152-ФЗ простыми словами

152-ФЗ это главный российский закон о персональных данных. Он касается не только банков и госорганов: как только опрос собирает хотя бы email или телефон респондента, вы становитесь оператором персональных данных и берёте на себя обязанности по закону

Разберём коротко и по делу, что закон считает персональными данными, когда под него попадает обычная анкета, нужно ли согласие, где хранить ответы, надо ли уведомлять Роскомнадзор и чем грозят нарушения после ужесточения штрафов 2025 года.

Что такое 152-ФЗ

Полное название это Федеральный закон от 27 июля 2006 года № 152-ФЗ «О персональных данных». Он регулирует любую обработку персональных данных: сбор, запись, хранение, использование, передачу и удаление. В законе есть три ключевые роли.

• Персональные данные (ПДн) это любая информация, относящаяся к прямо или косвенно определяемому человеку. Сюда попадают не только ФИО и паспорт, но и email, телефон, а иногда даже IP или cookie, если по ним можно вычислить конкретного человека. Закрытого списка в законе нет, категория оценочная.
• Оператор это тот, кто организует обработку и решает, зачем и какие данные собирать. Им становится любая компания, ИП или обычное физлицо в роли администратора формы, причём обязанности возникают в момент начала сбора, а не после какой-либо регистрации.
• Субъект это человек, чьи данные обрабатывают. В опросе субъект это ваш респондент.

Про саму категорию данных есть отдельная карточка про персональные данные.

Когда опрос попадает под действие закона

Ключевой вопрос не в том, стоит ли в анкете пометка о персональных данных, а в том, можно ли по ответам определить конкретного человека. Если да, прямо или косвенно, значит вы обрабатываете ПДн со всеми вытекающими обязанностями.

Отдельная тонкость с контактами. В 2023 году Верховный суд отметил, что сам по себе email или телефон без привязки к имени не всегда идентифицирует человека. Но Роскомнадзор на практике трактует контакты как персональные данные, а связка «имя плюс контакт» это ПДн однозначно. Поэтому безопаснее исходить из того, что любые контакты в опросе относятся к персональным данным.

Спасает ли анонимность? Да, но только настоящая. Если анонимный опрос не собирает идентификаторов и человека нельзя вычислить даже по редкой комбинации ответов (например, пол, возраст, город и должность вместе), закон к таким данным почти не применяется. Важно не путать анонимные данные с обезличенными: обезличенные можно восстановить с помощью дополнительной информации, поэтому они остаются персональными данными и с 1 сентября 2025 года регулируются отдельным режимом.

Согласие респондента

Чаще всего законное основание для сбора ПДн в опросе это согласие субъекта (ст. 9). С 1 сентября 2025 года требования к нему ужесточились. Согласие должно быть конкретным, информированным и однозначным, а главное, оформляться отдельно от других документов. Раньше галочку можно было зашить в общую оферту или пользовательское соглашение, теперь так нельзя: согласие это отдельный понятный текст.

В нём указывают, кто оператор, с какой целью и какие данные собираются, что с ними будут делать и как отозвать согласие. На публикацию ответов, например отзывов с именами, нужно отдельное согласие. Хорошая новость в том, что согласия, полученные до 1 сентября 2025 года, переоформлять не нужно. Как выстроить эту процедуру, разобрано в карточке про информированное согласие.

Где хранить данные: локализация в России

С 1 июля 2025 года действует ужесточённая редакция требования о локализации (ч. 5 ст. 18). Первичный сбор и хранение персональных данных граждан России должны идти на серверах, физически расположенных в стране. Требование не зависит от того, где зарегистрирована компания: важно, что вы работаете с данными россиян.

Отсюда практический вывод про иностранные сервисы. Собирать опросы с персональными данными через Google Forms и подобные платформы рискованно, потому что данные хранятся за рубежом. За нарушение локализации штраф для юрлиц доходит до 6 млн рублей за первое нарушение и до 18 млн за повторное. Если в форме есть любые ПДн, надёжнее российская платформа с хранением в РФ или разворачивание на собственных серверах, о чём есть карточка про box, on-prem и облако.

