SWAGA SECURITY // COMPLIANCE

Аудит 152-ФЗ: из чего состоит, сколько занимает и что будет, если отложить

2026-09-03

152-ФЗ касается любой компании, которая обрабатывает персональные данные — клиентов, сотрудников, пользователей сайта. С 2025 года за утечки действуют оборотные штрафы, и «у нас просто CRM и рассылка» перестало быть безопасной позицией. Разбираем, из чего состоит аудит и приведение к требованиям.

Кому это обязательно

Практически всем: форма заявки на сайте, база клиентов в CRM, кадровый учёт — это уже обработка персональных данных, и компания автоматически является оператором ПДн. Отдельные триггеры: медицинские и биометрические данные, данные несовершеннолетних, передача данных подрядчикам (процессорам) и трансграничная передача — по каждому есть свои требования.

Что грозит за бездействие

◇Оборотные штрафы за утечки: при повторной утечке — до 3% выручки (от 20 до 500 млн ₽). За первую крупную утечку — фиксированные штрафы до 15 млн ₽ в зависимости от объёма данных.
◇Штрафы за процессуальные нарушения: необработанное уведомление РКН об обработке, отсутствие согласий, политика не опубликована.
◇Проверки РКН — плановые и по жалобам субъектов ПДн (недовольный клиент или бывший сотрудник — самый частый источник).
◇Блокирующие требования партнёров: enterprise-заказчики всё чаще требуют подтверждённое соответствие до подписания договора.

Из чего состоит приведение к 152-ФЗ

Работа раскладывается на пять блоков:

◇Обследование: какие ПДн, где хранятся, кто имеет доступ, каким подрядчикам передаются. Результат — карта ИСПДн и разрывы относительно требований.
◇Категоризация и уровни защищённости: определение категорий ПДн и требуемого уровня защиты по постановлению № 1119.
◇Модель угроз: формализованный документ по методике ФСТЭК — основа для выбора технических мер.
◇Комплект документов: политика обработки, согласия под каждую цель, поручения процессорам, приказы, журналы, регламент реагирования на инциденты.
◇Организационные шаги: уведомление РКН об обработке (и о трансграничной передаче, если есть), назначение ответственного, обучение сотрудников.

Сколько это занимает

Экспресс-обследование — около 2 недель: карта обработки ПДн, чек-лист соответствия и план устранения с приоритетами. Это честная точка старта: становится видно, что критично, а что может подождать. Полное приведение под ключ — 4–6 недель: обследование, модель угроз, весь комплект документов и подготовка к проверке РКН.

Частые ошибки, которые мы находим

◇Одно согласие «на всё» вместо согласий под конкретные цели — при проверке не работает.
◇Забытые процессоры: облачный хостинг, SaaS-сервисы, аутсорс-бухгалтерия обрабатывают ваши ПДн без поручений.
◇Трансграничная передача без уведомления РКН — почтовые сервисы, зарубежные облака и аналитика.
◇Политика скопирована у конкурента и не совпадает с реальными процессами — на проверке это хуже, чем её отсутствие.
◇Документы есть, техмеры нет: доступ к базе ПДн у всей компании под одним паролем.

FAQ

У нас маленькая компания, нас это правда касается?

Да. Обязанности оператора не зависят от размера: форма на сайте и база клиентов уже делают вас оператором. Отличается только объём работ — малой компании обычно хватает экспресс-формата.

Можно сделать только документы, без технической части?

Формально документы закрывают часть требований, но при утечке или проверке несоответствие реальных процессов документам сыграет против вас. Мы всегда начинаем с обследования того, как данные обрабатываются на самом деле.

Сколько это стоит?

Зависит от числа систем и процессов с ПДн. Пришлите вводные через форму — смета с фиксированной ценой будет в течение 24 часов.

Начните с экспресс-обследования

За 2 недели: карта обработки ПДн, чек-лист соответствия 152-ФЗ и план устранения с приоритетами. Цена фиксируется до старта.

Получить смету за 24 часа