С 30 мая 2025 вступили в силу новые правила работы с персональными данными

С 30 мая в России выросли штрафы за нарушения при работе с персональными данными (ПД). Если вы используете CRM-системы, принимаете заказы на доставку через сайт, работаете с чат-ботами или отправляете рассылки, значит, вы уже обрабатываете персональные данные. Рассказываем, на что обратить внимание ресторанам, которые собирают и используют данные клиентов или сотрудников.

Если ваша компания получает и хранит данные сотрудников, клиентов или подрядчиков, вы автоматически становитесь оператором персональных данных. Это означает обязанность соблюдать все требования закона: от уведомлений до обеспечения безопасности информации.

Причем под ПД попадает очень многое: не только ФИО и номера телефонов, но и e-mail, адрес проживания, фото и другие идентификаторы.

Поправки к Федеральному закону №152-ФЗ «О персональных данных» вводят более строгие требования к их обработке. Размеры штрафов после 30 мая 2025 года:

• Неуведомление или несвоевременное уведомление о намерении обрабатывать ПД: 100 000–300 000 ₽

• Нарушение целей обработки ПД: для ИП 50 000–100 000 ₽, для малых предприятий 75 000–150 000 ₽, для остальных компаний 150 00–300 000 ₽.

• Неуведомление или несвоевременное уведомление Роскомнадзора об утечке ПД: 1 000 000–3 000 000 ₽

• Утечка ПД: сумма зависит от масштаба – от 3 000 000 до 15 000 000 ₽.

Если вы управляете рестораном и планируете собирать персональные данные гостей или сотрудников, важно не только получить их согласие, но и уведомить Роскомнадзор — для этого нужно зарегистрироваться в реестре операторов персональных данных. Это делается через специальную форму на сайте Роскомнадзора. 

Особое внимание стоит уделить формулировке целей обработки: если, к примеру, вы укажете, что собираете данные только для оформления брони, а затем начнете использовать их для рассылок и маркетинга — это будет считаться нарушением. Если со временем ресторан начнет собирать другой состав данных или использовать их для новых задач, уведомление нужно будет подать повторно — с обновленной информацией.

Если в ресторане произошла утечка персональных данных — например, к информации о гостях или сотрудниках получили доступ третьи лица без разрешения — необходимо в течение 24 часов уведомить об этом Роскомнадзор. Сделать это можно через официальный сайт ведомства. Несвоевременное уведомление может привести к серьезному штрафу. 

После инцидента компания обязана провести внутреннюю проверку: выяснить, как произошла утечка, кто допустил нарушение, и принять меры для усиления защиты данных. О результатах расследования также нужно отчитаться перед Роскомнадзором — в течение 72 часов после обнаружения инцидента. В сообщении следует указать причины утечки, возможный ущерб и шаги, предпринятые для предотвращения повторения ситуации. 

Если в течение года после уже оплаченного штрафа за подобное нарушение произойдет повторная утечка, бизнесу может грозить штраф в размере от 1 до 3% от годовой выручки. Минимум — 20 млн рублей, максимум — 500 млн.

Читайте также:

• Лемма запускает курс по системам лояльности для ресторанов и кафе

• iiko 9.2: фискальный чек до оплаты, новое мобильное приложение и другие обновления

• С 1 июня 2025 года продавать безалкогольные напитки нужно по новым правилам