Персональные данные — любая информация, по которой можно определить человека: имя и телефон в записи на стрижку, адрес доставки, паспорт и СНИЛС сотрудника, запись с камеры в зале. Если вы их собираете и храните, вы — оператор персональных данных по закону 152-ФЗ. Размер бизнеса значения не имеет: закон одинаков для банка и для студии маникюра. Хорошая новость — для малого бизнеса набор обязательных действий небольшой и делается за пару дней.
Где у вас персональные данные
Прежде чем что-то оформлять, составьте простой список: какие данные, о ком, зачем и где они лежат. У типичного малого бизнеса их четыре группы:
| Чьи данные | Какие | Где хранятся |
|---|---|---|
| Клиенты | Имя, телефон, история визитов, адрес доставки | CRM, онлайн-запись, таблица, мессенджер |
| Сотрудники и кандидаты | Паспорт, СНИЛС, ИНН, реквизиты, резюме | Кадровые документы, бухгалтерский сервис, почта |
| Посетители | Изображение на камерах | Видеорегистратор, облако |
| Подписчики и посетители сайта | E-mail, телефон из форм, данные метрики | Сайт, сервис рассылок |
Этот список и есть основа для всех документов ниже. А ещё он сразу показывает слабые места: база клиентов в личном телефоне администратора или таблица с паспортами в общем доступе — то, что стоит исправить в первую очередь.
Обязательный минимум
- Уведомление в Роскомнадзор о намерении обрабатывать персональные данные — до начала обработки. Подаётся онлайн на портале pd.rkn.gov.ru или через Госуслуги, бесплатно. Исключений в законе мало, и для бизнеса с клиентской базой они почти никогда не подходят. Изменились сведения — нужно уведомление об изменениях.
- Политика обработки персональных данных — документ о том, какие данные, зачем и как вы обрабатываете. Если данные собираются через сайт, политика должна быть опубликована на нём.
- Согласия. С 1 сентября 2025 года согласие на обработку оформляется отдельным документом — его нельзя спрятать в договор или пользовательское соглашение. На сайте это отдельная галочка со ссылкой на текст согласия, не отмеченная заранее. Для рекламных рассылок нужно ещё и согласие на получение рекламы (глава об удержании клиентов).
- Ответственный и внутренние правила. Назначьте ответственного за обработку данных (в малом бизнесе это обычно сам владелец) и запишите, кто к каким данным имеет доступ.
- Локализация. С 1 июля 2025 года сбор и хранение персональных данных граждан России должны вестись в базах данных на территории России. Это касается CRM, сервисов записи и рассылок: выбирайте те, что хранят данные в России. Передача в иностранный сервис может стать трансграничной передачей, о которой нужно отдельно уведомлять Роскомнадзор (подробнее — в главе об ИИ и данных).
Сотрудники и видеонаблюдение
Данные сотрудников вы обрабатываете в рамках трудовых отношений, но и здесь есть правила: берите только то, что нужно по закону, храните кадровые документы в закрытом месте или защищённом сервисе, не передавайте данные третьим лицам без согласия работника — кроме случаев, прямо предусмотренных законом (налоговая, Социальный фонд, банк по зарплатному проекту). Как устроен кадровый минимум — в главе о кадровых документах. Резюме кандидатов, которых вы не взяли, тоже персональные данные: храните их только с согласия кандидата, а без него — удаляйте после окончания отбора.
Камеры в зале и на кассе допустимы, но об их наличии нужно предупреждать — табличкой у входа и в трудовых договорах или локальных актах для сотрудников. Пока запись используется для безопасности и не служит для установления личности по лицу, она обычно не считается биометрией. Если же вы подключаете систему распознавания лиц, это уже биометрические данные со своими жёсткими правилами.
Утечка: что делать и сколько стоит
Утечка — это не только взлом. Таблица клиентов, отправленная не тому человеку, уволенный администратор, унёсший базу, ссылка на облако без пароля — тоже утечки. При утечке закон требует:
- в течение 24 часов с момента, когда вы о ней узнали, уведомить Роскомнадзор: что случилось, какие данные, что вы делаете;
- в течение 72 часов — сообщить о результатах внутреннего расследования и виновных, если они установлены.
С 30 мая 2025 года штрафы за нарушения с персональными данными резко выросли (закон 420-ФЗ). Для компаний:
| Нарушение | Штраф для организации |
|---|---|
| Не подали уведомление о начале обработки | 100–300 тыс. ₽ |
| Не сообщили Роскомнадзору об утечке | 1–3 млн ₽ |
| Утечка данных 1–10 тыс. человек | 3–5 млн ₽ |
| Утечка данных 10–100 тыс. человек | 5–10 млн ₽ |
| Повторная утечка | 1–3% годовой выручки, не меньше 20 млн ₽ |
Предприниматели по этим нарушениям отвечают как организации, то есть суммы из таблицы относятся и к ИП (примечание к ст. 13.11 КоАП); детали конкретного случая уточните у юриста. Важная деталь: утечка небольшой базы (до тысячи человек) не попадает под самые крупные штрафы, но обязанность уведомить Роскомнадзор действует всегда.
Чек-лист на один вечер
- Составить список: какие данные, о ком, где лежат.
- Подать уведомление в Роскомнадзор, если ещё не подано.
- Написать политику обработки и опубликовать её на сайте.
- Сделать отдельные формы согласий: для клиентов, для рассылок, для сотрудников и кандидатов.
- Проверить, где хранятся CRM, запись и рассылки, — в России ли.
- Закрыть доступ к базе всем, кому он не нужен; включить вход по паролю и двухфакторную защиту.
- Повесить табличку о видеонаблюдении.
- Записать на одной странице, кто и что делает при утечке, — с телефоном юриста.
Правила и цифры в главе — на октябрь 2026 года. Требования к персональным данным меняются часто: перед решением сверьтесь с актуальной редакцией 152-ФЗ, сайтом Роскомнадзора или с юристом.