Сегодня почти невозможно получить банковскую услугу, оформить карту или даже зарегистрироваться в онлайн-сервисе без одного важного пункта — согласия на обработку персональных данных. Многие подписывают документы автоматически, не вчитываясь. Но на самом деле за этой формулировкой скрываются важные юридические нюансы, которые стоит понимать.

Что считается персональными данными?

Персональные данные — это любая информация, которая прямо или косвенно относится к конкретному человеку. Речь не только о паспорте.

К ним относятся:

• фамилия, имя и отчество
• номер телефона
• адрес проживания
• электронная почта
• IP-адрес устройства
• паспортные данные и другие документы

В России порядок их обработки регулируется Федеральным законом №152-ФЗ «О персональных данных». Это означает, что компании обязаны защищать такую информацию и использовать её только на законных основаниях.

С чем вы соглашаетесь в банке на самом деле?

Подписывая документы, клиенты чаще всего дают сразу несколько согласий — и не всегда это очевидно.

1.Согласие на обработку персональных данных

Банк получает право хранить, систематизировать и использовать информацию, которую вы передаете — как в бумажном, так и в электронном виде.

2.Согласие на запрос кредитной истории

Если вы оформляете кредит — без этого пункта не обойтись.

Но если речь идет о другой услуге, иногда от такого согласия можно отказаться — просто не ставьте галочку в анкете.

3.Согласие на рекламу и предложения от банка и партнеров

Знакомые СМС с «выгодными предложениями» и звонки — как правило, результат именно этого разрешения. Хорошая новость: от него почти всегда можно отказаться.

Можно ли не соглашаться?

Да, закон дает такое право. Но важно понимать: в этом случае банк вправе отказать в предоставлении услуги. Для финансовых организаций доступ к данным — часть системы оценки рисков.

Можно ли отозвать согласие?

Да — и это право часто недооценивают.

Вы можете направить отзыв, и после этого организация не сможет передавать ваши данные третьим лицам. Однако есть нюанс: если услуга уже оказана, компания вправе продолжить обработку данных в рамках исполнения договора и требований закона.

Почему важно читать, что вы подписываете?

Несколько лишних минут могут уберечь от:

• навязчивой рекламы
• передачи данных партнерам
• неожиданных звонков
• использования информации не в тех целях, на которые вы рассчитывали

Осознанное согласие — это не формальность, а инструмент защиты ваших прав.

PLAN B - защита цифровых прав и активов

—————————

+7 (916) 589 69 44 (WhatsApp, Telegram)

Наш бот: @planblaw_bot

Вы придумали концепцию игры, визуального проекта или сценария. Потратили недели, а может и месяцы на проработку.

И вдруг — в сети появляется продукт, который слишком уж похож на ваш.

Знакомо?

В креативной и цифровой среде такие ситуации возникают регулярно. Но главный вопрос всегда один:
это кража идеи или допустимое вдохновение?

Разберёмся спокойно и по существу. Где проходит граница между вдохновением и нарушением

Важно понимать одну вещь: сама идея не защищается законом.

Нельзя запретить другому человеку «придумать похожее».

Но закон защищает форму выражения идеи, а именно:

• конкретный текст или сценарий;
• программный код;
• дизайн, графику, интерфейс;
• уникальные игровые механики;
• структуру и логику продукта.

Именно здесь чаще всего и возникает нарушение.


Как понять, что ваши права могли быть нарушены

Когда к нам обращаются с подобными ситуациями, мы всегда начинаем с анализа. В первую очередь смотрим:

• является ли проект действительно оригинальным и охраноспособным;
• есть ли подтверждение авторства — даты создания, версии файлов, переписка, отправки;
• присутствуют ли совпадения, которые невозможно объяснить случайностью.

Иногда сходство — это лишь общее направление или жанр.

А иногда — точечное копирование, которое видно даже неспециалисту.


Что делать, если сходство очевидно

Если проект уникален, а заимствование носит явный характер, подключаются правовые механизмы:

• направляются официальные претензии нарушителю;
• фиксируется факт использования (нотариальное заверение, хэширование, техническая экспертиза);
• при необходимости запускаются судебные процессы — от арбитражных споров до дел о систематическом нарушении прав на интеллектуальную собственность.

Важно действовать грамотно и последовательно — эмоции в таких вопросах только мешают.

Почему лучше защищаться заранее

Практика показывает: защита проекта начинается до конфликта, а не после него.

Это включает:

• корректное оформление авторских прав;
• NDA и договоры с командой и подрядчиками;
• фиксацию авторства и даты создания.

Такие меры значительно усиливают позицию, если спор всё же возникает.

Если вы оказались в подобной ситуации, не стоит игнорировать проблему или надеяться, что всё «само рассосётся».

Отсутствие позиции — тоже позиция, и чаще всего она играет против автора.

Если вы сомневаетесь, столкнулись ли с нарушением, — кейс можно и нужно разобрать профессионально.

