Введение: Новый этап цифрового регулирования
Федеральный закон № 152-ФЗ "О персональных данных" постоянно эволюционирует, адаптируясь к вызовам цифровой эпохи. Если раньше он регулировал в основном сбор и обработку стандартных персональных данных (ФИО, телефоны, email), то с 1 сентября 2025 года нас ждут самые масштабные изменения за последние годы.
Эти поправки направлены на установление правил "честной игры" в цифровой среде и предоставление пользователям большего контроля над тем, как их данные используются для персонализации контента, товаров и услуг.
Простыми словами:
Раньше закон защищал в основном ваши паспортные данные и контакты. Теперь он защищает также информацию о том, что вы любите покупать, какие сайты посещаете, где находитесь и на что обращаете внимание в интернете.
Ключевое изменение:
Закон теперь охватывает не только явные персональные данные, но и любую информацию, используемую для формирования цифрового профиля человека и влияния на его решения.
Что такое "персонализация данных" и почему это важно?
Новое понятие "персонализация данных" кардинально расширяет сферу действия закона. Теперь под регулирование попадают:
- История покупок и просмотров — что пользователь смотрел, покупал, добавлял в корзину
- Поведенческие данные — как пользователь взаимодействует с сайтом/приложением (клики, время на странице, прокрутка)
- Геолокационные данные — местоположение пользователя и связанные с ним предпочтения
- Демографические данные и интересы — возраст, пол, предполагаемые интересы, социальный статус
- Любая информация, используемая для таргетирования, персонализированных предложений, скоринга
Пример из практики:
Если интернет-магазин показывает вам товары "которые могут вам понравиться" на основе вашей истории просмотров — это уже персонализация данных. Если новостной сайт формирует ленту на основе того, какие статьи вы читали раньше — это тоже персонализация.
Важно:
Под действие закона теперь попадают даже те компании, которые не собирают явно ФИО и телефоны, но используют системы аналитики, метрики и ретаргетинг. Яндекс.Метрика, Google Analytics, Facebook Pixel и подобные инструменты теперь под пристальным вниманием регулятора.
Кого касаются нововведения с 1 сентября 2025?
Новые требования затронут практически любой бизнес, работающий в цифровой среде:
1. Интернет-магазины и маркетплейсы
Использующие системы рекомендаций ("с этим товаром покупают", "персональные подборки", "вы смотрели", "рекомендуем именно вам").
2. Контентные платформы и СМИ
С персонализированными лентами новостей, рекомендациями контента на основе истории просмотров, тематическими подборками.
3. Сервисы и приложения
Предлагающие контент или услуги на основе местоположения, поведения или предпочтений пользователя (каршеринг, доставка еды, стриминговые сервисы).
4. Рекламные сети и платформы
Занимающиеся таргетингом и ретаргетингом на основе поведения пользователей, их интересов и демографии.
5. Практически любой сайт с аналитикой
Использующий Яндекс.Метрику, Google Analytics, и другие системы сбора поведенческих данных для улучшения пользовательского опыта.
Проверьте свой бизнес:
- Используете ли вы системы веб-аналитики?
- Показываете ли пользователям персонализированный контент?
- Используете ли ретаргетинг в рекламе?
- Собираете ли данные о поведении пользователей?
Если ответ "да" хотя бы на один вопрос — ваша компания попадает под действие обновленного закона.
Главные нововведения, которые нельзя игнорировать
1. Информирование и прозрачность персонализации
Теперь вы обязаны ясно сообщать пользователю, когда контент, товары или предложения персонализированы на основе его данных. Например: "Вам показан этот товар, потому что вы смотрели похожие" или "Эта новость рекомендована на основе ваших интересов".
2. Право на отказ от персонализации
Пользователь должен иметь возможность легко отказаться от персонализации. В интерфейсе должна быть доступна понятная опция "Показать результаты без учета моих предпочтений" или "Выключить персонализацию".
3. Запрет "темных паттернов" и манипуляций
Под запретом интерфейсные решения, которые обманом или с помощью психологического давления вынуждают пользователя совершить действие:
- Сложные и запутанные процессы отписки
- Предустановленные галочки согласия
- Навязчивые всплывающие окна, которые трудно закрыть
- Неочевидные кнопки, вводящие в заблуждение
- Принудительные действия
4. Оценка влияния алгоритмов на права граждан
Компании должны проводить внутренний аудит и быть готовы продемонстрировать, что их алгоритмы персонализации не нарушают права пользователей, не дискриминируют и не манипулируют ими незаконными способами.
