Штрафы за нарушение закона о персональных данных и как их не получить
Впервые опубликовано 27.06.2017. Обновили 20 марта 2026 года: актуализировали требования законов и суммы штрафов, рассказали о способах собирать и хранить персональные данные, добавили правила отписки от рассылки.
Персональные данные (ПД) — это любая информация, которая относится к конкретному физическому лицу, то есть позволяет идентифицировать человека.
В законах нет точного перечня данных, которые относятся к персональным, поэтому универсального списка не существует. Однако емейл-адрес пользователя может считаться ПД наряду с ФИО, номером телефона, датой рождения и некоторыми другими сведениями. Это подтверждено письмом Минцифры:
Емейл-адрес может оказаться ПД, если по нему можно идентифицировать конкретного человека:
test@mail.ru — не персональные данные
vasiliy.pupkin@emailmatrix.ru — персональные данные
Персональные данные с 1 сентября 2025 года требуют от бизнеса особенно аккуратного обращения. С этого дня действуют поправки, которые усиливают требования к форме согласий и уведомлениям и ужесточают ответственность за нарушения. Разберёмся, что нужно учитывать емейл-маркетологу, чтобы рассылка приносила прибыль, а не штрафы за персональные данные.
В конце вас будет ждать чек-лист. Он поможет быстро проверить, соблюдает ли компания требования законодательства о персональных данных.
Штрафы за неправильную обработку персональных данных
На емейл-маркетинг распространяются все правила работы с ПД пользователей. Перед запуском рассылки нужно убедиться, что у компании есть все согласия и документы, иначе можно столкнуться со следующими штрафами:
| Нарушение | Кто нарушил | Штраф за первое нарушение (руб.) | Штраф за повторное нарушение (руб.) | ||||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
| Отсутствие письменного согласия на обработку ПД, когда оно должно быть* |
|
|
| ||||||||||||
| Фактическая обработка не соответствует заявленным целям или не предусмотрена законодательством |
|
|
| ||||||||||||
| Отсутствие политики конфиденциальности в открытом доступе |
|
|
| ||||||||||||
| Непредоставление человеку информации об обработке его персональных данных |
|
|
|
* О таких ситуациях читайте ниже.
Штрафы за утечку персональных данных в 2026 году
30 мая 2025 года вступили в силу поправки в закон «О персональных данных», которые повысили штрафы за неправильную обработку.
Главные изменения связаны с утечками ПД. Во-первых, существенно выросли размеры штрафов. Во-вторых, поменялся подход к определению суммы. Если раньше она зависела от размера компании-нарушителя, то теперь — от объёма утечки.
Мы собрали информацию об актуальных штрафах за утечку персональных данных в таблицу:
| Нарушение | Штрафы до 30 мая 2025 года (руб.) | Штрафы после 30 мая 2025 года (руб.) |
|---|---|---|
| Утечка персональных данных |
| Утечка данных от 1000 до 10 000 человек и/или от 10 000 до 100 000 идентификаторов (ФИО, телефон и так далее):
От 10 000 до 100 000 человек и/или от 100 000 до 1 000 000 идентификаторов:
Более 100 000 человек и/или более 1 000 000 идентификаторов:
Утечка данных спецкатегорий:
Утечка биометрических ПД:
|
| Повторная утечка | Аналогичен штрафу за первую утечку | Повторная утечка ПД:
Повторная утечка данных спецкатегорий или биометрических ПД:
|
| Неуведомление или несвоевременное уведомление Роскомнадзора об утечке |
|
|
Также рассмотрим остальные нарушения, по которым изменились штрафы 30 мая 2025 года:
| Нарушение | Кто нарушил | Штраф за первое нарушение (руб.) | Штраф за повторное нарушение (руб.) | ||||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
| Хранение ПД в базах вне территории РФ |
|
|
| ||||||||||||
| Неуведомление или несвоевременное уведомление Роскомнадзора об обработке ПД |
|
|
| ||||||||||||
| Просроченное уточнение, блокирование или уничтожение ПД |
|
|
| ||||||||||||
| Невыполнение государственным или муниципальным органом обезличивания ПД | Должностное лицо | 6000 — 12 000 | аналогичный |
Формы подписки: как правильно взять согласие на обработку персональных данных
Ссылка на документ об обработке данных
По закону, форма сбора персональных данных должна давать человеку возможность узнать, как его данные будут обрабатываться.