Мы оценим риски, перспективы и предложим конкретный план действий.

PLAN B - защита цифровых прав и активов

—————————

+7 (916) 589 69 44 (WhatsApp, Telegram)

Наш бот: @planblaw_bot

Криптовалюты изначально ассоциировались со свободой, анонимностью и отсутствием контроля. Однако с развитием индустрии и ростом объёмов торгов правила начали меняться. Сегодня большинство централизованных криптобирж требуют от пользователей прохождения процедуры KYC. Для многих это по-прежнему вызывает вопросы и опасения. Разберёмся, что такое KYC, зачем он нужен и почему его игнорирование может привести к серьёзным проблемам.

Что такое KYC

KYC (Know Your Customer — «знай своего клиента») — это процедура идентификации пользователя. Она предполагает подтверждение личности клиента с помощью официальных документов.

Обычно в рамках KYC биржи запрашивают:

• паспорт или иной документ, удостоверяющий личность;
• селфи или видео-подтверждение;
• в некоторых случаях — подтверждение адреса проживания.

Главная цель такой проверки — убедиться, что аккаунтом пользуется реальный человек, а не бот, подставное лицо или мошенник.


Почему криптобиржи требуют KYC

1. Требования законодательства

В большинстве стран криптобиржи подпадают под нормы финансового регулирования. Государства обязывают платформы соблюдать правила AML (Anti-Money Laundering) — меры по борьбе с отмыванием денег и финансированием незаконной деятельности.

Без идентификации пользователей биржа просто не может легально работать. Именно поэтому KYC сегодня стал обязательным стандартом для централизованных торговых площадок.

2. Безопасность пользователей

KYC защищает не только биржу, но и самих клиентов. Когда личность подтверждена, становится проще:

• восстанавливать доступ к аккаунту;
• рассматривать споры и жалобы;
• возвращать средства при взломе или ошибочных операциях.

Анонимный аккаунт практически невозможно защитить юридически.

3. Предотвращение мошенничества

Отсутствие верификации создаёт благоприятную среду для:

• подставных схем;
• мультиаккаунтов;
• обналичивания украденных средств.

Именно поэтому биржи постепенно ужесточают требования и ограничивают функционал для неверифицированных пользователей.


Что происходит без прохождения KYC

На практике отсутствие верификации может привести к следующим последствиям:

• невозможность вывода средств;
• заморозка аккаунта;
• отказ в рассмотрении спора;
• длительные проверки происхождения средств.

На большинстве CEX-бирж без KYC доступны лишь минимальные функции, а иногда вход в аккаунт сохраняется только в режиме просмотра.


Реальная практика: где возникают проблемы

В юридической практике споры с криптобиржами чаще всего возникают именно у пользователей без верификации. Когда происходит блокировка или задержка вывода средств, биржа в первую очередь запрашивает подтверждение личности.

Если KYC не был пройден заранее, процесс может затянуться на месяцы или вовсе закончиться отказом в помощи. Биржа обязана понимать, кто именно является владельцем аккаунта — иначе она не имеет права совершать какие-либо действия.


Стоит ли бояться KYC

Многие пользователи опасаются утечки данных. Однако крупные биржи используют многоуровневые системы защиты и обязаны соблюдать требования по хранению персональной информации.

Важно понимать: KYC — это не инструмент контроля над пользователем, а механизм правовой защиты. Без него криптоактивы фактически оказываются вне юридического поля.


Вывод

Прохождение KYC — это не формальность, а необходимый шаг для безопасной работы с криптовалютой. Относиться к нему стоит так же серьёзно, как к открытию банковского счёта.

Своевременная верификация:

• снижает риск блокировок;
• упрощает решение спорных ситуаций;
• защищает ваши активы;
• экономит время и нервы.

Крипта становится частью финансовой системы, и правила этой системы важно учитывать заранее — до того, как возникнут проблемы.

PLAN B - защита цифровых прав и активов

—————————
+7 (916) 589 69 44 (WhatsApp, Telegram)

Наш бот: @planblaw_bot

#криптопрактика

UGC — контент создают пользователи, но ответственность может лечь на вас. Почему? Потому что именно вы считаетесь информационным посредником.

User-generated content (UGC) — мощный инструмент для брендов, платформ и маркетплейсов. Отзывы, комментарии, посты, видео и рейтинги делают продукт «живым» и вызывают доверие. Всё работает отлично… до момента, когда возникает правовой конфликт.

Согласно ГК РФ (ст. 1253.1), если вы предоставляете пользователям возможность размещать контент, вы автоматически получаете статус информационного посредника. И это уже не про маркетинг — это про юридическую ответственность.

Что это означает на практике?

Вы не отвечаете за пользовательский контент, если:

— не знали о нарушении;
— после получения уведомления оперативно удалили спорный материал.

Но если о нарушении было известно, а реакции не последовало — возможны претензии, штрафные меры и даже блокировка ресурса. В таких ситуациях аргументы «мы ни при чём» не работают.

