Изменения в законодательстве по персональным данным с 30 мая 2025 года: что делать бизнесу и как не попасть под штраф

С 30 мая 2025 года в России вступили в силу масштабные изменения в КоАП РФ и регуляторике обработки персональных данных. Бизнесу важно не только понимать, что изменилось, но и правильно подготовиться: подать уведомление в Роскомнадзор и сформировать комплект внутренних документов.

Поясняем, что происходит, что нужно делать и почему важно не действовать «вслепую».

Что изменилось с 30 мая 2025 года

Обновления в КоАП РФ ужесточили требования к операторам персональных данных. Теперь штраф можно получить не только за утечку данных, но и за:

• отсутствие уведомления в Роскомнадзор;
• неоформленную политику в отношении обработки персональных данных;
• отсутствие правовых оснований для обработки ПД.

Также введены новые, существенно увеличенные штрафы:

• до 300 000 руб. за отсутствие уведомления;
• до 15 млн руб. — за утечку ПД спецкатегорий;
• до 20 млн руб. — за утечку биометрии;
• до 3% годовой выручки — за повторную утечку (с ограничением по суммам: не менее 20–25 млн руб., не более 500 млн руб.)

Важно: с 30 мая 2025 года не действует 50% скидка при быстрой оплате штрафов по статьям 13.11 КоАП РФ (Обзор изменений)

Уведомление Роскомнадзора: зачем и как его подать.

Зачем нужно уведомление

Роскомнадзор — это не «угроза», а регулятор, задачей которого является наведение порядка. Но при отсутствии уведомления:

• автоматически предполагается нарушение закона;
• возможны санкции даже без факта утечки

 

Цитата от Роскомнадзора:

«Приоритетом ведомства остаётся превентивный подход: важно не наказание, а наличие у оператора корректной документации, правовых оснований и понимания своих обязанностей»
(Источник: официальный телеграм-канал Роскомнадзора, 29 мая 2025 г.)

 

Как подать уведомление

• Через сайт РКН — с распечаткой и почтовой отправкой.
• Через сайт с ЭЦП — подписание усиленной квалифицированной подписью.
• Через портал Госуслуг — авторизация и подача онлайн.

Статья 22 152-ФЗ

Документы, которые должен иметь каждый оператор ПД

1. Нормативно-правовые акты
   • Внутренние приказы о назначении ответственных;
   • Утверждённый перечень правовых оснований обработки.
2. Внутренние политики и регламенты
   • Политика конфиденциальности (для сайта и внутренних процессов);
   • Регламенты по защите, хранению, уничтожению данных.
3. Отчёты и протоколы
   • Протоколы инвентаризации данных;
   • Протоколы обучения сотрудников;
   • Акты о допуске к ПД.
4. Договоры с сотрудниками и подрядчиками
   • Соглашения о конфиденциальности;
   • Приложения к договорам о соблюдении 152-ФЗ;
   • Договоры с операторами-аутсорсерами.

Важно про повторные уведомления:

Уведомление в Роскомнадзор подаётся не один раз и навсегда. Его нужно обновлять каждый раз, когда меняется информация, указанная в ранее поданном уведомлении.

Поводом для повторной подачи может быть:

• смена целей или способов обработки ПД;
• изменение категории субъектов данных (например, добавили клиентов к уже существующим сотрудникам);
• смена ответственного лица;
• реорганизация, закрытие юрлица или ИП и др.

Кейсы:

ИП Синицын в 2023 году уведомил РКН о начале обработки персональных данных покупателей интернет-магазина. В 2025 году он начал использовать колл-центр, обрабатывающий заявки, а также стал собирать отзывы с персонализированной обратной связью.

Новые цели, категории и способы обработки не отражены в старом уведомлении — значит, нужно срочно подать повторное уведомление, чтобы избежать штрафа.

🔗 Пункт 1 статьи 22, 152-ФЗ: об обязательстве подавать уведомления при изменениях

 

Компания «РеклаМир» собирала контактные данные клиентов через лендинг с формой заявки. Уведомление в РКН решили не подавать: «мало ли кто этим занимается». После автоматической проверки сайт попал в выборку Роскомнадзора — компания получила штраф 300 000 рублей, при годовой прибыли в 2,4 млн. Теперь помимо штрафа — срочные затраты на юристов и полную реорганизацию документов.

ООО «ТехГрупп» проигнорировало предписание Роскомнадзора, решив, что «успеют всё за 10 дней». В итоге документы оказались сырыми, а новые данные в реестр не были внесены вовремя. В ответ — штраф 250 000 рублей и внеплановая проверка через три месяца. Теперь готовятся к новой волне затрат.

