Проводим аудит сбора и обработки данных клиентов и сотрудников и приводим их в соответствие закону. Готовим документы оператора, уведомления в Роскомнадзор, проверяем сайт и рекламу. Помогаем интернет-магазинам, онлайн-школам, сервисам и работодателям. Работаем онлайн по всей России.
Объём работ определяем после аудита и закрепляем в договоре. Чаще всего компании обращаются за такими задачами.
Аудит обработки персональных данных
Выясняем, какие данные клиентов, сотрудников и партнёров собирает компания, где они хранятся, кто к ним имеет доступ и кому передаются. По итогам получаете перечень нарушений и план, что исправить в первую очередь.
Документы оператора
Политика обработки персональных данных, согласия, приказы о назначении ответственного, перечни и журналы, договоры поручения обработки с подрядчиками. С 1 сентября 2025 года согласие оформляется отдельно от иных документов, которые подписывает человек (ч. 1 ст. 9 152-ФЗ).
Уведомление в Роскомнадзор
Готовим уведомление о начале обработки (ст. 22 152-ФЗ), чтобы компания попала в реестр операторов. Отдельно уведомляем о трансграничной передаче (ст. 12 152-ФЗ) и вносим изменения в сведения, когда меняются процессы.
Сайт, формы и аналитика
Проверяем формы заявок, регистрации и оплаты, публикацию политики на сайте, тексты согласий и подключённые сервисы. Смотрим, где физически хранятся собранные данные, потому что базы данных граждан России должны находиться в России (ч. 5 ст. 18 152-ФЗ).
Данные сотрудников и соискателей
Кадровые согласия, работа с резюме, передача данных в бухгалтерию на аутсорсе, банк по договору о выплатах сотрудникам и другим третьим лицам. Сверяем процессы с требованиями главы 14 ТК РФ и 152-ФЗ.
Утечки и проверки
При инциденте помогаем уведомить Роскомнадзор в установленные сроки, провести внутреннее расследование и подготовить ответы. Сопровождаем при запросах и проверках ведомства и в делах об административных правонарушениях.
Штрафы за утечку теперь сопоставимы с годовой выручкой малого бизнеса
С 30 мая 2025 года за утечку данных от 1 000 человек компании грозит штраф от 3 до 5 млн рублей, при большем числе пострадавших он растёт до 15 млн рублей, а за повторную утечку назначают оборотный штраф до 500 млн рублей (ст. 13.11 КоАП). Поэтому порядок с данными лучше навести до инцидента.
Реклама
Маркировка рекламы и рассылки
Пометка и сведения о рекламодателе
Интернет-реклама должна содержать пометку «реклама» и указание на рекламодателя или ссылку на страницу со сведениями о нём (ч. 16 ст. 18.1 Закона о рекламе).
Идентификатор рекламы
Распространять интернет-рекламу можно только после того, как оператор рекламных данных присвоит ей идентификатор (ч. 17 ст. 18.1 Закона о рекламе).
Передача сведений в ЕРИР
Рекламодатели, рекламораспространители и операторы рекламных систем передают сведения о рекламе через операторов рекламных данных. Помогаем распределить эту обязанность в договорах с блогерами и агентствами.
Штрафы за маркировку
За рекламу без идентификатора и за непередачу сведений о рекламе компании грозит штраф от 200 до 500 тыс. рублей по каждому составу (ч. 15 и 16 ст. 14.3 КоАП).
Согласие на рассылки
Реклама по телефону, в смс и по электронной почте допускается только с предварительного согласия адресата. Если рекламораспространитель не докажет согласие, реклама считается разосланной без него (ч. 1 ст. 18 Закона о рекламе).
Отказ от рассылки
По требованию адресата рассылку нужно немедленно прекратить. Настраиваем тексты согласий и порядок отписки так, чтобы компания могла подтвердить каждое согласие.
Почему мы
Почему выбирают TOTOLAW
Опыт внутри компаний
Направление ведёт управляющий партнёр Елизавета Сухарева, к. ю. н., которая руководила юридическими отделами EdTech- и PropTech-компаний и знает, как данные клиентов проходят через продажи, маркетинг и поддержку.
Документы под ваши процессы
Политику и согласия пишем по результатам аудита, а не по шаблону. В документах только те цели и действия с данными, которые компания действительно выполняет.