Основные риски:

— публикация запрещённой информации (экстремизм, наркотики, фейки и др.);
— размещение контента с нарушением авторских прав;
— поступление жалобы, оставленной без реакции.

Даже если компания зарегистрирована в другой юрисдикции, работа с пользователями из РФ означает наличие правовых рисков.

Что важно предусмотреть:

— закрепить статус информационного посредника в пользовательских документах;
— выстроить прозрачную и быструю процедуру реагирования на жалобы от пользователей и государственных органов;
— провести аудит модерации: кто, как и где проверяет UGC;
— внедрить базовую фильтрацию контента на этапе публикации.

В идеале эти механизмы должны появиться ещё на этапе запуска проекта — а не тогда, когда платформа уже под угрозой блокировки.

Вы не обязаны контролировать каждый комментарий.

Но вы обязаны своевременно реагировать, если контент нарушает закон. В этом и заключается баланс между свободой выражения и юридической ответственностью.

Вводится прямой запрет на автоматическое списание средств за цифровые подписки без выполнения двух условий:

• Потребитель не отказался от использования при расчетах ранее предоставленных реквизитов. То есть, если потребитель направил отказ от использования своих банковских реквизитов или данных электронного средства платежа, сервис обязан его принять и не может продолжать списания

• Сервис не уведомил потребителя о предстоящем платеже в установленный срок. Уведомление должно быть направлено не менее чем за три календарных дня до даты очередного списания абонентской платы

Ключевые правовые последствия для операторов:

• «Тишина не значит согласие»: ранее полученного общего согласия на сохранение данных карты и оферты с условием автоматического продления теперь недостаточно. Требуется активное подтверждение перед каждым новым платежным циклом

• Пересмотр UX/UI и договоров: необходимо внедрять юридически корректные и технически ясные механизмы получения двух отдельных волеизъявлений (на продление услуги и на использование карты)

• Намеренно вводящие в заблуждение дизайны пользовательских интерфейсов в этом процессе будут нести повышенные риски

• Переквалификация платежей: списания, проведённые в обход нового порядка, могут быть оспорены как несанкционированные. Возрастут риски по chargeback и жалобам в Роспотребнадзор и ЦБ РФ (в рамках соблюдения 161-ФЗ «О НПС»)

• Изменение модели «подписался и забыл». Это потребует от бизнеса перестройки клиентского пути в сторону осознанного подтверждения ценности услуги

Норма направлена на усиление защиты персональных и платёжных данных потребителя.

• Компаниям, работающим по модели подписок, рекомендуется уже сейчас начать аудит своих процессов, договоров и IT-систем на соответствие будущим требованиям.

Персональные данные есть практически у любого бизнеса: сведения о сотрудниках, клиентах, соискателях, посетителях сайта, подписчиках рассылки, представителях контрагентов. Поэтому требования Федерального закона № 152-ФЗ «О персональных данных» касаются не только банков, медицинских организаций и крупных интернет-сервисов.

При этом для Роскомнадзора имеет значение не само наличие у компании комплекта документов, а то, соответствует ли реальная работа с персональными данными требованиям закона и тому порядку, который компания закрепила у себя.

Юристы ПЛАН Б подготовили практический чек-лист: что стоит проверить до того, как этим заинтересуется Роскомнадзор.

Материал подготовлен с учетом законодательства, действующего на дату публикации. Для конкретной организации перечень требований зависит от состава данных, целей и способов их обработки.

1. Подано ли уведомление в Роскомнадзор

Первое, с чего стоит начать проверку, — определить, должна ли организация состоять в реестре операторов персональных данных.

По общему правилу оператор до начала обработки персональных данных обязан уведомить Роскомнадзор. Закон предусматривает исключения, но они ограничены, поэтому исходить из принципа «мы небольшая компания, значит, уведомление нам не нужно» нельзя.

Важно проверить не только сам факт подачи уведомления, но и актуальность сведений в реестре.

Например, за время работы бизнеса могли измениться:

• цели обработки;
• категории субъектов персональных данных;
• перечень обрабатываемых данных;
• способы обработки;
• используемые информационные системы;
• сведения об ответственном лице;
• место нахождения баз данных;
• данные о трансграничной передаче.

Если фактическая модель обработки изменилась, а сведения, поданные в Роскомнадзор остались прежними, возникает несоответствие, которое необходимо устранить.

Отдельный риск — отсутствие обязательного уведомления. С 30 мая 2025 года за невыполнение или несвоевременное выполнение этой обязанности для юридических лиц предусмотрен штраф от 100 000 до 300 000 рублей.

2. Назначен ли ответственный за обработку персональных данных

Юридическое лицо должно назначить лицо, ответственное за организацию обработки персональных данных.

Обычно это оформляется приказом руководителя. Однако одного приказа недостаточно. Ответственный должен понимать свои функции и иметь возможность контролировать соблюдение требований законодательства внутри организации.