Уведомление Роскомнадзора

Оператор обязан уведомить Роскомнадзор о намерении обрабатывать персональные данные ещё до начала обработки (ст. 22). С 1 сентября 2022 года почти все прежние исключения убраны, поэтому подавать уведомление обязано подавляющее большинство операторов, включая тех, кто собирает контакты через онлайн-опросы. Подать можно тремя способами: на бумаге в территориальный орган, электронно через портал pd.rkn.gov.ru с усиленной электронной подписью или через личный кабинет на Госуслугах с подтверждённой учётной записью.

Отдельная обязанность касается утечек. Если данные утекли, оператор сообщает в Роскомнадзор о самом факте в течение 24 часов, а о результатах внутреннего расследования в течение 72 часов.

Сколько хранить и как удалять

Хранить персональные данные можно не дольше, чем этого требует заявленная цель (ч. 7 ст. 5). Собрали контакты для розыгрыша, провели розыгрыш, значит держать базу на всякий случай уже нельзя. После достижения цели или отзыва согласия оператор прекращает обработку и удаляет данные, по общему правилу в срок не более 30 дней (ст. 21). Если уничтожить за 30 дней технически невозможно, данные блокируют и удаляют в срок до полугода. Сам факт уничтожения с сентября 2022 года подтверждают актом.

Респондент вправе в любой момент отозвать согласие и потребовать удалить свои ответы, поэтому платформа должна позволять быстро найти, выгрузить и удалить конкретные записи.

Штрафы за нарушение

С 30 мая 2025 года ответственность по 152-ФЗ резко выросла. Ниже основные составы для юридических лиц (ст. 13.11 КоАП). Индивидуальные предприниматели по большинству из них отвечают как должностные лица, то есть мягче, а для граждан суммы ещё ниже.

Нарушение	Штраф для юрлиц
Обработка без надлежащего согласия или с нарушением правил его оформления	300–700 тыс. ₽ (ИП как должностные лица, до 300 тыс.)
Не подано уведомление в РКН о намерении обрабатывать ПДн	100–300 тыс. ₽
Базы ПДн россиян не локализованы в России	1–6 млн ₽, повторно 6–18 млн ₽
Не сообщили в РКН об утечке данных	1–3 млн ₽
Сама утечка, в зависимости от масштаба	3–5, 5–10 или 10–15 млн ₽; за биометрию 15–20 млн ₽
Повторная утечка (оборотный штраф)	1–3% годовой выручки, от 20 до 500 млн ₽

Кроме административных штрафов, с 11 декабря 2024 года действует уголовная ответственность за незаконный оборот персональных данных (ст. 272.1 УК РФ). Она наступает, когда данные изначально добыты незаконным путём, и в тяжёлых случаях (данные несовершеннолетних, специальные категории, трансграничная передача) грозит реальным лишением свободы. Отдельно стоит помнить, что специальные категории данных, а это здоровье, национальность, политические и религиозные взгляды, интимная жизнь, по общему правилу собирать запрещено без явного согласия и веских оснований, и штрафы по ним выше.

Как это сделано в WebAsk

WebAsk устроен так, чтобы соответствие 152-ФЗ не превращалось в отдельный проект. Данные хранятся на серверах в России, что закрывает требование локализации, а сама платформа внесена в реестр операторов персональных данных Роскомнадзора и в реестр российского ПО. Подробности собраны на странице про безопасность и защиту данных.

