Изменения в законодательстве о персональных данных, вступающие в силу с 1 сентября 2025 года

С 1 сентября 2025 года жизнь операторов персональных данных еще усложнится, поскольку вступают в силу очередные изменения в законодательстве о персональных данных. Рассмотрим основные из них. В отличие от многочисленных публикаций на эту тему, мы сразу даем ссылки на соответствующие нормативно-правовые акты, устанавливающие новые требования к обработке персональных данных, и цитируем данные требования.

Обработка обезличенных данных

Обезличенные персональные данные можно использовать для исследований или технологий (например, для обучения ИИ) без предварительного согласия гражданина. Обезличивание должно быть выполнено так, чтобы исключить возможность прямой идентификации гражданина по этим данным.

Операторов персональных данных могут обязать предоставлять обезличенные сведения в государственную информационную систему (ГИС). Минцифры получило право направлять компаниям и ведомствам требования предоставить нужные данные в обезличенном виде для загрузки в федеральную ГИС.

С 1 сентября 2025 года обработка обезличенных данных без согласия гражданина регулируется следующими нормативно-правовыми актами (НПА):

• Федеральный закон от 27.07.2006 №152-ФЗ «О персональных данных». В этот закон внесена статья 13.1, которая регулирует обращение с обезличенными данными. Закон определяет принципы обработки персональных данных, включая требование уничтожать или обезличивать данные по достижении целей обработки.
• Федеральный закон от 08.08.2024 №233-ФЗ. Этот закон вводит новые правила обезличивания, уточняет механизм обезличивания, вводит понятие «состав обезличенных данных» и предусматривает создание государственной системы для обезличенных персональных данных.
• Приказ Роскомнадзора от 19.06.2025 №140. Документ содержит требования к обезличиванию и методы обезличивания для всех случаев обработки персональных данных, кроме использования в Единой информационной платформе нацсистемы управления данными (ЕИП НСУД).
• Постановление Правительства от 01.08.2025 №1154. Документ содержит требования и методы для ситуации, когда оператор обезличивает персональные данные по запросу Минцифры, то есть для ЕИП НСУД.

Оформление согласия на обработку персональных данных

Согласие должно оформляться в виде самостоятельного документа. Запрещено включать его в текст договоров, пользовательских соглашений или иных документов, подписываемых субъектом.

Федеральным законом от 24.06.2025 №156-ФЗ «О создании многофункционального сервиса обмена информацией и о внесении изменений в отдельные законодательные акты Российской Федерации» с 1 сентября 2025 года определено требование, что согласие на обработку персональных данных должно оформляться отдельным документом.

Согласно закону, часть 1 ст. 9 Федерального закона от 27.07.2006 №152-ФЗ «О персональных данных» дополняется нормой: «Согласие на обработку персональных данных должно быть оформлено отдельно от иных информации и (или) документов, которые подтверждает и (или) подписывает субъект персональных данных». 

Запрет передачи результатов работы с персональными данными иностранцам

Предоставление результатов обработки ПДн иностранным юрлицам, организациям, гражданам запрещено, кроме случаев, прямо предусмотренных российским законодательством.

Федеральный закон от 27.07.2006 №152-ФЗ (ред. от 28.02.2025) «О персональных данных» устанавливает правила трансграничной передачи персональных данных, в том числе возможность запрета такой передачи.

С 23 октября 2024 года Постановление Правительства РФ от 14.10.2024 №1371 дополнило правила: теперь под запрет может попасть любая международная организация, а не только НКО. Это связано с изменениями, которые позволяют признавать нежелательными иностранные структуры, если их деятельность признана угрожающей интересам России.

С 1 марта 2023 года действует порядок принятия решений о запрете, установленный постановлениями правительства от 10.01.2023 №6 и от 16.01.2023 №24. 

Расширение контрольных полномочий ФСБ России

Закон от 24.06.2025 №156-ФЗ, который с 1 сентября 2025 года вносит изменения в ч. 1 ст. 9 закона от 27.07.2006 №152-ФЗ.

Согласно этому закону, ФСБ получит право контролировать соблюдение мер безопасности в области обработки персональных данных, в том числе в негосударственных и коммерческих информационных системах. Ранее ФСБ контролировала безопасность персональных данных в основном в госсекторе.