Статья 18.1 Закона № 152-ФЗ прямо относит назначение такого лица к мерам, которые оператор принимает для выполнения своих обязанностей.

Проверяем:

• Издан приказ о назначении ответственного.
• Определены его полномочия и обязанности.
• Ответственный ознакомлен с документами компании по персональным данным.
• Контактные данные ответственного актуальны.

3. Есть ли обязательные локальные документы

Одна из распространенных ошибок бизнеса — скачать из интернета «политику конфиденциальности» и считать вопрос закрытым.

На практике одного документа обычно недостаточно.

Закон требует от оператора определить политику обработки персональных данных и принять локальные акты, регулирующие конкретные процессы: цели обработки, категории субъектов и данных, способы и сроки обработки и хранения, порядок уничтожения данных, а также процедуры предупреждения и выявления нарушений.

Конкретный комплект зависит от деятельности компании, но обычно необходимо проверить наличие и актуальность:

• политики в отношении обработки персональных данных;
• положения или иных локальных актов об обработке персональных данных;
• документов, регулирующих обработку данных работников;
• приказа о назначении ответственного;
• перечня лиц, допущенных к персональным данным;
• форм согласий;
• документов по информационной безопасности;
• правил хранения и уничтожения данных;
• документов по внутреннему контролю;
• документов по оценке вреда субъектам персональных данных.

Ключевой момент: документы должны описывать реальные процессы компании.

Если политика утверждает, что данные хранятся пять лет, а фактически клиентская база сохраняется бессрочно, наличие красивого документа не решает проблему.

4. Опубликована ли политика на сайте

Если персональные данные собираются через сайт, политика в отношении обработки персональных данных должна быть доступна пользователям на соответствующих страницах.

Это прямо предусмотрено частью 2 статьи 18.1 Закона № 152-ФЗ.
Поэтому необходимо проверить не только наличие ссылки в подвале сайта, но и содержание самой политики.

Типичная проблема выглядит так: бизнес несколько лет назад заказал сайт, разместил шаблонную политику и с тех пор существенно изменил маркетинг и IT-инфраструктуру. Появились CRM, формы обратной связи, аналитические сервисы, чат-боты и новые подрядчики, но политика осталась прежней.

Проверяем:

• Политика опубликована и доступна без авторизации.
• Ссылка работает.
• Политика относится именно к этому оператору.
• Перечень целей и данных соответствует реальному сайту.
• Документ актуализируется при изменении процессов.

5. Законно ли компания собирает каждую категорию данных

Для обработки персональных данных необходимо правовое основание.

Согласие — важное, но не единственное основание. В некоторых случаях обработка необходима для исполнения договора, выполнения требований закона или осуществляется на другом предусмотренном законом основании.

Поэтому задача бизнеса — не собрать максимальное количество согласий, а для каждого процесса определить цель обработки, состав данных и соответствующее правовое основание.

Полезно провести инвентаризацию:

процесс → субъект → данные → цель → правовое основание → срок хранения → место хранения → получатели данных.

Например:

прием сотрудника на работу → работник → кадровые данные → оформление трудовых отношений → требования законодательства → установленный срок хранения → кадровая система/архив.

Такая карта обработки помогает быстро увидеть процессы, в которых компания собирает лишние данные или не может объяснить основание их использования.

6. Правильно ли оформлены согласия

Если обработка осуществляется на основании согласия, Роскомнадзор может оценивать его содержание и порядок получения.

Компания должна понимать:

• для каких операций действительно необходимо согласие;
• какие данные оно охватывает;
• на какие цели дается;
• кому могут передаваться данные;
• как субъект может его отозвать;
• требуется ли отдельное согласие для конкретного способа использования данных.

Особое внимание необходимо уделять персональным данным, разрешенным субъектом для распространения. Публикация фотографии сотрудника на сайте, размещение информации о клиенте в кейсе или распространение иных сведений может требовать отдельного анализа правового основания.

Проверяем:

• Для каждой обработки определено правовое основание.
• Согласия используются там, где они действительно нужны.
• Формы согласий соответствуют фактическим целям обработки.
• Компания может подтвердить получение согласия.
• Отзыв согласия можно принять и обработать на практике.

7. Не собирает ли бизнес лишние данные

Один из базовых принципов законодательства о персональных данных — содержание и объем обрабатываемых данных должны соответствовать заявленным целям.

Проще говоря: нельзя собирать сведения «на всякий случай».

Если интернет-магазину для доставки заказа достаточно имени, телефона и адреса, нужно понимать, зачем ему дополнительно дата рождения, семейное положение или паспортные данные.

Чем больше ненужных данных хранит компания, тем выше одновременно и юридический риск, и потенциальный ущерб при утечке.

Проверяем:

• Для каждого поля анкеты и формы существует понятная цель.
• Компания не требует избыточные сведения.
• Данные не используются для целей, несовместимых с первоначальной целью сбора.

