Как работать с персональными данными и не нарваться на штраф

Если вы собираете email, телефоны или запускаете рассылки, вы уже работаете с персональными данными. А с мая 2025 года за ошибки в этом месте бизнес платит не для галочки, а сотнями тысяч и миллионами рублей. Разбираем, что проверить прямо сейчас

Что считается персональными данными

• Имя + email
• Имя + телефон
• IP-адрес + действия на сайте

Не персональные данные:

• Должность + корпоративная почта
• Никнейм без привязки к человеку

Даже email считается персональными данными, если по нему можно идентифицировать человека

Базовые требования 152-ФЗ

Если вы работаете с данными клиентов, вы — оператор ПДн. Значит, обязаны:

• Уведомить Роскомнадзор о начале обработки данных

Без этого любая работа с базой формальное нарушение

• Получать согласие заранее

До начала рассылок, лидогенерации и любой коммуникации

• Хранить данные в РФ

С июля 2025 года запрещён первичный сбор через зарубежные сервисы. Если данные сразу уходят за границу это риск штрафа

• Обеспечить безопасность

Ограничение доступов, защита серверов, регламенты внутри команды

• Давать информацию по запросу

Пользователь вправе узнать, какие данные вы храните и зачем

• Удалять данные по требованию

Старые базы — отдельный риск

Если база собрана до появления согласий, её нельзя просто оставить как есть

Что делать:

• Запросить согласие повторно
• Тех, кто не подтвердил удалить

Как правильно собирать данные

Минимальный набор, который должен быть у любого маркетолога:

1. Пустой чекбокс согласия
2. Ссылка на политику конфиденциальности в один клик
3. Чёткая цель сбора: рассылка, уведомления, дайджест и т.д.
4. Double Opt-In для подписок (подтверждение по email)

Как организовать работу внутри

1. Регулярно проверяйте базу и наличие согласий
2. Храните доказательства: дата, время, IP, текст согласия
3. Настройте процесс удаления данных
4. Ограничьте доступ сотрудников
5. Обучите команду базовым правилам
6. Используйте защищённое хранение в РФ