Эти правила необходимо закрепить в отдельном документе. Он может называться Политикой конфиденциальности, Политикой обработки персональных данных или иначе. Название непринципиально — главное, чтобы документ содержал все сведения, которые требует закон.
Сам документ обычно размещают в футере сайта, а ссылку на него нужно добавить в форму подписки.
Чекбокс для согласия
Сама по себе форма не считается согласием на обработку ПД: важно, чтобы пользователь выразил активное согласие на это. Проще всего добиться этого, добавив в форму чекбокс. И лучше всего — пустой!
А чтобы не нарушить закон о рекламе, добавьте в этот или отдельный чекбокс согласие на получение рекламной рассылки.
Возможность подтверждения подписки
Мы рекомендуем после подписки через форму отправлять пользователю письмо для подтверждения — Double Opt-in. Это дополнительное доказательство того, что человек самостоятельно выразил активное согласие на подписку, и защита на случай, если форму за него заполнил кто-то другой.
Двойное подтверждение подписки приносит пользу не только в юридических, но и в других задачах. В частности, бережёт техническую репутацию отправителя и позволяет не тратить ресурсы на незаинтересованных подписчиков. Подробнее об этом — в нашей статье.
Доказательства получения согласия
Ручное проставление галочки пользователем нужно фиксировать в лог-файлах. Если потребуется подтвердить корректность сбора ПД, у вас будут доказательства. Назначьте ответственного, который будет контролировать работоспособность лог-файлов и сможет их расшифровать.
Лог-файл — это документ, который фиксирует все действия и события на сайте в хронологическом порядке.
Как правильно хранить персональные данные
Локализация
С 1 июля 2025 года закон обязывает использовать для сбора и дальнейшей обработки ПД только оборудование, расположенное на территории РФ. Невыполнение влечёт штраф для компании — от 1 000 000 до 6 000 000 рублей.
Данные можно передавать за рубеж, но только в соответствии с требованиями закона и Приказа Роскомнадзора № 128. Вот что для этого нужно:
Запросить у госорганов «страны-получателя» следующие сведения:
информацию о защите и об условиях прекращения обработки ПД;
информацию о правовом регулировании в области ПД (если страны нет в специальном перечне и она не относится к Конвенции Совета Европы);
наименование или ФИО, а также номера телефонов, почтовые и емейл-адреса иностранных получателей ПД.
- Направить Роскомнадзору уведомление о намерении трансграничной передачи ПД. Ответ поступит в течение десяти дней — после этого можно передавать данные.
Вступление в реестр операторов
Все компании, работающие с ПД, должны быть включены в реестр операторов персональных данных — иначе бизнесу грозит штраф от 100 000 до 300 000 рублей.
Для этого до начала обработки ПД нужно отправить в Роскомнадзор уведомление: через сайт, «Госуслуги», по почте или в отделении РКН по месту регистрации. В течение 30 дней ведомство внесёт компанию в реестр — и только после этого можно приступать к сбору и обработке ПД.
Техническая защита персональных данных
Персональные данные — это конфиденциальные сведения, поэтому любая компания, которая их получает, обязана обеспечить их безопасность.
Меры безопасности зависят от способа обработки данных. Если компания ведёт автоматизированную обработку (то есть не на бумаге), на неё распространяются требования Правительства и Федеральной службы по техническому и экспортному контролю. Чтобы выполнить эти требования, нужно привлекать технических специалистов или арендовать сервер компании, которая уже соблюдает эти правила.
Как мы защищаем персональные данные клиентов на практике
Нюансов обработки ПД крайне много. Наш главный принцип на всех этапах подготовки рассылки — соблюдать закон. Вот основные правила EMAILMATRIX в работе с ПД клиентов:
- обрабатываем только те ПД, которые разрешил пользователь самостоятельно;
- не выходим за пределы согласия на обработку;
- соблюдаем сроки хранения;
- обеспечиваем мощную техническую защиту.
Когда мы создаём рассылки для подписчиков наших клиентов и работаем с их базами, то также обеспечиваем полную безопасность ПД. Чтобы передача данных нам была правомерной, клиент запрашивает у пользователей соответствующее согласие через свою Политику конфиденциальности. А гарантию соблюдения этого правила мы закрепляем во всех договорах:
Частые вопросы: что ещё нужно знать о штрафах за персональные данные
Обязательно ли добавлять чекбокс в форму подписки, где собирается только емейл?
