Генератор152ФЗ · Журнал

Обзор

Обработка персональных данных в 2025–2026 годах: обзор ключевых изменений для оператора

Актуальная редакция · 05.10.2026 · обновляется ежемесячно

Аннотация

УДК 342.9

Законодательство в сфере обработки персональных данных развивалось поступательно, но с 2025 года тенденции стали скорее наступательными: ускорилась эволюция норм и кратно выросла ответственность за их нарушение. С 1 сентября 2025 г. согласие на обработку не допускается включать в иные документы, которые акцептирует субъект, – это отдельный документ (156-ФЗ). С 1 июля 2025 г. при сборе данных граждан России базы должны находиться в России (23-ФЗ). Выросли административные штрафы по ст. 13.11 КоАП РФ, появилась уголовная ст. 272.1 УК РФ. С 26 июля 2026 г. уточнены правила трансграничной передачи (ст. 1 265-ФЗ). С 1 сентября 2025 г. действует пакет правил об обезличивании; в 2026 году обновились требования ФСТЭК и ФСБ для государственных систем, а с 1 октября 2026 г. уточнены правила простой электронной подписи на Госуслугах. Срез – по состоянию на 5 октября 2026 г.

Ключевые слова: персональные данные, 152-ФЗ, согласие, локализация, ответственность, трансграничная передача, обезличивание, электронная подпись, ФСТЭК, ФСБ, оператор, ГЕНЕРАТОР152ФЗ.

Abstract

Abstract. Key 2025–2026 personal data rules relevant to operators were summarised as of 5 October 2026. Separate consent (156-FZ), localisation at collection (23-FZ), stricter Article 13.11 CAO RF and Article 272.1 CC RF, refined cross-border transfer criteria (Article 1 of 265-FZ), the depersonalisation package, updated FSTEC Order No. 117 as amended by Order No. 137 and FSB Order No. 321 for state systems, and simple e-signature rules for Gosuslugi (Government Decree No. 1223) were compared. Forthcoming acts were referred to a separate overview.

Keywords: personal data, 152-FZ, consent, localisation, liability, cross-border transfer, depersonalisation, electronic signature, FSTEC, FSB, operator, GENERATOR152FZ.

Введение

Методическая оговорка. Настоящий материал – обзор, не полный комментарий и не юридическая консультация по конкретной деятельности. Дата подготовки – 5 октября 2026 г. Страница обновляется по возможности ежемесячно по тому же адресу; предыдущие редакции, уже выложенные на продакшен, указываются в разделе «Предыдущие редакции». Размеры санкций и сроки следует сверять с актуальной редакцией КоАП РФ, УК РФ и 152-ФЗ. Здесь – только уже применяемые правила. Принятое, но ещё не вступившее в силу, и проекты на портале НПА – в обзоре готовящихся изменений; ст. 13.11 КоАП РФ и ст. 272.1 УК РФ – в статье об ответственности.

В Федеральном законе «О персональных данных» и раньше существовали разные виды согласий, в том числе требования к письменной форме, но до 1 сентября 2025 г. не было чёткого закрепления, что согласие может быть получено исключительно отдельно от иных документов – например, от договора (ч. 1 ст. 9 152-ФЗ в редакции Федерального закона от 24 июня 2025 г. № 156-ФЗ). На практике на одном листе с договором нередко оказывались абзацы о согласии на распространение ПДн, о включении в общедоступные источники, о специальных категориях или – чаще всего – о рекламной рассылке. Новая норма исключила подход, при котором субъекту могли быть «подсунуты» согласия, по факту не связанные с предметом отношений.

Самостоятельный вектор получили правила работы с персональными данными при их сборе. В отличие от ряда зарубежных подходов российское законодательство стремится «приземлить» операторов не только по месту организации обработки, но и императивно указывает на возможность использования оборудования и в ряде случаев программного обеспечения на территории России. С 1 июля 2025 г. не допускается осуществлять сбор ПДн, в том числе посредством сети «Интернет», с использованием баз данных, находящихся за пределами территории Российской Федерации (ч. 5 ст. 18 152-ФЗ в редакции Федерального закона от 28 февраля 2025 г. № 23-ФЗ).