Дальше помогает сам конструктор. Можно включить полностью анонимный режим, в котором опрос не собирает ни IP, ни геолокацию, ни данные об устройстве: если человека нельзя определить, требования закона к таким ответам не наступают. Если контакты всё же нужны, перед отправкой ставится отдельный вопрос-согласие с непроставленной галочкой и ссылкой на политику обработки. Ответы легко выгрузить в Excel, CSV, PDF или Word и так же легко удалить конкретные записи по запросу респондента. Соединение шифруется по TLS 1.3, доступ в аккаунт защищается двухфакторной аутентификацией и корпоративным входом SSO, а крупному и государственному бизнесу доступно разворачивание в собственном контуре, в том числе на Astra Linux, о чём есть страница для enterprise. Готовая политика обработки персональных данных и оферта с реквизитами оператора избавляют от необходимости составлять эти документы с нуля.

Собрать опрос, который с самого начала уважает закон и данные респондентов, можно бесплатно: загляните в конструктор опросов WebAsk, включите нужный режим приватности и добавьте согласие в пару кликов.

Частые вопросы

Нужно ли согласие на обработку данных, если я провожу опрос?

Если опрос собирает хотя бы один идентификатор (ФИО, email, телефон, фото), вы оператор персональных данных, и нужно законное основание, чаще всего согласие респондента. Оно должно быть добровольным: нельзя лишать участия тех, кто не дал данные, не нужные для цели опроса. Полностью анонимный опрос согласия по 152-ФЗ не требует.

Является ли email или телефон в опросе персональными данными?

На практике безопаснее считать любые контакты персональными данными. Верховный суд в 2023 году указал, что сам по себе email или телефон без привязки к имени не всегда идентифицирует человека, но Роскомнадзор при проверках трактует контакты как ПДн, а связка «имя плюс контакт» это персональные данные без вариантов.

Спасает ли анонимный опрос от требований 152-ФЗ?

Да, но только если опрос действительно анонимный: нет ФИО и контактов, а человека нельзя вычислить даже косвенно. Если вы просите email для розыгрыша, пишете IP или редкая комбинация ответов выдаёт конкретного человека, данные снова попадают под закон. При этом обезличенные данные это ещё не анонимные, они остаются ПДн, пока личность можно восстановить.

Законно ли собирать опросы через Google Forms?

Рискованно. С 1 июля 2025 года первичный сбор и хранение ПДн граждан России должны идти на серверах в стране, а иностранные сервисы хранят данные за рубежом. За нарушение локализации штраф для юрлиц доходит до 6 млн рублей за первое нарушение и до 18 млн за повторное. Если в форме есть любые персональные данные, надёжнее российская платформа.

Нужно ли уведомлять Роскомнадзор?

Да, если опрос собирает персональные данные. С 1 сентября 2022 года прежние исключения в основном отменены, уведомить нужно до начала обработки, на бумаге, через портал pd.rkn.gov.ru с электронной подписью или через Госуслуги с подтверждённой учётной записью. За неподачу уведомления штраф для юрлиц и ИП составляет 100–300 тыс. рублей.

Как долго можно хранить ответы и контакты респондентов?

Не дольше, чем нужно для заявленной цели. После достижения цели или отзыва согласия оператор прекращает обработку и удаляет данные, по общему правилу в срок не более 30 дней. Если уничтожить за это время невозможно, данные блокируют и удаляют в срок до полугода. Хранить контакты бессрочно на всякий случай закон не разрешает.

Как правильно оформить согласие в опросе?

Согласие должно быть конкретным, информированным и добровольным: укажите оператора, какие данные и с какой целью собираются, что с ними будут делать и как отозвать согласие. Оформляйте его отдельным понятным пунктом с непроставленной заранее галочкой. С 1 сентября 2025 года согласие нельзя объединять с офертой, договором или другими соглашениями, только отдельным текстом.

Что грозит за нарушение 152-ФЗ при сборе опросов?

Диапазон широкий. За проблемы с согласием и уведомлением штрафы для юрлиц измеряются сотнями тысяч рублей, за нарушение локализации доходят до 18 млн, а за утечку данных до 15 млн рублей и до 20 млн за биометрию. При повторной утечке применяются оборотные штрафы от 20 до 500 млн рублей. С 11 декабря 2024 года за незаконный оборот персональных данных введена и уголовная ответственность.