Новые правила
Главное изменение, которое заметит бизнес, касается согласия на обработку данных. С 1 сентября 2025 года его нельзя оформить строчкой в договоре или галочкой в анкете — разрешение должно быть отдельным документом. Такую практику прямо запрещает статья 9 закона, поправки в которую внесли Федеральным законом от 24.06.2025 № 156-ФЗ. Если компания продолжит пользоваться старым форматом, согласие будет считаться неполученным: штраф для юридических лиц — от 300 тыс. до 700 тыс. рублей, при повторе — до 1,5 млн.
Одновременно ужесточили требования к тому, где хранятся данные. По статье 18 все личные сведения граждан России должны лежать на серверах, расположенных в стране. Иностранные облака и зарубежные сервисы можно использовать только при условии, что первичная копия размещена на российских ресурсах. За первое нарушение штраф достигает 6 млн рублей, за повторное — выше.
Отдельно закон ужесточил ответственность за утечки. С 30 мая 2025 года за повторные случаи действуют оборотные штрафы: их считают от годовой выручки компании — от 1 до 3%, но не меньше 20 млн рублей и не больше 500 млн. Об инциденте нужно сообщить в Роскомнадзор в течение 24 часов, а полные результаты расследования предоставить за 72 часа. За нарушение срока — отдельный штраф до 3 млн рублей.
Появились и штрафы за отсутствие регистрации в Роскомнадзоре. Любая компания или индивидуальный предприниматель, которые собирают или обрабатывают персональные данные, должны попасть в реестр операторов. Это касается не только крупных компаний, но и небольших сайтов и ИП. За отсутствие регистрации юрлицо заплатит до 300 тыс. рублей, ИП — до 50 тыс.
Оператор поневоле
Малый бизнес часто не знает, что является оператором персональных данных. Между тем, как отмечает эксперт, если у предпринимателя есть сотрудники, он уже оператор — как минимум в части данных работников. Оператором он становится и тогда, когда собирает сведения о клиентах и контрагентах, даже если у него нет сайта с формой заявки.
«Важно понять, зачем бизнесу собирать данные и не излишни ли они. Если, например, салон красоты, то достаточно имени и телефона. Требовать адрес или фотографию покупателя — уже перебор. Роскомнадзор это контролирует, и я считаю такой подход правильным», — говорит Анастасия Слискова.
Если индивидуальный предприниматель работает самостоятельно, не хранит информацию о клиентах и не обрабатывает их данные, он может и не быть оператором. Но каждый случай нужно смотреть индивидуально.
Бумажная броня
Выполнить требования закона без юриста и IT-специалиста реально, но эксперт рекомендует не экономить на документах. Шаблоны из интернета часто не подходят конкретному бизнесу. Качественный пакет документов стоит от 20 до 35 тыс. рублей — по словам эксперта, это небольшие затраты в масштабе защиты бизнеса.
«Я видела документы, которые IT-специалисты передают клиентам при разработке сайтов. Они не имеют ничего общего с проработанным пакетом, который готовит юрист. Лучше один раз сделать все правильно и жить спокойно», — советует Слискова.
Важно не только подготовить бумаги, но и подать заявление в Роскомнадзор о признании оператором, дождаться приказа и разместить все документы. По словам эксперта, главное, на что смотрят при проверке, — совпадают ли политика обработки данных, согласие и цели, которые компания заявила в реестре.
По словам эксперта, ведомство активно помогает бизнесу. Она много раз обращалась в управление Роскомнадзора по Алтайскому краю и всегда получала понятные разъяснения. В августе 2026 года надзорный орган провел день открытых дверей, где специалисты отвечали на вопросы предпринимателей. По словам эксперта, до 2030 года действует мораторий на выездные проверки, но обращения третьих лиц ведомство рассматривает.
Отдельная подпись
Для покупателя в новой схеме изменилось немногое. Появятся чекбоксы без заранее проставленной галочки и ссылки на политику, пользовательское соглашение и оферту. По мнению эксперта, на конверсию это не повлияет.
«Раньше в политику или пользовательское соглашение запихивали все, включая согласие на рекламную рассылку. Потом покупатель удивлялся, почему его почта забита рекламой. Сейчас у человека есть возможность ознакомиться с документами и отказаться, например, от использования cookie», — объясняет Анастасия Слискова.
Главное для покупателя — разрешение больше не спрятано в общем документе. Если бизнес хочет отправлять рекламные рассылки или передавать сведения партнерам, он обязан получить согласие с указанием тематики рассылки и перечня третьих лиц. Пример третьих лиц — платформа для сайта или CRM-система, куда уходят заказы. Покупатель должен понимать, кто будет обрабатывать его информацию.
За нарушение правил рассылок штрафует Федеральная антимонопольная служба, поэтому после отписки клиента рассылка должна прекратиться немедленно.
Прописка для данных
Требование хранить ПДн на серверах в России эксперт оценивает положительно, особенно с учетом внешней ситуации и санкций. Первичная обработка сведений должна происходить на территории России, а дальнейшая — возможна с использованием серверов дружественных стран.
«Держать серверы за рубежом сейчас небезопасно. Если предприниматель хочет работать в этой сфере, он найдет пути соблюдения закона. Да, переход может оказаться затратным. Возможно, небольшие проекты уйдут с рынка или объединятся с более сильными компаниями. Но безопасность данных важнее», — считает эксперт.
Прозрачность дороже
Для покупателя важнее прозрачность, чем меньшее число кликов. По словам Анастасии Слисковой, дополнительные два клика при оформлении заказа не снизят конверсию. Гораздо важнее, что теперь нельзя спрятать условия: человек может перейти, ознакомиться с документами и отказаться от чего-то.
«Задача юриста и маркетолога — сделать предупреждения на форме согласия не слишком громоздкими, чтобы они не отпугивали клиента. Но полностью убрать их нельзя. Это право гражданина — выбирать, давать согласие или нет», — подчеркивает эксперт.
Рецепт спокойствия
Эксперт советует предпринимателям не паниковать, а разобраться в требованиях. По данным Анастасии Слисковой, в 2026 году Роскомнадзор зафиксировал 140 тыс. обращений третьих лиц — по ним ведомство проводит проверки.
«Все законы — и о платформенной экономике, и о персональных данных, и о рекламе — направлены на защиту граждан и делают рынок прозрачнее. Важно не только требовать защиты своих прав, но и соблюдать права других. Тот, кто предупрежден, тот вооружен. Лучше один раз подготовить документы и работать спокойно», — резюмирует Анастасия Слискова.
Для покупателя в итоге больше плюсов: понятные правила, защита данных и возможность контролировать, кому уходят его сведения.
Бизнесу это добавит расходов, которые могут отразиться на цене товара. Но эксперт считает такую плату за прозрачность и безопасность нормальной.