К октябрю 2026 г. к этим нововведениям добавились ужесточение административной ответственности и уголовная ответственность за незаконный оборот компьютерной информации с персональными данными, уточнение критериев «адекватной» страны при трансграничной передаче, режим обезличивания, новые требования к защите государственных информационных систем и уточнение правил простой электронной подписи на Госуслугах.

1. Согласие и оформление волеизъявления

С 1 сентября 2025 года действует дополнение ч. 1 ст. 9 152-ФЗ (ст. 5 Федерального закона от 24 июня 2025 г. № 156-ФЗ): согласие оформляется отдельно от иных информации и (или) документов, которые подтверждает и (или) подписывает субъект. Это правило о форме согласия, а не о локализации баз данных.

На практике «общий» блок галочек в конце договора или политики больше не закрывает вопрос. Согласие живёт отдельным листом или отдельным экраном, а доказательство волеизъявления хранят отдельно от текста договора. Согласия, полученные до 1 сентября 2025 года, по общему подходу к переходному режиму продолжают действовать; после этой даты новые согласия оформляют отдельным документом. Та же логика распространяется на случаи, где основанием служит письменное согласие по ст. 10 или ст. 11 152-ФЗ: специальные категории и биометрия тоже не «прячутся» абзацем внутри договора.

Подробнее: согласие как самостоятельное условие обработки.

2. Локализация при сборе ПДн граждан РФ

С 1 июля 2025 года при сборе персональных данных граждан Российской Федерации запись, систематизация, накопление, хранение, уточнение и извлечение ведутся с использованием баз, находящихся на территории России (ч. 5 ст. 18 152-ФЗ в редакции 23-ФЗ). Именно этот акт – про «приземление» баз при сборе, а не 156-ФЗ об отдельном согласии.

Норма бьёт прежде всего по модели, когда первичная запись с сайта или из приложения сразу уходит в зарубежное облако. Оператору приходится заново описать в политике и внутренних актах, где физически и юридически размещены базы при сборе, и сверить договоры с хостинг-провайдерами. Зеркало, реплика, удалённый доступ – всё это лучше заранее зафиксировать в модели обработки и в тексте политики, чем объяснять уже по итогам проверки.

3. Ответственность: ст. 13.11 КоАП РФ и ст. 272.1 УК РФ

Неисполнение обязанностей как правило порождает ответственность, зачастую символическую, а иногда вовсе не предусматривает таковой: например, водитель обязан не превышать установленную в городе скорость 60 км/ч, но ответственность появляется только при превышении на 20 км/ч. Нарушениям правил работы с персональными данными в КоАП РФ посвящена отдельная большая статья – ст. 13.11, которая в редакции Федерального закона от 30 ноября 2024 г. № 420-ФЗ с 30 мая 2025 г. действует с новыми санкциями. Размеры административных штрафов кратно превысили наказания за аналогичные составы в прошлом. Особое внимание уделяется правонарушениям, связанным с утечками персональных данных, и неуведомлению Роскомнадзора об инциденте. Для повторных однородных нарушений введён институт «оборотных» штрафов – исчисление от выручки правонарушителя от реализации товаров (работ, услуг) с нижним и верхним порогами. Такой подход, по замыслу законодателя, должен стимулировать пересмотреть практику выполнения требований закона.

Рядом с административным контуром с 11 декабря 2024 г. действует ст. 272.1 УК РФ (Федеральный закон от 30 ноября 2024 г. № 421-ФЗ) о незаконных действиях с компьютерной информацией, содержащей персональные данные, полученной незаконным путём, и о ресурсах для такого оборота. Состав адресован физическим лицам при наличии признаков преступления и не совпадает со ст. 13.11 КоАП РФ для оператора-организации. Конкретные части статей и суммы сверяют с актуальной редакцией КоАП РФ и УК РФ; ориентиры и таблица составов – в статье о политике обработки ПДн и штрафах и в статье о КоАП и УК.

