Защита персональных данных для бизнеса: что реально требует РКН и без чего не обойтись

Вокруг защиты персональных данных накручено много страха. Одни пугают миллионными штрафами, другие продают «обязательную сертифицированную защиту» за сотни тысяч. Собственник в итоге либо машет рукой и не делает ничего, либо переплачивает за то, что ему не нужно. И то и другое — плохо.

Расскажу, как защита ПДн устроена для обычного бизнеса на деле. Без бюрократического тумана: что закон реально требует, что проверяет РКН и где проходит граница между необходимым и навязанным.

Что такое защита ПДн — и что РКН проверяет на практике

По закону оператор обязан обеспечить безопасность персональных данных — это статьи 18.1 и 19 152-ФЗ. Звучит абстрактно, поэтому переведу на понятный: вы должны принять разумные меры, чтобы данные ваших клиентов и сотрудников не утекли, не потерялись и не попали к тем, кому не положено.

Важный момент, который снимает половину страхов. Дистанционная проверка Роскомнадзора смотрит не на то, какой у вас антивирус. Инспектор проверяет то, что видно и оформлено: есть ли политика на сайте, как собраны согласия, поданы ли сведения в реестр, где хранятся данные. То есть РКН оценивает процесс и документы. Марка железа его не занимает. Это хорошая новость для малого бизнеса: базовый порядок важнее дорогих коробок.

Как это происходит на практике. Инспектор открывает ваш сайт как обычный посетитель, ищет политику и смотрит формы. Потом сверяет вас с реестром операторов. Нашёл нестыковку — направляет запрос, и уже по нему вы показываете документы: приказ о назначении ответственного, перечень мер, согласия. Всё спрашивают на бумаге. Поэтому «у нас всё защищено, честное слово» не работает — нужны документы, которые это подтверждают.

Четыре обязательных меры: документы, техника, люди, регулятор

Всю защиту ПДн удобно разложить на четыре группы. Каждая закрывает свою часть, и вместе они и есть то, что закон называет обеспечением безопасности.

1. Документы

Фундамент, с которого начинают. Сюда входит опубликованная политика обработки данных и корректно собранные согласия в формах. Это первое, что видит проверяющий, и первое, что защищает вас. Подробно про них — в статьях про политику конфиденциальности и согласие на обработку данных.

2. Технические меры

То, что физически мешает данным утечь. Для малого бизнеса это набор простых вещей:

• Разграничение доступа. У каждого сотрудника свой логин, и лишних прав ни у кого нет. Менеджеру не нужен доступ ко всей базе целиком.
• Резервное копирование. Чтобы после сбоя или шифровальщика восстановиться и не потерять базу целиком.
• Журналы действий. Кто, когда и сколько записей открыл или выгрузил. Именно логи помогают понять, что случилось, если данные утекли.
• Обновления и антивирус. Базовая гигиена, которая закрывает большинство известных дыр.
• Российский хостинг. Данные россиян по закону хранятся на серверах в России — про риски зарубежных сервисов в статье о трансграничной передаче.

Почти всё это либо бесплатно, либо уже встроено в сервисы, которыми вы пользуетесь. Дорогого тут нет.

С чего начать по технике, если раньше не занимались: наведите порядок с доступами. Это не стоит денег, а закрывает большую часть риска. Уберите общие логины, отберите лишние права, отключите доступ у тех, кто уволился. Мы однажды нашли у клиента активный доступ бывшего сотрудника через полтора месяца после ухода — типичная история.

3. Организационные меры

Техника не спасёт, если люди не в курсе. Организационная часть — это назначенный ответственный за обработку данных и короткий инструктаж сотрудников: что можно, чего нельзя, куда сообщать о подозрительном. Большинство утечек начинается не со взлома, а с человека, который переслал базу на личную почту или кликнул на фишинг. Про то, как таких историй избегать, писал в разборе социальной инженерии.