8. Что происходит с персональными данными на сайте

Сайт — одна из зон, которую бизнесу особенно удобно проверить самостоятельно.

Нужно провести инвентаризацию всех точек сбора информации:

• формы обратной связи;
• регистрация личного кабинета;
• оформление заказа;
• заявка на консультацию;
• подписка на рассылку;
• форма для соискателей;
• онлайн-чат;
• обратный звонок;
• cookies и инструменты аналитики;
• сторонние виджеты и интеграции.

Важно понимать не только что собирается, но и куда именно данные уходят после нажатия кнопки.

Например, заявка может одновременно попасть на электронную почту, в CRM, сервис аналитики и систему подрядчика.

Каждый такой маршрут необходимо учитывать при организации обработки персональных данных.

9. Где физически находятся базы данных

При сборе персональных данных граждан РФ, в том числе через интернет, действует требование о локализации: запись, систематизация, накопление, хранение, уточнение и извлечение таких данных должны осуществляться с использованием баз данных, находящихся на территории России, за предусмотренными законом исключениями.

Поэтому формулировки поставщика сервиса «данные размещаются в облаке» недостаточно.

Бизнесу необходимо понимать:

• где находятся серверы;
• какой сервис используется;
• кто имеет доступ к информации;
• осуществляется ли передача за пределы РФ;
• соответствует ли фактическая инфраструктура сведениям, заявленным Роскомнадзору.

Особенно внимательно стоит проверить иностранные CRM, облачные сервисы, формы, системы рассылки и аналитические инструменты.

10. Как оформлена передача данных подрядчикам

Бухгалтерия на аутсорсе, CRM, колл-центр, облачный сервис, кадровый подрядчик, служба доставки, маркетинговое агентство — во многих бизнес-процессах персональные данные получают сторонние организации.

Если обработка поручается другому лицу, договорная конструкция должна отвечать требованиям Закона № 152-ФЗ.

В поручении, в частности, должны быть определены перечень персональных данных и операций с ними, цели обработки, требования к конфиденциальности и безопасности, а также обязанности лица, которое обрабатывает данные по поручению оператора.

Проверяем:

• Составлен список подрядчиков, имеющих доступ к персональным данным.
• Определено правовое основание передачи данных каждому из них.
• Договоры содержат необходимые условия.
• Подрядчики обязаны обеспечивать конфиденциальность и безопасность данных.
• Определен порядок действий подрядчика при инциденте.

11. Обеспечена ли безопасность персональных данных

Документы — только часть системы compliance.

Статья 19 Закона № 152-ФЗ требует принимать правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения и других неправомерных действий.

В частности, законодательство предусматривает определение угроз безопасности, установление правил доступа, учет действий в информационных системах, контроль применяемых мер и возможность восстановления данных после несанкционированного доступа.

На практике стоит проверить:

• кто имеет доступ к базам;
• есть ли уволенные сотрудники с действующими учетными записями;
• используются ли индивидуальные учетные записи;
• разграничены ли права доступа;
• ведется ли необходимый учет действий;
• защищены ли рабочие устройства;
• как организовано резервное копирование;
• что происходит с доступом сотрудника после увольнения;
• как уничтожаются документы и электронные данные после окончания срока хранения.

12. Знают ли сотрудники правила работы с данными

Человеческий фактор остается одной из наиболее очевидных зон риска.

Закон прямо предусматривает ознакомление работников, непосредственно обрабатывающих персональные данные, с законодательством, требованиями к защите данных и локальными документами оператора и/или их обучение.

Поэтому наличие положения на общем диске само по себе не означает, что требование фактически выполняется.

Проверяем:

• Сотрудники ознакомлены с необходимыми документами.
• Факт ознакомления можно подтвердить.
• Работники понимают правила передачи данных третьим лицам.
• Есть понятный порядок действий при подозрении на утечку или иной инцидент.

13. Есть ли процедура обработки запросов граждан

Субъект персональных данных вправе обращаться к оператору по вопросам обработки своих данных.

Компания должна уметь не только принять такое обращение, но и оперативно определить:

• какие данные человека обрабатываются;
• откуда они получены;
• на каком основании используются;
• кому предоставлялись;
• где хранятся;
• нужно ли их уточнить, заблокировать или уничтожить.

Проблема часто обнаруживается именно здесь: политика существует, но никто в компании не знает, кому передать поступившее требование гражданина.

Поэтому процедура должна быть определена заранее, а не после получения первого запроса.

14. Может ли компания правильно отреагировать на утечку

После инцидента времени на разработку процедуры практически нет.

При установлении факта неправомерной или случайной передачи, предоставления, распространения или доступа к персональным данным, повлекшей нарушение прав субъектов, оператор обязан уведомить Роскомнадзор: первоначальное уведомление — в течение 24 часов, результаты внутреннего расследования — в течение 72 часов.