4. Трансграничная передача

С 26 июля 2026 года действует ст. 1 Федерального закона от 26 июля 2026 г. № 265-ФЗ. Она уточнила, по каким критериям иностранное государство включают в перечень стран, обеспечивающих адекватную защиту прав субъектов (ст. 12 152-ФЗ): смотрят правовое регулирование и фактически применяемые меры защиты в соотношении с Конвенцией Совета Европы № 108; формулировки, завязанные лишь на статус «стороны Конвенции», скорректированы. Обязанность уведомлять Роскомнадзор о трансграничной передаче сохраняется.

Для оператора, который передаёт данные за рубеж или даёт иностранным подрядчикам удалённый доступ к системам, одного факта участия страны в Конвенции уже недостаточно. Нужно смотреть актуальный перечень Роскомнадзора и готовить уведомление под фактическую географию получателей. Статья 2 того же 265-ФЗ вступает в силу с 1 сентября 2027 г. и относится к столичной технологической платформе – она в обзоре готовящихся изменений. Подробнее о ст. 12 – в статье о трансграничной передаче.

5. Обезличивание и составы обезличенных данных

С 1 сентября 2025 года действует ст. 13.1 152-ФЗ (Федеральный закон от 8 августа 2024 г. № 233-ФЗ и смежные нормы) и подзаконный пакет: постановления Правительства РФ от 26 июня 2025 г. № 961 и № 966, от 1 августа 2025 г. № 1154, приказ Роскомнадзора от 19 июня 2025 г. № 140 (приказ № 996 утратил силу). Приказ Минцифры от 3 марта 2026 г. № 173 описывает, как уполномоченный орган готовит требование о предоставлении обезличенных данных по ч. 2 ст. 13.1; сами правила обезличивания по-прежнему задаёт постановление № 1154.

На практике «обезличили и забыли» больше не проходит. Если оператор заявляет обезличивание или получил требование уполномоченного органа, у него должны быть описанный метод, параметры, акты и готовность ответить в срок и в формате, который задают Правила № 1154, приказ № 140 и постановление № 966. Подробнее: обезличивание персональных данных и требование по ст. 13.1.

Согласованный комплект локальных актов под конкретную модель обработки можно собрать в конструкторе «ГЕНЕРАТОР152ФЗ».

6. Уничтожение и подтверждение

Уничтожение подтверждают по приказу Роскомнадзора от 28 октября 2022 г. № 179: актом, а при автоматизации – ещё и выгрузкой из журнала событий. Сроки берут из конкретной части ст. 21 152-ФЗ. Семь рабочих дней по ч. 2 ст. 21 относятся к уточнению неточных данных; сроки уничтожения считают по другим частям той же статьи. Подробнее: уничтожение персональных данных.

7. Специальные категории и биометрия (ст. 10–11)

Ст. 10 и 11 152-ФЗ действовали и раньше, но путаница вокруг них не исчезает. Ст. 10 содержит закрытый перечень специальных категорий персональных данных и общий запрет с исключениями. Ст. 11 требует двух признаков одновременно: физиологические или биологические особенности человека и использование этих данных оператором для установления личности. Фотография в профиле сама по себе ещё не биометрия в смысле ст. 11; биометрия начинается там, где данные используют для установления личности. С 1 сентября 2025 г. там, где основанием служит письменное согласие, его оформляют отдельным документом – той же логикой, что и в разделе о согласии.

Подробнее: специальные категории и биометрия.

8. Защита в ИСПДн, ГИС и СКЗИ

Частная информационная система персональных данных вне государственного контура опирается на 152-ФЗ, постановление Правительства РФ от 1 ноября 2012 г. № 1119 и приказ ФСТЭК России от 18 февраля 2013 г. № 21 (замена приказа № 21 – пока проект, см. обзор готовящихся изменений). Если сменились состав данных, формы согласий или сценарии передачи за рубеж, классификацию системы и комплект мер проверяют заново.

Для государственных информационных систем с 1 марта 2026 г. действует приказ ФСТЭК от 11 апреля 2025 г. № 117, сменивший приказ № 17: сохраняется логика классов защищённости, расширяется круг систем (наряду с ГИС – иные информационные системы госорганов, ГУП и госучреждений), сильнее опирается на регулярную оценку защищённости. С 1 сентября 2026 г. требования приказа № 117 применяются уже в редакции приказа ФСТЭК от 8 мая 2026 г. № 137 (зарегистрирован Минюстом 10 августа 2026 г. под № 87797). В предмет прямо вошли технические средства, программы для ЭВМ и базы данных; наряду со строгой аутентификацией допускается усиленная многофакторная.