И да, и нет.
Если говорить о необходимости вообще брать согласие на обработку ПД, когда не собираются имя или телефон, — да, это нужно делать. Потому что емейл-адрес также может оказаться персональными данными, если по нему можно установить личность человека.
При этом в законе не говорится о том, что согласие нужно получать именно через чекбокс. Мы рекомендуем его, потому что это самый простой и безопасный способ, соответствующий разъяснениям Роскомнадзора и судебной практике.
Нужно получать согласие каждый раз во всех формах или достаточно одного раза?
Если данные не изменились, то повторное получение согласия не требуется. Но с технической точки зрения сложно настроить показ формы только тем, кто её ещё не заполнял. Поэтому проще предлагать её всем пользователям.
При сборе новых или дополнительных данных о пользователе нужно получать отдельное согласие.
Можно ли получить согласие через кнопку, прописав в форме сбора ПД, что нажатием пользователь даёт это согласие?
Если до нажатия пользователь имеет возможность ознакомиться с условиями обработки (в форме есть ссылка на документ), то да, это приемлемый вариант. Но обязательно нужно фиксировать в лог-файлах доказательства получения согласия: дату, IP-адрес пользователя и другие параметры, которые помогут его идентифицировать.
Использовать кнопку или чекбокс в форме сбора ПД — зависит от целей сбора:
Если согласие нужно для одноразового использования, то можно обойтись кнопкой.
Если вы планируете использовать ПД регулярно, то это уже дополнительная цель сбора данных. Пользователь должен сам решить, желает ли он постоянно взаимодействовать с компанией, — согласие через чекбокс будет более явным.
Когда для емейл-рассылки требуется письменное согласие на обработку персональных данных?
Письменное согласие нужно для обработки специальных категорий ПД. Они касаются расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни.
Письменное согласие нужно не всегда: закон предусматривает исключения. Например, прислать результаты анализов в письме клиника может без него:
А вот если клиника захочет добавить результаты анализов в профиль клиента в базе (для персонализированных предложений), на это уже потребуется письменное согласие.
Если вы не работаете со специальными категориями ПД, то письменное согласие вам не нужно — будет достаточно обычной формы на сайте.
Нужно ли добавлять согласие на обработку ПД в письмо, подтверждающее подписку?
Это необязательно, так как согласие размещается в самой форме подписки. Но если вы хотите повторно обратить на него внимание, то можете его продублировать.
Сколько раз можно отправлять письмо с подтверждением подписки, если с первого раза пользователь не подтвердил?
Рекомендуем отправлять не больше двух писем. Первое — сразу после заполнения формы, пока человек не отвлёкся от намерения подписаться. Если оно проигнорировано, можно послать напоминание через 1–2 дня.
Если ответа нет, прекратите взаимодействие с пользователем, иначе либо он сам, либо почтовик отправят вас в спам. Это снизит репутацию отправителя, ухудшит доставляемость и эффективность емейл-маркетинга в целом.
Чек-лист: что проверить емейл-маркетологу, чтобы избежать штрафов за персональные данные
Компания включена в реестр операторов ПД.
ПД собираются и хранятся в России.
Вы работаете со своей базой, а не купленной.
Все согласия пользователь дал именно вашей компании, а не кому-то другому.
Соблюдены требования к защите ПД.
В формах сбора ПД есть ссылка на документ с правилами обработки.
В формах сбора ПД есть чекбокс для согласия без предустановленной галочки.
Настроено хранение лог-файлов и назначен ответственный за их расшифровку.
Письмо с подтверждением подписки отправляется не больше двух раз.
Штрафы за нарушение закона о персональных данных: выводы
Емейл-маркетинг постоянно развивается — в том числе его юридическая сторона. С 30 мая 2025 года штрафы за неправильную работу с персональными данными значительно выросли. Чтобы не столкнуться с ними, нужно:
изучить и соблюдать законы о рекламе и о персональных данных, отслеживать законодательные изменения через первоисточники и вовремя на них реагировать;
не работать с покупными базами;
пользоваться нашим чек-листом для самопроверки
