Что изменилось в законе о персональных данных в 2025–2026 году

За последний год закон о персональных данных менялся несколько раз, и каждое изменение касалось своей отдельной области — штрафов, хранения данных, оформления согласия, ответственности за подрядчиков. Собрали хронологию в одном месте, без повторного пересказа деталей каждой темы.

30 мая 2025 — кратный рост штрафов и новые составы нарушений

С этой даты закон № 420-ФЗ внёс масштабные поправки в КоАП, кратно повысившие штрафы за нарушения в сфере персональных данных. Именно тогда появились оборотные штрафы за утечки — до 3% годовой выручки компании при повторном нарушении — вместо прежних фиксированных сумм.

Отдельная деталь, которую стоит выделить: с этой же даты появился самостоятельный состав нарушения именно за неуведомление об утечке — то есть штраф грозит не только за сам факт утечки, но отдельно и за то, что компания не сообщила о ней регулятору в установленный срок. Это два разных нарушения с разными основаниями для штрафа, а не один штраф за одно событие. Подробный разбор сумм и логики их роста при повторных нарушениях — в статьях блога про штрафы и про то, как именно растут штрафы при рецидиве.

1 июля 2025 — требования к локализации баз данных

С этой даты действует требование: первичный сбор персональных данных должен проводиться только на серверах, физически находящихся на территории России. Отправить данные за границу после этого можно, но только предварительно направив в Роскомнадзор уведомление о трансграничной передаче, — сама по себе локализация не запрещает международную работу, а задаёт обязательную первую точку сбора данных. Подробно эта тема и типичные ошибки, которые считаются нарушением локализации, разбирались в отдельной статье блога.

1 сентября 2025 — принцип отдельности согласия

С этой даты вступил в силу закон № 156-ФЗ, который изменил статью 9 закона № 152-ФЗ: согласие на обработку персональных данных теперь нужно оформлять только отдельным документом. Его больше нельзя «вшивать» в текст договора, пользовательского соглашения или оферты. Исключение — случай, когда работа с данными необходима для исполнения обязательств именно по этому договору: тогда правовым основанием выступает сам договор, и отдельное согласие не требуется вовсе.

Важная практическая деталь: ранее выданные согласия, оформленные до 1 сентября 2025 года, продолжают действовать и не требуют переоформления только из-за самого факта изменения правил. Подробный разбор этого правила и других оснований обработки без согласия — в отдельной статье блога про статью 6 закона.

Январь 2026 — судебный прецедент об ответственности за подрядчика

В январе 2026 года Верховный Суд подтвердил принцип, который и ранее следовал из текста закона, но теперь закреплён судебной практикой: оператор обязан контролировать обеспечение защиты персональных данных у подрядчика, которому передана их обработка. Если подрядчик допустил утечку по собственной вине, отвечать перед регулятором всё равно придётся оператору. Подробности — в статье блога про меры безопасности при обработке персональных данных.

Что это значит практически

Эти четыре изменения касаются разных процессов одновременно, и стоит проверить каждый из них по отдельности, а не считать, что они автоматически учтены сами собой. Оформлено ли согласие компании отдельным документом, а не внутри текста оферты. Физически находятся ли серверы, где впервые собираются данные, на территории России. Актуальны ли внутренние документы и процедуры реагирования на инциденты с учётом возросших штрафов и нового состава за неуведомление. И насколько реально, а не только на бумаге, контролируется безопасность данных у подрядчиков и аутсорсеров, которым компания передаёт часть обработки.

Проведем бесплатный аудит вашей организации или ИП на предмет соблюдения новых требований закона «О персональных данных»

Сделаем заключение на соблюдение требований Роскомнадзора

Запишитесь на бесплатный аудит

Заполните форму и мы свяжемся с вами

Нажимая кнопку "Отправить", я даю свое Согласие на обработку моих персональных данных в соответствии с Федеральным законом от 27.07.2006 года № 152-ФЗ «О персональных данных» на условиях и для целей, определенных Политикой конфиденциальности

Нажимая кнопку "Отправить", я даю свое согласие на получение сообщений информационного (рекламного) характера в соответствии с Федеральным законом от 13.03.2006 г № 38-ФЗ «О рекламе» на условиях и для целей, определенных Политикой конфиденциальности, Согласием на осуществление рекламной рассылки

Отправить

Общий вектор изменений

Если посмотреть на эти четыре изменения не по отдельности, а вместе, видна одна общая логика: регулирование становится строже именно в тех точках, где раньше оставался простор для формального подхода. Штрафы растут там, где раньше можно было отделаться фиксированной суммой независимо от масштаба бизнеса. Локализация закрывает лазейку, когда данные сразу уходили в зарубежный сервис под видом «просто подключили удобный инструмент». Отдельность согласия устраняет практику, когда согласие формально существовало, но было незаметно спрятано в объёмном тексте оферты, которую никто не читает. А судебный прецедент про подрядчиков закрывает последнюю надежду переложить ответственность на того, кто физически держит данные, а не на того, кто их собрал. Это не разрозненные точечные правки, а последовательное сужение пространства для формального, а не реального соответствия закону.

Если нужна помощь

Проверить, какие из этих изменений затрагивают процессы конкретной компании, и привести документы в соответствие помогают специалисты сервиса «Роском Онлайн».

Частые вопросы

С какой даты действуют оборотные штрафы за повторную утечку персональных данных?

С 30 мая 2025 года, с момента вступления в силу поправок закона № 420-ФЗ в КоАП.

С какой даты нужно оформлять согласие на обработку только отдельным документом?

С 1 сентября 2025 года, после вступления в силу поправок к статье 9 закона № 152-ФЗ.

Нужно ли переоформлять согласия, выданные до 1 сентября 2025 года?

Нет, ранее выданные согласия продолжают действовать.

С какой даты действуют требования к локализации баз персональных данных?

С 1 июля 2025 года.

Снимает ли передача обработки подрядчику ответственность оператора за безопасность данных? Нет, это прямо подтверждено судебной практикой — оператор обязан контролировать защиту данных у подрядчика.