Поэтому внутри компании заранее должны быть определены:

• признаки инцидента;
• сотрудники, которым сообщают о происшествии;
• лицо, принимающее решение о дальнейших действиях;
• порядок фиксации обстоятельств;
• взаимодействие IT, информационной безопасности, руководства и юристов;
• порядок уведомления Роскомнадзора;
• порядок внутреннего расследования.

Несвоевременное уведомление Роскомнадзора об инциденте само по себе может повлечь ответственность: для юридического лица штраф составляет от 1 млн до 3 млн рублей.

15. Почему сейчас риски особенно существенны

С 30 мая 2025 года ответственность в сфере персональных данных была существенно усилена.

В частности, КоАП РФ предусматривает отдельные многомиллионные штрафы за утечки в зависимости от количества субъектов персональных данных или идентификаторов. Например, для юридических лиц утечка данных от 1 000 до 10 000 субъектов может повлечь штраф от 3 до 5 млн рублей, а при более крупных инцидентах размеры санкций возрастают.

За повторные нарушения, связанные с утечками, для юридических лиц предусмотрены в том числе оборотные штрафы — от 1% до 3% выручки, с установленными минимальными и максимальными пределами.

Поэтому персональные данные сегодня — это уже не вопрос наличия «политики для сайта», а самостоятельная зона юридического и финансового риска.

Итоговый чек-лист перед проверкой Роскомнадзора

Проверьте свою компанию по 15 ключевым пунктам:

• Уведомление об обработке персональных данных подано, если это требуется.
• Сведения в реестре операторов актуальны.
• Назначен ответственный за организацию обработки персональных данных.
• Утвержден необходимый комплект локальных документов.
• Политика обработки персональных данных опубликована на сайте.
• Для каждого процесса определены цель и правовое основание обработки.
• Формы согласий соответствуют законодательству и реальным процессам.
• Компания не собирает избыточные персональные данные.
• Все формы, cookies, CRM, виджеты и интеграции сайта проанализированы.
• Выполняются требования к локализации баз данных.
• Передача и поручение обработки данных подрядчикам оформлены надлежащим образом.
• Реализованы организационные и технические меры защиты.
• Сотрудники ознакомлены с правилами работы с персональными данными.
• Установлен порядок ответа на обращения субъектов персональных данных.
• Разработан порядок действий при утечке и уведомления Роскомнадзора.

Что мы рекомендуем бизнесу

Не стоит начинать подготовку к проверке с покупки готового «пакета документов по 152-ФЗ».

Сначала необходимо понять, как персональные данные фактически движутся внутри бизнеса: откуда компания их получает, зачем использует, где хранит, кому передает и когда уничтожает. И только после этого документы, сайт, договоры с подрядчиками и технические процессы приводятся в соответствие с этой моделью.

Именно такой подход позволяет выявить наиболее опасные расхождения: например, когда в уведомлении Роскомнадзора указан один состав данных, политика предусматривает другой, а CRM и сайт фактически собирают третий.

Юридическая фирма ПЛАН Б проводит аудит обработки персональных данных: проверяет сайт, уведомление и сведения в реестре Роскомнадзора, локальные документы, согласия, договоры с подрядчиками и внутренние процессы. По результатам аудита бизнес получает перечень выявленных рисков и конкретный план их устранения.

Главная задача такого аудита — не просто подготовить документы «на случай проверки», а выстроить систему работы с персональными данными так, чтобы документы, IT-процессы и реальные действия сотрудников соответствовали друг другу и требованиям законодательства.

В спорах о просрочке передачи квартиры расчет неустойки долгое время был относительно понятным: срок по ДДУ, дата фактической передачи, цена договора и установленная ЦБ РФ ставка. В 2026 году начинать с такой арифметики рискованно. За последние несколько лет правила ответственности застройщиков неоднократно менялись, отдельные периоды исключались из расчета, менялся размер штрафа за неудовлетворение требований дольщика. Поэтому календарная продолжительность просрочки и период, за который действительно можно предъявить денежные требования, могут существенно различаться.

Особенно это заметно по объектам, которые должны были передаваться в 2023–2025 годах, а фактически передаются только сейчас. В таких делах сначала приходится восстанавливать хронологию: срок по первоначальному ДДУ, дополнительные соглашения, дату фактической передачи и правила, действовавшие в соответствующие периоды. После этого можно определять состав требований — неустойку, убытки, компенсацию морального вреда и, если спор дойдет до суда, штраф за отказ удовлетворить законные требования добровольно.

Поэтому претензия в 2026 году — это не формальное письмо перед иском. В ней фиксируются требования дольщика, их размер и основания, а в некоторых случаях значение имеет и сама дата, когда эти требования были предъявлены застройщику.

Срок по ДДУ и период неустойки — не одно и то же

Исходной точкой остается срок передачи объекта, установленный договором участия в долевом строительстве. Дата ввода дома в эксплуатацию, предполагаемая выдача ключей или информация в личном кабинете застройщика его не заменяют. Статья 6 Закона № 214-ФЗ связывает ответственность именно с нарушением предусмотренного договором срока передачи объекта.

