Блог · 3 июня 2026

Персональные данные в небольшой компании: с чего начать

Общий обзор требований к обработке персональных данных и практические первые шаги для малого бизнеса.

Кого это касается

Практически любая компания обрабатывает персональные данные: сведения о сотрудниках, контакты клиентов, анкеты соискателей, записи с камер наблюдения, заявки с сайта. Федеральный закон № 152-ФЗ «О персональных данных» распространяется и на небольшие организации, а требования к ним в последние годы заметно ужесточились, как и ответственность за нарушения.

Эта статья — общий обзор, а не юридическая консультация. Конкретный набор документов и мер зависит от того, какие данные и для чего вы обрабатываете, поэтому финальную проверку стоит проводить вместе с юристом.

Основные принципы

Закон строится на нескольких понятных идеях. Данные собираются только для конкретных, заранее определённых целей. Объём данных должен соответствовать этим целям: если для доставки достаточно имени и адреса, не нужно спрашивать паспорт. Данные хранятся не дольше, чем это необходимо, и уничтожаются по достижении цели. Человек должен понимать, кто и зачем обрабатывает его данные, и иметь возможность получить об этом сведения.

Организационные шаги

Проведите инвентаризацию. Составьте список: какие данные вы собираете, откуда они поступают, где хранятся, кто имеет к ним доступ и кому передаются. Часто на этом этапе обнаруживаются забытые таблицы с клиентами на личных компьютерах или выгрузки в мессенджерах.

Определите ответственного за организацию обработки персональных данных. В небольшой компании это может быть один из руководителей.

Подготовьте политику обработки персональных данных и опубликуйте её на сайте, если собираете данные через формы. Проверьте, что у форм есть понятное согласие на обработку.

Уточните необходимость уведомления уполномоченного органа об обработке персональных данных — для большинства операторов оно обязательно.

Технические меры

Требования закона к защите данных сформулированы через принцип «необходимых и достаточных мер», которые конкретизированы в подзаконных актах. Для небольшой компании базовый набор выглядит так.

Разграничение доступа: сотрудники видят только те данные, которые нужны им для работы. Общая папка «Кадры», доступная всем, — типичное нарушение.

Индивидуальные учётные записи и надёжные пароли, двухфакторная аутентификация для удалённого доступа и почты.

Резервное копирование и возможность восстановления данных.

Своевременные обновления операционных систем и программ, антивирусная защита.

Шифрование ноутбуков и съёмных носителей, на которых могут оказаться персональные данные.

Журналирование доступа к ключевым системам, чтобы при инциденте можно было понять, что произошло.

Инциденты и утечки

Отдельно стоит продумать порядок действий при утечке. Законодательство требует уведомлять уполномоченный орган об инцидентах в установленные короткие сроки, поэтому план нужно составить заранее: кто принимает решение, кто собирает информацию, кто готовит уведомление. В момент инцидента времени на размышления не будет.

Работа с подрядчиками

Персональные данные часто обрабатывают не только ваши сотрудники, но и внешние организации: бухгалтерская фирма, облачный провайдер, служба доставки, разработчик сайта, ИТ-подрядчик. Если вы поручаете обработку данных другой организации, это поручение должно быть оформлено, а в договоре стоит описать, какие данные передаются, для каких целей и какие меры защиты обязан применять подрядчик.

Отдельное внимание уделите месту хранения данных. Законодательство требует, чтобы первичный сбор и хранение персональных данных граждан России осуществлялись с использованием баз данных, расположенных на территории страны. Поэтому при выборе облачных сервисов, CRM и сервисов рассылок нужно заранее уточнить, где физически находятся серверы и как организована передача данных.

С чего начать уже сегодня

Если задача кажется слишком большой, начните с трёх вещей: проведите инвентаризацию данных, закройте общий доступ к папкам с персональными данными и включите двухфакторную аутентификацию в почте. Эти шаги не требуют больших затрат, но заметно снижают риски. Дальше можно постепенно выстраивать остальные меры вместе со специалистами по ИТ и юристами.