Инструктаж не обязан быть лекцией на два часа. Достаточно короткого разговора и одного правила, которое запомнит каждый: данные клиентов не пересылаем на личную почту и в личные мессенджеры, о любом странном письме сообщаем ответственному. Одно это правило снимает изрядную долю бытовых утечек.

Сюда же относится и обратная сторона хранения — вовремя избавляться от того, что держать больше не вправе. Сроки и подтверждение разобрал в статье про уничтожение персональных данных.

4. Регулятор

Последний элемент — уведомить Роскомнадзор и попасть в реестр операторов. Формально это не «защита», но без этого вы для государства невидимы как оператор, и первая же проверка это заметит. Как это сделать, разобрал в статье про оператора персональных данных.

Три ошибки, из-за которых защита не считается

Бывает, что формально всё есть, а при проверке защита рассыпается. Три самые частые причины.

Политика чужая. Скачали шаблон, вставили как есть — а там данные другой компании и обработка, которой у вас нет. Документ вроде есть, но он фиктивный, и это видно с первого взгляда.

Согласие для галочки. Предзаполненный чекбокс «согласен» или согласие, спрятанное в оферте. По закону согласие — это осознанное действие человека, поэтому предустановленная галочка его не заменяет.

Доступ у всех и ко всему. Команда работает под одним логином, у каждого менеджера полный доступ к базе целиком. Когда данные утекут, вы даже не поймёте, через кого. Разграничение доступа — самая недооценённая мера защиты.

Что не обязательно — и за что не стоит переплачивать

Теперь про границу, ради которой стоило читать. Вокруг 152-ФЗ выросла индустрия страха, и собственнику важно понимать, где заканчивается закон и начинается продажа.

Малому бизнесу с базой клиентов обычно не нужны:

• дорогая сертифицированная система защиты за сотни тысяч рублей;
• обязательная аттестация «для сайта с формой»;
• отдельный штат безопасников или платная лицензия «на всякий случай».

Жёсткие требования к сертифицированным средствам и аттестации начинаются на другом уровне — у государственных информационных систем и значимой инфраструктуры. У кофейни, интернет-магазина или юрфирмы этого уровня нет. Поэтому, когда вам продают «обязательную защиту по ФСТЭК для ИП», проверьте, действительно ли это ваш случай. Чаще всего собственнику продают спокойствие, которое он и так может получить за день работы с документами.

Откуда вообще берётся миф про обязательную дорогую защиту. В законе есть понятие уровней защищённости: чем чувствительнее данные и чем их больше, тем выше требования. Для государственных систем и очень крупных баз уровни действительно означают серьёзные технические меры и проверки. Но у типичного малого бизнеса уровень невысокий, и требования к нему — те самые базовые меры, а сертифицированные комплексы тут ни при чём. Продавцы страха про эту разницу умалчивают.

Это не значит, что защита не нужна. Она нужна, но соразмерная. Тратить полмиллиона на оборону лендинга так же глупо, как не запирать склад с товаром.

Особые данные: биометрия и здоровье — режим строже

Одно исключение из «базового набора достаточно». Есть категории данных, для которых закон требует больше, и штрафы за их утечку выше.

Это специальные категории — данные о здоровье, национальности, вероисповедании, интимной жизни (статья 10 152-ФЗ) — и биометрия: распознавание лиц, отпечатки, голос для установления личности (статья 11). Если вы поставили распознавание лиц на проходной, ведёте медкарты клиентов или собираете данные о здоровье сотрудников, режим для вас строже, а цена ошибки выше: штраф за утечку биометрии для компании доходит до 15–20 млн рублей.

Практический ориентир: если клиент приходит и вы записываете что-то про его здоровье, диагноз, инвалидность — это уже специальная категория. Салоны с медсправками, клиники, фитнес, HR с данными о здоровье сотрудников попадают сюда чаще, чем думают. Само по себе это не запрещено, просто требует отдельного согласия и более серьёзного отношения к хранению.