Оценка защиты в этих системах больше не сводится к одному «галочному» отчёту. Показатель защищённости Kзи отвечает на вопрос, насколько система закрыта от базовых угроз прямо сейчас. Показатель уровня зрелости Узи смотрит иначе: выстроен ли процесс защиты как постоянная работа. Раньше тот же показатель зрелости в приказе № 117 называли Пзи; методика ФСТЭК уже писала «Узи», и приказ № 137 снял путаницу – в требованиях осталось одно обозначение.

С 1 марта 2027 г. сюда же войдёт более жёсткий ритм пересчёта (п. 7 приложения к приказу № 137): оператор будет считать Kзи не реже раза в полгода и при просадке показателя – поднимать защиту; подрядчик до доступа к системе и далее не реже раза в два года будет оценивать Узи; после каждого расчёта Kзи оператор в течение пяти рабочих дней направляет результат в ФСТЭК. Сроки и роли в полном объёме – в обзоре готовящихся изменений. Здесь достаточно понять главное: государственному контуру уже сейчас задают пару «состояние защиты – зрелость процесса», а с марта 2027 г. эту пару начнут регулярно пересчитывать и отчитываться по ней.

По криптографии с 11 сентября 2026 г. действует приказ ФСБ от 22 августа 2026 г. № 321 (опубликован 31 августа 2026 г.). Он сменил ранее действовавший приказ ФСБ № 117: совпадение номера с приказом ФСТЭК № 117 случайное, это разные акты. В предмет приказа ФСБ № 321 входят технические средства, программы и базы данных, которые используют при создании и эксплуатации таких систем по ч. 5.1 ст. 13 Федерального закона от 27 июля 2006 г. № 149-ФЗ.

Подрядчик, который разворачивает сегмент ГИС, хостит компоненты или предоставляет программы и базы данных для её эксплуатации, попадает в требования через договор и техническое задание заказчика и через класс СКЗИ самой государственной системы, а не через «добровольное» распространение приказов № 117, № 137 или № 321 на обычную коммерческую ИСПДн.

Для документооборота с электронной подписью с 1 февраля 2026 г. действует приказ Минцифры от 5 ноября 2025 г. № 1001 о единых требованиях к формам доверенностей. Машиночитаемая доверенность разобрана в отдельной статье.

С 1 октября 2026 г. применяется постановление Правительства РФ от 23 сентября 2026 г. № 1223 (дата вступления выведена по общему правилу о семи днях после официального опубликования; в тексте постановления отдельного пункта о дате нет – сверяйте актуальный текст на портале правовой информации). Оно изменяет правила получения простой электронной подписи для госуслуг (постановление № 33) и Положение о Едином портале госуслуг (постановление № 861). Главное для практики: подтвердить учётную запись на Госуслугах и получить ключ простой электронной подписи теперь можно в том числе в салоне сотовой связи – у оператора подвижной связи. Документ из сторонней системы, который нужно подписать простой электронной подписью, направляют в единую цифровую платформу подписания и хранения на Госуслугах. Если сервис сопряжён с порталом или принимает от граждан такие подписи через ЕПГУ, меняются и маршрут подписи, и список, кто вправе выдать ключ. См. также: электронная подпись по 63-ФЗ; уровни защищённости по ПП № 1119; меры по ст. 18.1 и 19.

9. Готовящиеся изменения

Уже применяемые правила – выше. Отдельно ведётся обзор готовящихся текстов: принятые законы с будущей датой вступления и проекты на regulation.gov.ru. Там, в частности, 200-ФЗ и ритм пересчёта Kзи / Узи по приказу ФСТЭК № 137 с 01.03.2027, 315-ФЗ и ст. 2 265-ФЗ с 01.09.2027, проект «Антифрод 3.0» (учёт согласий через ЕСИА, ориентир с 01.03.2028), проект приказа ФСТЭК взамен приказа № 21 и проекты Минцифры о правках режима обезличивания. Полный разбор – в обзоре готовящихся изменений (срез 12.10.2026).