Только действующие нормы
Сверяем требования и штрафы с текущей редакцией 152-ФЗ, КоАП и Закона о рекламе. Изменения последних лет учитываем в документах и договорах.
Онлайн по всей России
Работаем дистанционно, документы подписываем электронно или обмениваемся оригиналами почтой.
Цифры
TOTOLAW в цифрах
5+
лет опыта
70+
клиентов
90%
выигранных дел
30М+
взыскано рублей
Этапы
Как мы работаем
01
Заявка
Рассказываете, чем занимается компания, какие данные собирает и что нужно сделать. Договариваемся о консультации.
02
Аудит
Изучаем сайт, формы, договоры с подрядчиками, кадровые документы и сервисы, через которые проходят данные.
03
Документы и уведомления
Готовим политику, согласия, внутренние документы и уведомления в Роскомнадзор, правим договоры и тексты на сайте.
04
Сопровождение
Помогаем внедрить документы, отвечаем на вопросы при изменении процессов, запросах ведомства и инцидентах.
FAQ
Часто задаваемые вопросы
По общему правилу да. Оператор уведомляет Роскомнадзор до начала обработки персональных данных (ч. 1 ст. 22 152-ФЗ). С 1 сентября 2022 года большинство исключений отменено, и почти каждая компания с клиентами или сотрудниками обязана подать уведомление. За неподачу компании грозит штраф от 100 до 300 тыс. рублей (ч. 10 ст. 13.11 КоАП).
Нет. С 1 сентября 2025 года согласие должно быть оформлено отдельно от иных информации и документов, которые подтверждает или подписывает человек (ч. 1 ст. 9 152-ФЗ). За обработку без согласия, когда оно обязательно, компании грозит штраф от 300 до 700 тыс. рублей (ч. 2 ст. 13.11 КоАП).
За утечку данных от 1 000 до 10 000 человек штраф от 3 до 5 млн рублей, от 10 000 до 100 000 человек от 5 до 10 млн рублей, свыше 100 000 человек от 10 до 15 млн рублей. За утечку специальных категорий данных от 10 до 15 млн рублей, биометрии от 15 до 20 млн рублей. Повторная утечка наказывается штрафом от 1 до 3% выручки, но не меньше 20 или 25 млн рублей и не больше 500 млн рублей (ч. 12–18 ст. 13.11 КоАП, действуют с 30 мая 2025 года).
В течение 24 часов уведомить Роскомнадзор об инциденте, его предполагаемых причинах, вреде и принятых мерах, а в течение 72 часов сообщить результаты внутреннего расследования (ч. 3.1 ст. 21 152-ФЗ). За неуведомление компании грозит штраф от 1 до 3 млн рублей (ч. 11 ст. 13.11 КоАП).
Собирать и хранить данные граждан России с использованием баз данных за пределами России нельзя, кроме случаев, прямо названных в законе (ч. 5 ст. 18 152-ФЗ). Штраф для компании от 1 до 6 млн рублей, при повторном нарушении от 6 до 18 млн рублей (ч. 8 и 9 ст. 13.11 КоАП).
Да. До начала трансграничной передачи оператор направляет в Роскомнадзор отдельное уведомление (ч. 3 ст. 12 152-ФЗ). Оно не заменяет уведомление о начале обработки.
Да. Статья 272.1 УК РФ, введённая законом от 30.11.2024 № 421-ФЗ, наказывает за незаконные использование, передачу, сбор и хранение компьютерной информации с персональными данными, полученной неправомерным путём. Наказание зависит от вида данных и последствий.
За рекламу без идентификатора или с нарушением правил его размещения компании грозит штраф от 200 до 500 тыс. рублей (ч. 16 ст. 14.3 КоАП). Такой же размер установлен за непередачу или несвоевременную передачу сведений о рекламе (ч. 15 ст. 14.3 КоАП).
Только тем, кто заранее дал согласие на получение рекламы. Доказать согласие должен рекламораспространитель, а по требованию адресата рассылку нужно сразу прекратить (ст. 18 Закона о рекламе).
Для бизнеса
Если документы по персональным данным и рекламе нужно поддерживать постоянно, удобнее работать с юристом на абонентском обслуживании.