Проверять при этом нужно не только первоначальный ДДУ, но и дополнительные соглашения. Уведомление застройщика о задержке строительства само по себе договорный срок не переносит. Если же стороны подписали соглашение об изменении срока передачи, оно непосредственно влияет на определение просрочки. В старых проектах именно на этом этапе иногда выясняется, что расчет ведется от первоначальной даты, хотя впоследствии дольщик согласился на ее перенос.

За нарушение срока статья 6 Закона № 214-ФЗ предусматривает неустойку: в общем случае — 1/300 ставки рефинансирования Банка России от цены договора за каждый день просрочки, а если участником долевого строительства является гражданин, неустойка уплачивается в двойном размере. Но для длительной просрочки самой формулы недостаточно. Сначала необходимо установить, какие дни вообще включаются в расчет.

При начислении неустойки по части 2 статьи 6 не учитывается период с 22 марта 2024 года по 31 декабря 2025 года. Это следует из действующего специального регулирования, установленного Постановлением Правительства РФ от 18 марта 2024 года № 326. Поэтому по квартире, которую должны были передать, например, летом 2024 года, а передали в 2026-м, нельзя начислить неустойку на весь календарный промежуток между этими датами.

Для отдельных периодов действовали и специальные правила определения ставки. Постановление Правительства РФ № 326 предусматривает, что в период с 1 июля 2023 года по 31 декабря 2025 года размер ряда санкций по ДДУ рассчитывается исходя из текущей ключевой ставки Банка России, действующей на день исполнения обязательства, но не выше ставки, действовавшей по состоянию на 1 июля 2023 года. Поэтому в споре, который захватывает несколько лет, недостаточно определить только количество дней: необходимо проверить правовой режим каждого периода.

По этой причине онлайн-калькулятор неустойки может дать арифметически точный, но юридически неверный результат. Если в него ввести цену квартиры и две даты, он посчитает календарную просрочку. Вопрос о том, должны ли все эти дни участвовать в начислении, решается уже не математикой, а применимыми в конкретном случае нормами.

Не следует делать и обратный вывод, будто действовавшие ограничения полностью освободили застройщиков от ответственности за задержки 2024–2025 годов. Если просрочка захватывает периоды, за которые начисление допускается, требование сохраняется в соответствующей части. Для старых объектов поэтому имеет значение не столько общая продолжительность задержки, сколько ее разбивка по периодам.

На расчет влияет и поведение самого дольщика. Если объект был готов к передаче, застройщик выполнил предусмотренные законом действия, а участник без достаточных оснований уклонялся от подписания передаточного документа, этот период нельзя автоматически включать в неустойку. Поэтому намеренно затягивать приемку ради увеличения суммы требования не стоит. Если квартира принята уже после установленного договором срока, подписание акта само по себе не прекращает право требовать ответственность за состоявшуюся до этого просрочку, если только вместо акта приема-передачи дольщик не подпишет соглашение о расторжении ДДУ или о зачете встречных требований.

Недостатки квартиры рассматриваются отдельно. Нарушение срока передачи и нарушение требований к качеству объекта могут существовать одновременно, но это разные основания ответственности со своими правилами предъявления и расчета требований. Объединять их в одну нерасшифрованную сумму в претензии не следует.

Что можно требовать сверх неустойки

При длительной просрочке неустойка может быть только одной частью требований. Закон № 214-ФЗ также допускает взыскание причиненных нарушением убытков. На практике один из наиболее частых случаев — расходы на аренду жилья, которое дольщик продолжал снимать в ожидании своей квартиры.

Для взыскания аренды недостаточно подтвердить размер платежей. Необходимо доказать причинную связь между нарушением срока передачи и расходами на найм: приобретенная квартира предназначалась для проживания, после наступления договорного срока потребность в другом жилье сохранялась вследствие просрочки, а заявленные расходы действительно были понесены. Договор найма и платежные документы подтверждают сам расход, но вопрос о его связи с действиями застройщика оценивается отдельно.

Если аренда началась задолго до предполагаемой передачи объекта либо у дольщика имелось другое пригодное для проживания жилье, у застройщика появляются основания оспорить причинную связь и размер убытков. По этой же причине не стоит включать в претензию любые расходы, которые просто совпали по времени с задержкой строительства. Значение имеют затраты, которых при своевременной передаче квартиры не возникло бы и происхождение которых можно доказать.

Гражданин вправе заявить и компенсацию морального вреда. Здесь нет расчетной формулы, сопоставимой с неустойкой или документально подтвержденными убытками: при судебном рассмотрении размер компенсации определяется с учетом характера нарушения и обстоятельств дела.