10. Чек-лист: вопросы к документации (на 05.10.2026)

  • Новые согласия после 01.09.2025 оформлены отдельным документом (ч. 1 ст. 9 / 156-ФЗ), а не «вшиты» в договор?
  • При сборе ПДн граждан РФ учтена локализация по ч. 5 ст. 18 (23-ФЗ с 01.07.2025), без смешения с правилом об отдельном согласии?
  • Письменные согласия по ст. 10 / 11 (где они – основание) не смешаны с договором и «общей» галочкой?
  • Политика, уведомление (ст. 22) и фактическая обработка согласованы?
  • Есть ли трансграничная передача; актуален ли подход к перечню стран с учётом ст. 1 265-ФЗ?
  • Если заявляется обезличивание или получено требование по ст. 13.1 – опора на ПП № 1154, № 961, № 966 и приказ № 140, а не на отменённый приказ № 996?
  • Уничтожение подтверждается по приказу № 179; сроки считаются по конкретной части ст. 21?
  • Для частной ИСПДн – акт УЗ по ПП № 1119 и меры по ст. 18.1/19 и приказу ФСТЭК № 21; для ГИС / подрядчика госИС – учтены ли приказ ФСТЭК № 117 в редакции № 137 и приказ ФСБ № 321, без смешения с режимом коммерческой ИСПДн?
  • Если сервис сопряжён с ЕПГУ или принимает ПЭП через Госуслуги – учтено ли ПП № 1223 (с 01.10.2026)?
  • Продуманы ли процессы уведомления об инцидентах / утечках с учётом составов ст. 13.11 и разграничения с уголовным контуром (ст. 272.1)?
  • Учтены ли готовящиеся акты (ритм Kзи/Узи с 01.03.2027, 315-ФЗ, ст. 2 265-ФЗ, проект ФСТЭК взамен № 21, проекты Минцифры), если они затрагивают вашу модель?

11. Читать по теме

Согласованный пакет документов можно собрать с помощью конструктора «ГЕНЕРАТОР152ФЗ»; квалификация спорных фактов остаётся за оператором и его юристами.

Предыдущие редакции

Актуальная редакция обзора всегда размещена по адресу: /pages/articles/obzor-izmeneniya-pdn-2025-2026.html. Список предыдущих редакций ведётся по срезам, уже выложенным на продакшен; на момент этой локальной сборки предыдущих публичных редакций нет.

Заключение

К 5 октября 2026 г. оператору приходится одновременно держать несколько уже действующих линий. Согласие с осени 2025 года оформляют отдельно от договора; при сборе данных граждан России базы «приземляют» на территорию страны. Рядом – кратно выросшая административная ответственность по ст. 13.11 КоАП РФ, включая «цену» утечки и неуведомления Роскомнадзора и оборотные штрафы за повтор, уголовная ст. 272.1 УК РФ, уточнённая ст. 12 152-ФЗ о трансграничной передаче и пакет правил об обезличивании.

Частная информационная система персональных данных строится по 152-ФЗ, постановлению № 1119 и приказу ФСТЭК № 21; государственный контур – по приказу ФСТЭК № 117 в редакции приказа № 137 и по приказу ФСБ № 321. С 1 октября 2026 г. действуют и новые правила получения простой электронной подписи на Госуслугах по постановлению № 1223. Готовящиеся акты с датами 1 марта и 1 сентября 2027 г. и проекты на regulation.gov.ru остаются в отдельном обзоре.