 

Положительный пример

ИП Тарасов всё сделал правильно: перед подачей уведомления нанял юриста, собрал пакет документов, оформил политику, согласия, регламент. Через месяц РКН прислал запрос — Тарасов просто прикрепил подтверждение подачи и пакет документов. Проверка была закрыта без претензий

Что грозит бизнесу при несоблюдении новых требований

• Предупреждение — при первом нарушении (до конца 2025 года, вероятно, этот подход будет сохраняться).
• Штраф 100 000–300 000 руб. — за неуведомление РКН.
• Штраф до 15–20 млн руб. — за утечку, особенно если данные относятся к спецкатегориям или биометрии.
• Штраф до 3% выручки — за повторные нарушения.

Статья 13.11 КоАП РФ (новая редакция)

Что делать: рекомендации и предостережения

НЕ пытайтесь «закрыть вопрос» шаблонами с интернета.

Что действительно нужно:

✅ Проверить наличие уведомления в реестре
✅ При необходимости — подать заново
✅ Обновить все внутренние документы
✅ Подтвердить процесс под подпись (номер заявки, скан, журнал)
✅ Зафиксировать действия по приведению в соответствие

🚫 НЕ стоит:

• Cкачивать и вставлять чужие шаблоны;
• Заполнять уведомление без понимания сути обработки;
• «Переждать», если у вас явная обязанность подавать уведомление.

Если всё это вызывает затруднение — не откладывайте. Обратитесь к нашим юристам, которые знают, как выстроить систему под ключ. Сделайте это не под давлением проверки, а с расчётом на безопасность и устойчивость бизнеса.

Получить консультацию

Почему подать уведомление в Роскомнадзор нужно именно сейчас?

Сфера персональных данных — больше не «белое пятно» в надзоре. С 30 мая 2025 года вступили в силу жёсткие изменения в КоАП РФ, а ещё раньше, в конце 2024 года, появились уголовные последствия. Законодатель показывает: это не кампания на пару месяцев, а переход к реальному контролю и персональной ответственности.

Роскомнадзор более не ограничен в ресурсах: сайты компаний проверяются алгоритмами и ИИ, ежедневно — тысячи адресов. Риск попасть в проверку особенно высок для:

• компаний, работающих с физлицами (розница, медицина, HR, онлайн-сервисы);
• сайтов без политики обработки персональных данных;
• организаций, не внесённых в реестр операторов

Важно: факт сбора данных на сайте уже делает компанию оператором, даже если вы не оформляли это документально.

Раньше санкции применялись в основном за утечку данных. Теперь — и за:

• неподачу уведомления;
• неактуальные сведения в реестре;
• отсутствие или формальность документов (политика, согласия, перечни, регламенты);
• необоснованную обработку;
• нарушения, связанные с биометрией и спецкатегориями данных;·   отказ обслуживать клиента без биометрии (новый состав по ст. 14.8 КоАП РФ)

📌 Теперь не важно, произошла ли утечка. Достаточно просто не подать уведомление или нарушить внутренний порядок. Многие считают, что с 30 мая начался новый режим. Это не так. Обязанность подавать уведомление действует с 2009 года, но до недавнего времени:

• санкции были символическими (до 5 000 рублей);
• контроль был не приоритетным

Теперь всё изменилось: законы те же, но ответственность — иная. Это означает, что отсутствие уведомления теперь официально — юридически значимое нарушение. Если вы получите предписание от Роскомнадзора, то на устранение нарушений у вас будет всего 10 календарных дней. За это время нужно не просто «подать», а:

• сформировать и утвердить внутреннюю документацию;
• обеспечить реальное соответствие;
• внести актуальные данные в реестр.

И даже это не освобождает от штрафа — только смягчает его.Всё говорит о том, что «отсрочить» больше не получится. Новая система работает не на предупреждение, а на выявление и наказание. Подать уведомление и подготовить пакет документов — это уже не бюрократическая мера, а необходимый элемент защиты бизнеса. И делать это нужно до того, как вас проверили.

Обратите внимание, что с учетом новых правил, соблюдение требований по персональным данным становится критически важным для бизнеса. Мы предлагаем комплексную услугу — от подачи уведомления в Роскомнадзор до подготовки полного пакета внутренней документации, необходимой для соответствия требованиям законодательства.

Наша команда профессиональных юристов и экспертов обеспечит:

• Подготовку и подачу уведомления в Роскомнадзор
• Формирование полного пакета документов: процедуры, политики, договоры, протоколы и регламенты и пр.
• Обновление документов при необходимости — чтобы ваше предприятие всегда было в полном соответствии с новыми требованиями

Не рискуйте штрафами до 20 миллионов рублей и возможными блокировками! Обратитесь к нам и получите уверенность в своих юридических обязательствах. Защитите бизнес уже сегодня — это не только законно, но и выгодно для вашей репутации и стабильности.

Свяжитесь с нами для бесплатной консультации и быстрого запуска процесса!

Получить консультацию