Изменения в Федеральном законе № 152-ФЗ «О персональных данных» в 2025 году

В 2025 году в законодательство о персональных данных внесены значимые поправки, которые меняют правила работы с информацией о гражданах России. Федеральный закон № 152-ФЗ «О персональных данных» претерпел изменения в связи с принятием Федерального закона № 23-ФЗ от 28 февраля 2025 года, а также сопутствующих поправок в Кодекс об административных правонарушениях.

Уточнение требований к локализации данных

Наиболее принципиальные изменения касаются локализации. С 1 июля 2025 года вступает в силу новая редакция части 5 статьи 18 Закона: при сборе, хранении, систематизации, уточнении и других операциях с персональными данными российских граждан запрещается использовать базы данных, находящиеся за пределами территории Российской Федерации.

До поправки обязанность формулировалась как необходимость обеспечить обработку данных «с использованием баз данных, расположенных на территории РФ». Это позволяло операторам совмещать локальное хранение с использованием зарубежных сервисов. Теперь же прямой запрет лишает компании такой возможности, за исключением случаев, прямо предусмотренных законом (например, выполнение международных договоров или защита жизни и здоровья субъекта данных).

Для бизнеса это означает необходимость пересмотра ИТ-инфраструктуры, переноса серверов и облачных сервисов в Россию, а также пересмотра договоров с иностранными контрагентами, которые выполняют функции оператора или процессора персональных данных.

Новые правила оформления согласия по обработке ПДн

С 1 сентября 2025 года вступают в силу поправки, касающиеся института согласия. Теперь согласие должно быть оформлено отдельным документом или отдельным электронным действием, не включённым в текст договора, пользовательского соглашения или иной комплексный документ.

Такое согласие должно содержать все ключевые реквизиты: цели обработки, сведения об операторе, сроки хранения данных, перечень обрабатываемых данных и порядок их отзыва. Законодатель стремится исключить практику, при которой согласие «пряталось» в длинных текстах оферт и пользовательских соглашений.

Для операторов это влечёт необходимость менять пользовательские интерфейсы сайтов и приложений, обновлять шаблоны договоров и обеспечивать прозрачность обработки данных.

Усиление административной ответственности за нарушения в области персданных

С 30 мая 2025 года вступили в силу изменения в КоАП РФ, увеличивающие размеры штрафов за нарушения законодательства о персональных данных. Санкции стали значительно строже за утечки данных, несоблюдение требований локализации, несвоевременное уведомление Роскомнадзора об обработке данных или об инциденте безопасности.

Теперь нарушение в области персональных данных может стоить компаниям миллионов рублей, а для должностных лиц — серьёзных персональных штрафов. Это делает риск-менеджмент в сфере информационной безопасности и защиты данных важнейшим элементом корпоративной политики.

Практическое значение поправок в 152-ФЗ

Эти изменения приближают российскую систему регулирования персональных данных к международным стандартам, включая европейский GDPR, но с акцентом на государственный контроль и цифровой суверенитет.
В юридической и бизнес-практике это приведёт к ряду последствий:

• Компании будут вынуждены локализовать обработку данных в России и документально подтверждать соответствие требованиям;
• Роскомнадзор получает больше возможностей для проверок и применения санкций;
• Судебная практика будет смещаться в сторону анализа не только текстов согласий, но и фактической архитектуры обработки данных.

2025 год стал переломным для правового регулирования персональных данных в России. Поправки к 152-ФЗ и усиление административной ответственности формируют новую реальность, в которой операторы должны уделять внимание не только формальному соответствию нормам, но и реальной прозрачности и защищённости обработки данных.