Отдельный вопрос в 2026 году — штраф за отказ застройщика добровольно удовлетворить требования дольщика. С 1 сентября 2024 года часть 3 статьи 10 Закона № 214-ФЗ устанавливает специальный штраф в размере 5% от суммы, присужденной судом в пользу гражданина, если требования не были исполнены добровольно. До изменения закона в соответствующих спорах применялся предусмотренный законодательством о защите прав потребителей штраф в размере 50%.

Для старых нарушений применять новый размер только потому, что дело рассматривается после 1 сентября 2024 года, неправильно. Этот вопрос в 2026 году рассмотрел Конституционный Суд РФ.

В Постановлении от 14 апреля 2026 года № 24-П Конституционный Суд указал, что новый порядок определения штрафа не должен распространяться на право, возникшее до введения нового регулирования. При этом момент возникновения права на штраф устанавливается с учетом конкретных обстоятельств, в том числе того, когда застройщик отказал в выплате неустойки — прямо либо своим бездействием, — а также поведения сторон и отсутствия злоупотребления правом.

Для споров, начавшихся несколько лет назад, это существенное разъяснение. Необходимо восстанавливать претензионную историю: когда дольщик предъявил требование, когда застройщик должен был на него отреагировать и когда он фактически ответил на претензию.

Именно поэтому содержание и дата отправки претензии могут иметь самостоятельное значение для судебного спора.

Как сформировать требования к застройщику в 2026 году

Переписывать в претензию Закон № 214-ФЗ на нескольких страницах нет необходимости. В будущем споре значение будут иметь содержание требований, расчет и доказательства их предъявления застройщику.

В претензии фиксируются ДДУ, объект, цена договора, установленный срок передачи и его последующие изменения, если они были. Далее указывается фактическая дата передачи либо то, что квартира до настоящего времени не передана. После этого определяется период ответственности с учетом интервалов, которые в силу специального регулирования не учитываются при начислении неустойки.

Если просрочка захватывает несколько правовых периодов, расчет лучше раскрыть. Из него должно быть понятно, от какой суммы производится начисление, какие даты приняты за начало и окончание каждого периода, какая ставка применяется и почему отдельные интервалы исключены. Одно итоговое число без расшифровки оставляет слишком много вопросов уже на стадии досудебного урегулирования.

Убытки заявляются отдельно от неустойки. По расходам на аренду прикладываются договор найма и подтверждение платежей, по другим затратам — соответствующие документы. Но доказательства должны позволять установить не только сумму расхода, но и его связь с нарушением застройщика. Отдельным требованием может быть заявлена компенсация морального вреда.

Если квартира еще не передана, ждать подписания акта для направления претензии не требуется. Уже возникшую неустойку можно рассчитать на определенную дату, а при продолжении просрочки позднее актуализировать. Если объект принят, акт приема-передачи фиксирует окончание просрочки, но не прекращает право требовать деньги за предшествующий период.

Не менее важно подтвердить направление претензии. Нужно сохранить доказательства того, какой документ был отправлен застройщику, когда это произошло и когда требование было получено либо поступило по надлежащему адресу.

Отдельно необходимо учитывать действующие правила об исполнении ранее предъявленных требований. Постановлением Правительства РФ № 326 для ряда требований к застройщикам предусмотрена отсрочка исполнения до 31 декабря 2026 года. Поэтому наличие основания для взыскания и возможность получить деньги немедленно — не всегда одно и то же.

В результате для определения размера требований в 2026 году значение имеют условия конкретного ДДУ, дополнительные соглашения, период просрочки, действовавшее в каждый период регулирование, фактическая передача квартиры, доказуемые убытки и претензионная история.

По двум квартирам одинаковой стоимости и с внешне сопоставимой задержкой расчеты поэтому могут отличаться существенно. В одном деле значительная часть календарной просрочки выпадет из неустойки. В другом к неустойке добавятся подтвержденные расходы на аренду. В споре, который начался до сентября 2024 года, отдельным вопросом станет применимый размер штрафа. Подписанное дополнительное соглашение, в свою очередь, может изменить сам момент начала просрочки либо стать основанием отказа во взыскании неустойки.

Поэтому до расчета неустойки мы в ПЛАН Б сначала собираем хронологию по договору: первоначальный срок передачи, приложения и дополнительные соглашения, фактическую передачу, и при наличии претензионную переписку и подтвержденные расходы.

Претензия должна отражать расчет без завышений и без потери требований, которые действительно можно обосновать. Если дело дойдет до суда, защищать придется каждую составляющую заявленной суммы.

Нормативная основа: статья 6 и статья 10 Федерального закона от 30.12.2004 № 214-ФЗ; Постановление Правительства РФ от 18.03.2024 № 326; Постановление Конституционного Суда РФ от 14.04.2026 № 24-П.

Материал подготовлен юридической фирмой ПЛАН Б. Информация актуальна на 2026 год и носит общий характер. Состав и размер требований зависят от условий конкретного ДДУ и обстоятельств его исполнения.