5. Расширение понятия согласия
Согласие на обработку данных для персонализации должно быть конкретным, информированным и сознательным. Нельзя получать его "по умолчанию" или скрывать в общих положениях. Согласие должно быть получено в явной форме.
Юридический нюанс:
С 1 сентября 2025 года под "обработкой персональных данных" понимается также создание и использование "производных данных" — то есть любой информации, которая была получена в результате анализа и обработки исходных данных пользователя.
Что грозит за нарушения? Актуализированные штрафы
За нарушения новых требований по персонализации данных будут применяться штрафы по КоАП РФ (статья 13.11):
- Для должностных лиц: от 10 000 до 20 000 рублей
- Для индивидуальных предпринимателей: от 10 000 до 20 000 рублей
- Для юридических лиц: от 30 000 до 150 000 рублей
За повторные нарушения или серьезные последствия штрафы могут быть увеличены. Также сохраняется риск блокировки сайта или приложения по решению Роскомнадзора.
Важно знать:
Штрафы будут применяться не только за нарушение правил обработки классических ПДн, но и за несоблюдение новых требований по персонализации данных. Роскомнадзор получает расширенные полномочия по проверке соблюдения этих требований.
Для бизнеса:
Помимо прямых штрафов, нарушения могут привести к репутационным потерям, снижению доверия клиентов и в конечном итоге — к уменьшению доходов. Современные пользователи все больше ценят прозрачность и контроль над своими данными.
План действий для бизнеса до 1 сентября 2025
Дедлайн:
1 сентября 2025 года закон вступит в силу
1. Проведите полный аудит сайта/приложения
Выявите все инструменты и места сбора данных для персонализации: системы аналитики (Яндекс.Метрика, Google Analytics), формы сбора данных, системы рекомендаций, ретаргетинговые пиксели, cookies и другие технологии отслеживания.
2. Пересмотрите Политику конфиденциальности
Добавьте ясные формулировки о том, какие данные и для какой персонализации вы используете. Объясните, как работает ваша система рекомендаций и на каких данных она основана. Убедитесь, что политика написана понятным языком.
3. Реализуйте механизмы информирования и согласия
Добавьте уведомления о персонализированном контенте ("Вам показано на основе..."). Создайте понятные пользователю настройки приватности и персонализации. Реализуйте получение явного согласия на использование данных для персонализации.
4. Предоставьте возможность отказа от персонализации
Реализуйте функционал "Выключить персонализацию" там, где это технически возможно. Убедитесь, что эта опция легко доступна и понятна пользователям. Протестируйте, как работает система без персонализации.
5. Избавьтесь от "темных паттернов"
Упростите процессы отписки от рассылок, сделайте чеки согласия не предустановленными, убедитесь, что интерфейс не вводит пользователей в заблуждение. Проведите юзабилити-тестирование форм согласия.
6. Подготовьте внутренние документы
Обновите регламенты обработки ПДн с учетом работы с цифровым профилем пользователя. Назначьте ответственного за соблюдение требований закона. Разработайте процедуру оценки влияния алгоритмов на права пользователей.
7. Подайте уведомление в Роскомнадзор
Если вы оператор ПДн и еще не подали уведомление, сделайте это до вступления поправок в силу. Убедитесь, что в уведомлении отражены все виды обработки данных, включая персонализацию.
Не знаете, как подготовить ваш бизнес к новым требованиям?
Наши эксперты проведут технический аудит вашего сайта и составят персональный план действий
Получить консультацию
Заключение
Поправки в закон "О персональных данных", вступающие в силу 1 сентября 2025 года, знаменуют новый этап в регулировании цифровой среды в России. Они движутся в сторону большей прозрачности и предоставления пользователям реального контроля над тем, как их данные используются для создания персонализированного опыта.
Для бизнеса эти изменения означают необходимость пересмотреть подходы к работе с пользовательскими данными и внедрить новые практики прозрачности и согласия. Начинать подготовку следует уже сейчас, так как изменения фундаментальны и требуют времени на осмысление и техническую реализацию.
Ключевой вывод:
Соблюдение новых требований — это не только способ избежать штрафов, но и возможность выстроить доверительные отношения с пользователями, что в долгосрочной перспективе станет конкурентным преимуществом вашего бизнеса. Прозрачность становится новым стандартом цифрового взаимодействия.
Что делать прямо сейчас:
Начните с технического аудита своего сайта или приложения. Определите, какие данные вы собираете и как используете для персонализации. Обратитесь к юристам, специализирующимся на цифровом праве, для консультации по вашей конкретной ситуации.
