Юрист по персональным данным: услуги и цены в 2026 году

Когда рекомендуется обратиться к юристу по персональным данным
1] Пришло требование или запрос Роскомнадзора — на ответ, как правило, 10 рабочих дней;
2] Произошла утечка — уведомить РКН нужно в течение 24 часов;
3] Запускаете сайт, приложение, CRM или ИИ-сервис, который собирает данные;
4] Передаёте данные подрядчикам или за рубеж;
5] Крупный заказчик, инвестор или головная компания просит подтвердить соответствие 152-ФЗ;
6] Сотрудник или клиент подал жалобу или требует удалить данные.

В уведомлении указывается следующее:
1] Наименование (фамилия, имя, отчество), адрес оператора, а также дата и номер уведомления о намерении осуществлять обработку персональных данных
2] Наименование (фамилия, имя, отчество) лица, ответственного за организацию обработки ПДн, номера контактных телефонов, почтовые адреса и адреса электронной почты
3] Правовое основание и цель трансграничной передачи ПДн и их дальнейшей обработки
4] Категории и перечень передаваемых персональных данных
5] Категории субъектов, персональные данные которых передаются
6] Перечень иностранных государств, на территории которых планируется трансграничная передача
7] Дата проведения оператором оценки соблюдения органами власти иностранных государств, иностранными физическими лицами, иностранными юридическими лицами, которым планируется трансграничная передача, конфиденциальности ПДн и обеспечения безопасности при их обработке

Роскомнадзор рассматривает уведомление о трансграничной уведомление о трансграничной передаче10 рабочих дней и может запретить или ограничить передачу. Если страна входит в перечень государств с адекватной защитой данных, передавать данные можно сразу после подачи уведомления; в остальные страны — только после истечения 10 рабочих дней, и для них нужно заранее получить от иностранного получателя сведения о мерах защиты. С 26 июля 2026 года участие страны в Конвенции Совета Европы о защите данных больше не делает её «адекватной» автоматически: Роскомнадзор включает государства в перечень по итогам оценки их законодательства. Перед передачей данных, например, в страны ЕС стоит заново проверить актуальный перечень и при необходимости запросить у контрагента информацию о местном регулировании. Запрет Роскомнадзора можно обжаловать в суде.

С 30.10.2026 действует новый перечень — приказ Роскомнадзора от 16.09.2026 № 253: в него вошли 88 государств, в том числе страны ЕС, Великобритания, Китай, Индия и Казахстан; США и ОАЭ в перечень не входят. Подробнее — в разделе о трансграничной передаче персональных данных.

Как и в случае с другими способами обработки, для трансграничной их передачи должны быть определенные основания - согласие субъекта персональных данных или какое-то другое из перечня, который рассматривали ранее. Раньше такое согласие обязательно должно было быть письменным, теперь такое требование отменено.

Специалист, который отвечает за обработку ПДн в организации, должен или сам достаточно хорошо знать закон 152-ФЗ, или же привлечь профильного специалиста. Это важно, так как никто не застрахован от жалоб в Роскомнадзор или публикаций о нарушениях в открытых Телеграм-каналах. В рамках разбирательств по подобным жалобам будут проходить проверки, а штрафы могут быть довольно существенными, вплоть до десятков миллионов рублей

Также субъекты ПДн могут требовать возмещения морального вреда, которое осуществляется независимо от возмещения имущественного вреда и понесенных субъектом персональных данных убытков

С 30 мая 2025 года действуют многомиллионные штрафы за нарушения законодательства о персональных данных (Федеральный закон от 30.11.2024 № 420-ФЗ):

Раньше страна автоматически считалась обеспечивающей адекватную защиту данных, если она участвует в Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных (в ней все страны ЕС, а также, например, Аргентина и Мексика). Теперь участие в Конвенции ничего не гарантирует: Роскомнадзор сам оценивает законы и практику каждой страны и решает, включать ли её в перечень. От этого зависит порядок: в страны из перечня данные можно передавать сразу после уведомления Роскомнадзора, в остальные — только через 10 рабочих дней и после того, как вы соберёте у иностранного партнёра сведения о защите данных в его стране.