Список литературы

  1. Федеральный закон от 27 июля 2006 г. № 152-ФЗ «О персональных данных» // Собрание законодательства РФ. – 2006. – № 31 (ч. 1). – Ст. 3451.
  2. Федеральный закон от 28 февраля 2025 г. № 23-ФЗ (локализация при сборе ПДн граждан РФ; ч. 5 ст. 18 152-ФЗ с 01.07.2025).
  3. Федеральный закон от 24 июня 2025 г. № 156-ФЗ (ст. 5 – отдельное согласие; ч. 1 ст. 9 152-ФЗ с 01.09.2025) // Официальный интернет-портал правовой информации. – URL: http://www.kremlin.ru/acts/bank/52029 (дата обращения: 05.10.2026).
  4. Федеральный закон от 8 августа 2024 г. № 233-ФЗ (ст. 13.1 152-ФЗ и смежное; операторский режим с 01.09.2025) // URL: http://www.kremlin.ru/acts/bank/50967 (дата обращения: 05.10.2026).
  5. Федеральный закон от 30 ноября 2024 г. № 420-ФЗ «О внесении изменений в Кодекс Российской Федерации об административных правонарушениях» // Собрание законодательства РФ. – 2024. – № 49 (ч. 1). – Ст. 6638.
  6. Федеральный закон от 30 ноября 2024 г. № 421-ФЗ «О внесении изменений в Уголовный кодекс Российской Федерации» // Официальный интернет-портал правовой информации (вступил в силу 11 декабря 2024 г.).
  7. Федеральный закон от 26 июля 2026 г. № 265-ФЗ // Официальный интернет-портал правовой информации. – URL: http://publication.pravo.gov.ru/document/0001202607260024 (дата обращения: 05.10.2026).
  8. Федеральный закон от 4 августа 2026 г. № 315-ФЗ «О внесении изменений в Федеральный закон «Об электронной подписи» (вступает в силу с 01.09.2027).
  9. Кодекс Российской Федерации об административных правонарушениях (ст. 13.11 в ред., применяемой с 30 мая 2025 г.).
  10. Уголовный кодекс Российской Федерации (ст. 272.1).
  11. Федеральный закон от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации» (ч. 5.1 ст. 13).
  12. Постановление Правительства РФ от 1 ноября 2012 г. № 1119 // Собрание законодательства РФ. – 2012. – № 45. – Ст. 6257.
  13. Постановление Правительства РФ от 26 июня 2025 г. № 961 // URL: http://publication.pravo.gov.ru/document/0001202506270025 (дата обращения: 05.10.2026).
  14. Постановление Правительства РФ от 26 июня 2025 г. № 966 // URL: http://publication.pravo.gov.ru/document/0001202506260044 (дата обращения: 05.10.2026).
  15. Постановление Правительства РФ от 1 августа 2025 г. № 1154 // URL: http://publication.pravo.gov.ru/document/0001202508050011 (дата обращения: 05.10.2026).
  16. Постановление Правительства РФ от 23 сентября 2026 г. № 1223 (правила ПЭП для госуслуг / Положение о ЕПГУ; применяется с 01.10.2026 по правилу семи дней после опубликования) // Официальный интернет-портал правовой информации (дата обращения: 05.10.2026).
  17. Приказ Роскомнадзора от 19 июня 2025 г. № 140.
  18. Приказ Роскомнадзора от 28 октября 2022 г. № 179.
  19. Приказ Минцифры России от 3 марта 2026 г. № 173 (методические рекомендации по требованию ч. 2 ст. 13.1) // ГАРАНТ / КонсультантПлюс (дата обращения: 05.10.2026).
  20. Приказ Минцифры России от 5 ноября 2025 г. № 1001 // URL: http://publication.pravo.gov.ru/document/0001202601210006 (дата обращения: 05.10.2026).
  21. Приказ ФСТЭК России от 18 февраля 2013 г. № 21.
  22. Приказ ФСТЭК России от 11 апреля 2025 г. № 117 (с 01.03.2026 взамен приказа ФСТЭК № 17; с 01.09.2026 – в ред. приказа № 137).
  23. Приказ ФСТЭК России от 8 мая 2026 г. № 137 (зарегистрирован Минюстом 10.08.2026 № 87797; применяется с 01.09.2026) (дата обращения: 05.10.2026).
  24. Приказ ФСБ России от 22 августа 2026 г. № 321 // URL: http://publication.pravo.gov.ru/document/0001202608310027 (опубл. 31.08.2026; применяется с 11.09.2026; дата обращения: 05.10.2026).

Сведения об авторе

Афанасьев Александр Александрович, специалист по информационной безопасности, магистр управления персоналом, юрист, e-mail: info@генератор152фз.рф.

К списку статей База знаний Тарифы