Госдума приняла во втором чтении поправки, которые радикально меняют цену ошибки при работе с персональными данными. Штрафы за утечки вырастают на порядок, появляются оборотные санкции для повторных нарушений, а за неуведомление Роскомнадзора об инциденте операторы заплатят отдельно. Для бизнеса и госорганов это значит одно: отношение к ПДн как к формальности с подписанным согласием больше не работает. Разбираем, что менять в инфраструктуре и процессах уже сейчас.

Что меняется в законе

Главное нововведение – оборотные штрафы. За повторную утечку компания заплатит от 1 до 3% годовой выручки, с нижней границей в несколько миллионов рублей. Базовые штрафы за первичное нарушение тоже выросли: вместо десятков тысяч рублей речь идёт о сотнях тысяч и миллионах в зависимости от объёма скомпрометированных записей.

Отдельно регулятор закрепляет обязанность уведомить Роскомнадзор об инциденте в течение 24 часов, а о результатах внутреннего расследования – в течение 72 часов. Параллельно обсуждается уголовная ответственность за незаконный оборот ПДн. Смысл реформы прозрачен: государство переносит риск утечки с субъекта данных на оператора и делает экономику безопасности измеримой.

Что менять в инфраструктуре

Соответствие 152-ФЗ – это не строчка в политике конфиденциальности, а свойство архитектуры. Минимальный набор шагов, который мы рекомендуем клиентам:

  • Инвентаризация данных. Вы не защитите то, чего не видите. Нужна карта: где хранятся ПДн, в каких системах, кто имеет доступ, как данные перемещаются между сервисами. Часто оказывается, что копии ПДн расползлись по тестовым стендам, выгрузкам в аналитику и резервным копиям.
  • Минимизация и разделение. Храните только то, что реально используете. Аналитические витрины не должны содержать сырые персональные данные – псевдонимизируйте их при миграции в хранилище, а доступ к идентифицирующим полям выдавайте отдельно.
  • Шифрование и контроль доступа. Шифрование на уровне диска и канала – база. Поверх неё нужны ролевая модель, журналирование обращений к чувствительным таблицам и регулярный пересмотр прав.
  • Локализация. Базы с ПДн граждан РФ должны физически находиться на территории России. Проверьте, что это требование выполняется не только для основной СУБД, но и для бэкапов, очередей и логов.

Отдельный риск – генеративные модели. Если вы дообучаете LLM или строите RAG-системы на корпоративных документах, персональные данные легко попадают в обучающую выборку или в контекст ответа. Фильтруйте ПДн на входе в пайплайн и не отправляйте их во внешние API без правовых оснований.

Что менять в процессах

Техника без процессов не спасёт. Утечка из-за человеческого фактора или сбоя обходится так же дорого, как взлом. Поэтому план реагирования на инциденты должен быть написан и отрепетирован заранее: кто и в какие сроки уведомляет регулятора, кто собирает доказательную базу, кто общается с субъектами данных.

Сюда же относится готовность инфраструктуры к сбоям. Потеря доступа к данным или их повреждение – тоже инцидент, и отказоустойчивость стека напрямую влияет на способность восстановиться без потери записей. Назначьте ответственного за защиту ПДн, проведите оценку рисков по требованиям регулятора и закрепите регламент за каждым процессом обработки.

Вывод

Ужесточение 152-ФЗ превращает защиту персональных данных из бумажной формальности в инженерную задачу с прямой финансовой ценой. Выигрывают те, кто перестроит архитектуру и процессы до первого штрафа, а не после. Если нужно привести системы в соответствие новым требованиям, начните с аудита информационной безопасности и оценки рисков, который покажет разрывы до того, как их найдёт регулятор.