что будет за нарушение
Ответственность установлена статьёй 13.11 КоАП РФ. Ориентиры для юридических лиц:
- нет политики на сайте — до 60 000 рублей
- нет уведомления в Роскомнадзор — до 300 000 рублей
- обработка без согласия или неверная форма согласия — до 700 000 рублей
- хранение данных не в России — до 6 млн рублей
- утечка — от 3 до 20 млн рублей в зависимости от масштаба и категории данных
- повторная утечка — 1–3% выручки, до 500 млн рублей
Кроме того, с конца 2024 года действует уголовная статья 272.1 УК РФ за незаконный оборот персональных данных. Полная таблица — в обзоре штрафов по 152-ФЗ в 2026 году.
Как проверить, соблюдаете ли вы закон
Пять вопросов, на которые стоит ответить честно:
- Есть ли на сайте политика обработки персональных данных?
- Есть ли в формах чекбокс согласия, который не стоит по умолчанию?
- Есть ли ваша компания в реестре операторов Роскомнадзора? Проверить можно по ИНН — инструкция в статье как проверить компанию в реестре
- Где хранятся данные клиентов — в России или в зарубежных сервисах?
- Знают ли сотрудники, кто отвечает за персональные данные в компании?
Если хотя бы на один вопрос ответ «нет» или «не знаю», требования закона выполнены не полностью.
Главный вывод
152-ФЗ простыми словами — это правила обращения с информацией о людях. Закон касается практически любого бизнеса, у которого есть клиенты, сотрудники или сайт с формой. С 2025 года он стал заметно строже: выросли штрафы, появились оборотные санкции, а проверки стали автоматическими. Базовое соответствие закону — политика, согласия, уведомление в Роскомнадзор и хранение данных в России — для небольшой компании закрывается за несколько дней.
Источники
- Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» в действующей редакции
- Статья 13.11 КоАП РФ, статья 272.1 УК РФ
- Федеральный закон от 30.11.2024 № 420-ФЗ
Хотите понять, где вы находитесь по 152-ФЗ? Пройдите бесплатный экспресс-аудит — восемь вопросов и пять минут. Или оставьте заявку на разбор вашей ситуации.