新的《行政违法法典》修订加强了对处理个人数据违规行为的处罚。1ОПД管理合伙人介绍了在2025年如何避免受到新罚款。
自2025年5月30日起，俄罗斯《行政违法法典》的修订条款正式生效。如今，即使是个人信息（PI）收集表单中的技术性错误、未正确勾选的复选框，或未按要求将个人信息提供给第三方，都可能导致零售商面临高达30万卢布的罚款（参见更新后的《俄罗斯联邦行政违法法典》第13.11条）。
这并非理论推测。俄罗斯联邦通信、信息技术和大众传媒监督局（Roskomnadzor）已宣布将转向对网站和在线服务的自动化监控，涵盖电商平台、忠诚度应用及评论收集平台等。过去可通过“按整改通知纠正”的方式处理的错误，如今将被直接记录。在高竞争与快速数字化的背景下，对零售业而言这意味着：合规处理个人数据不再是可选项，而是在线零售商生存的必要条件。
在零售业中，什么被视为个人数据？
个人数据（PD）在《第152-FZ号法》第3条第1款中被定义为任何直接或间接指向已确定或可确定的自然人的信息。电商平台上的收集表单显示，零售业中最常收集的个人数据包括：
- 客户姓名和电话号码；
- 电子邮件和送货地址；
- 订单历史和购物车；
- 支付数据（包括支付令牌）；
- 行为分析（查询、偏好、浏览）；
- 地理位置信息（如果使用移动应用程序）；
- 忠诚度计划数据。
根据“卡巴斯基实验室”2022年的数据，零售业在泄露信息方面位居前列（占14%）。客户和员工的数据，包括电子邮件、电话和财务信息，已公开泄露。
根据AppSec Solutions年度移动应用安全研究结果，约70%的在线零售应用程序以明文形式存储来自第三方服务的数据：密码、PIN码、个人信息以及用于推送通知的技术数据、地理定位工具和其他API。
重要的是要理解，上述所有内容都属于个人数据，即使它们不包含姓名。例如，CRM 中的标识符或行为 ID 如果能够通过其追溯到特定用户，则可能被认定为个人数据。
零售业的最佳实践：从政策到自动化
为避免受到罚款，公司应采取以下措施：
1. 隐私政策与同意
每类个人数据的收集形式都必须附有合规的数据处理同意书和隐私政策。该同意必须是自愿的、具体的、知情且明确的——否则无效。针对不同的收集目的使用同一份同意书是不允许的。
2. 内部规章制度和指南
在实践中，收到罚款的并非那些拥有“糟糕网站”的人，而是无法以文件形式证明其已建立个人数据处理流程的人。
此处需要实施：
- 个人数据处理政策；
- 指定负责此类数据处理组织工作的人员；
- 员工处理个人数据（PD）的操作指南；
- 主体请求和事件记录日志。
3. 合规自动化
许多零售商至今仍手动维护清单，不仅耗时，还容易出错，甚至更严重的是导致数据泄露。此时，采用能够自动化收集同意、管理处理者记录、追踪访问权限并在安全环境中存储文档的平台是更好的选择。
零售商导致罚款的5种典型错误
1. 未向俄罗斯联邦通信、信息技术和大众传媒监督局（РКН）申报个人信息处理活动。根据对网站的分析经验，许多公司在网站上设置个人信息收集表单并进行后续处理时，并未向 РКН 提交开始处理的申报通知。即使仅有一名员工，法律也要求企业作为数据控制者向 РКН 履行申报义务。
2. 在收集表单中不得放置同意文本。如果用户在未事先获得同意的情况下提供了个人数据，则对该数据的处理已构成违规。
3. 同意模板不得更改。在线商店通常使用从互联网上获取的标准文本。如果不注明目的、依据、期限和第三方，这样的模板不仅无法避免罚款，反而会导致罚款。
4. 处理数据时未记录同意提供的事实。许多流行的SaaS产品不记录同意情况。如果客户投诉，将无法证明数据处理的事实。
5. 使用境外服务时未就数据跨境传输进行通知。Shopify、WhatsApp、Stripe 等均可能引发法律风险，若未遵守《第152-ФЗ号法》第12条的要求。
技术助力：如何选择处理个人数据的解决方案
查找内容：
- 支持以固定形式存储同意记录（包括日期、IP地址和政策文本）；
- 内置的个人数据操作日志；
- 团队内部访问权限的区分能力；
- 与CRM系统和反馈表单集成；
- 支持根据个人数据主体请求自动导出。
结语：遵守法律不是形式主义，而是竞争优势
到2025年，忽视《152号联邦法》的要求将不再被视为“小疏忽”。这将成为直接财务风险和声誉损失的因素。俄罗斯联邦通信、信息技术和大众传媒监督局（Roskomnadzor）加强了检查，罚款金额增加，客户也变得更加知情。人们更愿意向信任的对象提供个人信息，因此需要谨慎对待这类“敏感”信息。
开展审计，并抢先行动。最好今天就实现流程自动化、规范文档管理，并将所有风险降至最低。