Для большинства обычного бизнеса особые категории не про них: имена, телефоны и адреса к ним не относятся. Но проверить, не собираете ли вы что-то из этого списка незаметно для себя, стоит.

Как защита связана со штрафами за утечку

Здесь появляется прямая денежная логика, которую собственник понимает без перевода. Защита ПДн — это не только «чтобы РКН не ругался». Это ещё и способ ограничить самый страшный штраф.

С 30 мая 2025 года штрафы за утечку данных стали большими: от 3 до 15 млн за первую, оборотные до 500 млн за повторную. Но в законе есть норма, которая позволяет заранее ограничить оборотный штраф коридором — при условии, что компания три года подряд тратила на защиту данных хотя бы 0,1% выручки. То есть вложения в защиту — это не расход, а страховка с понятной ценой. Как эта математика работает, разобрал в статье про штрафы за утечку.

Вывод простой: базовая защита закрывает требование РКН сегодня и сокращает риск огромного штрафа завтра. Один и тот же набор мер работает в обе стороны.

Ещё одна связь, менее очевидная. Защита определяет, насколько быстро вы поймёте, что случилось. Закон даёт всего 24 часа на уведомление РКН об утечке, и уложиться в них можно, только если у вас есть журналы и понятно, кто имел доступ к базе. Компания без логов на вопрос «чьи данные утекли и сколько» отвечает неделю — и получает второй штраф, уже за молчание.

Сколько это стоит малому бизнесу

Сведу к деньгам, потому что это первый вопрос собственника.

Документы — политика, согласия, приказ о назначении ответственного — пишутся один раз. Своими силами это день работы, с юристом — разовый счёт, сопоставимый с парой часов консультации. Уведомление в РКН бесплатно. Разграничение доступов — бесплатно, это настройки в тех сервисах, которые у вас уже есть. Бэкапы — от нуля до пары тысяч рублей в месяц у хостера. Российский хостинг стоит столько же, сколько зарубежный, а часто дешевле.

Итого базовый набор для небольшой компании стоит в основном времени. Бюджет тут почти не тратится. Сравните с тремя миллионами штрафа за первую утечку, и приоритет становится очевиден.

Минимальный план защиты — за один день

Соберу всё в короткий план, который малый бизнес закрывает за рабочий день без ИБ-отдела.

• Опубликуйте политику обработки данных на сайте, ссылку — в подвал.
• Проверьте согласия во всех формах: непредзаполненный чекбокс, ссылки на документы.
• Подайте уведомление в РКН, если ещё не в реестре.
• Разграничьте доступ к базе клиентов: у каждого свой вход, лишних прав нет.
• Настройте бэкапы на отдельный аккаунт и проверьте, что данные лежат на российском хостинге.
• Назначьте ответственного и проведите пятиминутный инструктаж команды.
• Проверьте подрядчиков: кому открыт доступ к данным и что записано в договоре.

Полную самопроверку сайта на соответствие 152-ФЗ собрал в чек-листе аудита — им удобно пройтись после того, как закрыли базовый план.

Короткий вывод

Защита персональных данных для бизнеса — это про порядок. Бюджет тут вторичен. Четыре шага: документы, техника, люди, регулятор. РКН проверяет процесс и бумаги, антивирусный бренд его не занимает, и это на руку малому бизнесу: базовый набор мер реализуется за день и почти без затрат. Дорогие сертифицированные системы нужны там, где нужны, и обычной компании с базой клиентов до этого уровня далеко. Не переплачивайте за страх и не игнорируйте элементарное — золотая середина здесь дешевле обеих крайностей.

Свежие разборы 152-ФЗ на языке бизнеса выкладываю в телеграм-канале.

Частые вопросы

Те же меры нужно требовать и с подрядчиков, которые видят ваши данные — см. договор поручения на обработку ПДн.