Что сделать: составить список всех зарубежных получателей данных (партнёры, хостинг, CRM, почтовые сервисы), проверить их страны по актуальному перечню и заранее запросить у партнёров информацию о местном регулировании, не дожидаясь обновления перечня.

Основание: Федеральный закон от 26 июля 2026 г. № 265-ФЗ «О внесении изменений в статью 12 Федерального закона «О персональных данных» и отдельные законодательные акты Российской Федерации»; вступил в силу в день опубликования.

Раньше согласие на обработку данных часто включали пунктом в оферту, пользовательское соглашение, трудовой договор или анкету. Теперь закон требует оформлять его отдельно от любых других документов, которые человек подписывает или подтверждает. Согласие, полученное внутри другого документа после 1 сентября 2025 года, не считается надлежащим, а за обработку без надлежащего согласия грозит штраф до 700 000 руб.

Что сделать: на сайте — отдельный чекбокс со ссылкой на отдельный текст согласия и без заранее проставленной галочки; в кадрах — отдельный бланк согласия для новых сотрудников; из оферты и договоров — убрать формулировки «даю согласие на обработку».

Основание: ч. 1 ст. 9 закона о персональных данных в редакции Федерального закона от 24 июня 2025 г. № 156-ФЗ.

До этой даты за утечку данных компанию штрафовали как за обычное нарушение конфиденциальности — на сотни тысяч рублей. Теперь штраф зависит от масштаба: от 3 до 15 млн руб. в зависимости от числа пострадавших, до 20 млн руб. за утечку биометрии и до 3% годовой выручки (но не менее 25 млн руб.) — за повторную. Отдельно наказывается молчание: за несообщённую утечку — до 3 млн руб., за неподанное уведомление об обработке данных — до 300 000 руб. Именно после этих поправок реестр операторов Роскомнадзора вырос более чем на 1,3 млн. записей.

Что сделать: проверить свою запись в реестре операторов, утвердить порядок действий при утечке (уведомление Роскомнадзора за 24 и 72 часа) и сохранять подтверждения расходов на информационную безопасность: при повторной утечке они позволяют снизить оборотный штраф.

Основание: ст. 13.11 КоАП РФ в редакции Федерального закона от 30 ноября 2024 г. № 420-ФЗ. Полный список сумм — в разделе «Ответственность».

Требование хранить данные россиян в России (локализация) действует с 2015 года, но раньше его трактовали по-разному: например, считалось, что достаточно иметь основную базу в России, даже если форма на сайте сначала отправляет данные на зарубежный сервер. Теперь закон прямо запрещает собирать и обрабатывать данные граждан РФ с использованием баз данных за рубежом. Штраф — до 6 млн руб., за повторное нарушение — до 18 млн руб.

Что сделать: проверить, куда уходят данные из форм, чатов, рассылок и систем аналитики, и заменить зарубежные сервисы (например, Google Analytics или формы Google) на сервисы с серверами в России. Уведомление о трансграничной передаче эту проблему не решает.

Основание: ч. 5 ст. 18 закона о персональных данных в редакции Федерального закона от 28.02.2025 № 23-ФЗ, действует с 1 июля 2025 г.; штрафы — ч. 8 и 9 ст. 13.11 КоАП РФ.

В Уголовном кодексе появилась отдельная статья о незаконных сборе, хранении, использовании и передаче персональных данных, полученных незаконным путём. Наказание — от штрафа до лишения свободы; строже, если речь о данных детей, биометрии, передаче за рубеж или корыстном мотиве. Для бизнеса это важно в двух ситуациях: при покупке баз клиентов со стороны и когда сотрудник уводит базу к конкуренту.

Что сделать: не покупать базы без подтверждённых согласий и разграничить доступ сотрудников к данным приказом — без этого привлечь виновного почти невозможно.

Основание: ст. 272.1 Уголовного кодекса РФ.